Правовые требования к лендингу: 152-ФЗ, политика, cookie и оферта

Правовые требования к лендингу — это набор документов и элементов, без которых страница со сбором заявок нарушает российское законодательство. Как только на лендинге появляется форма с именем, телефоном или почтой, вы становитесь оператором персональных данных и попадаете под 152-ФЗ. Это не формальность: за отсутствие политики конфиденциальности и согласия предусмотрены штрафы, а с онлайн-оплатой добавляются требования к оферте и реквизитам. Эта статья — практический разбор для владельца лендинга, а не юридическая консультация: спорные и отраслевые нюансы всегда стоит уточнять у юриста.

Разберём по порядку: что такое персональные данные и почему их собирает почти любой лендинг, какие документы обязательны, что должно быть у самой формы, как быть с cookie и хранением данных, что добавляется при приёме оплаты и как маркировать рекламу. Правовая сторона тесно связана с дизайном формы заявки и с интеграциями лендинга: согласие, политика и хранение данных — часть того же контура, что CRM и приём оплаты.

Что такое персональные данные и почему это касается вас

Персональные данные — это любая информация, относящаяся к конкретному человеку: имя, номер телефона, адрес электронной почты, а иногда и сам факт обращения. Как только форма на лендинге просит оставить контакт, вы начинаете собирать и обрабатывать персональные данные, а значит становитесь их оператором по 152-ФЗ со всеми обязанностями. Не важно, ИП вы, юрлицо или самозанятый, и не важно, насколько маленький у вас проект — закон действует одинаково.

Обработка персональных данных по закону возможна только с согласия человека и при наличии опубликованной политики конфиденциальности. Именно поэтому у любой формы должен быть чекбокс согласия и ссылка на политику. Собирать контакты «просто так», без этих элементов, нельзя — даже если вы честно используете их только для звонка по заявке. Закон смотрит на сам факт сбора, а не на ваши добрые намерения.

Под требование попадают и неочевидные каналы. Квиз, который в конце просит телефон, чат-бот, собирающий контакты, всплывающее окно с обменом скидки на почту, кнопка обратного звонка — всё это тоже сбор персональных данных, и везде нужно согласие и ссылка на политику. Если на лендинге несколько точек захвата, правовые элементы должны быть у каждой из них, а не только у главной формы внизу страницы.

Обязательные документы: политика и согласие

Политика конфиденциальности — это документ, где вы описываете, какие данные собираете, зачем, как храните, кому передаёте и как человек может их отозвать. Её публикуют на отдельной странице лендинга и дают ссылку рядом с каждой формой и в подвале. Политика должна быть реальной и соответствовать тому, что вы действительно делаете с данными, а не скачанным наугад шаблоном с чужими реквизитами.

Согласие на обработку персональных данных человек даёт осознанно — обычно через чекбокс у формы. Ключевое правило: чекбокс не должен быть предустановленным (заранее отмеченным галочкой), человек ставит его сам. Рядом — короткая формулировка вроде «Нажимая кнопку, я соглашаюсь с обработкой персональных данных» и ссылка на политику. Для рассылок и передачи данных третьим лицам нередко требуется отдельное согласие. Как аккуратно встроить эти элементы, не перегрузив форму, мы разбирали в статье про дизайн формы заявки.

Уведомление Роскомнадзора и хранение данных

Оператор персональных данных обязан уведомить Роскомнадзор о том, что обрабатывает данные. С 1 сентября 2022 года это требование распространяется практически на всех операторов, включая тех, кто собирает контакты через форму на лендинге, — прежних массовых исключений почти не осталось. Уведомление подаётся до начала обработки через сайт ведомства и не требует оплаты; конкретный состав сведений и актуальную форму лучше сверить на официальном ресурсе или с юристом.

Второе важное требование — локализация. Персональные данные граждан России должны собираться, храниться и обрабатываться в базах данных, расположенных на территории РФ. На практике это значит, что CRM, где копятся заявки, и сервер, куда уходит форма, должны быть российскими или иметь размещение в России. Это стоит учитывать при выборе сервисов ещё на этапе проектирования интеграций лендинга, а не после запуска, когда данные уже потекли в зарубежный сервис.

Cookie и счётчики аналитики

Почти на каждом лендинге стоят счётчики — Яндекс Метрика, пиксели рекламных систем, — которые используют cookie. Cookie и связанные с ними идентификаторы во многих случаях считаются персональными данными, поэтому посетителя принято уведомлять об их использовании. Российское законодательство пока не требует такого строгого баннера согласия, как европейский регламент, но уведомление о cookie с ссылкой на политику — хороший тон и снижение рисков.

Практичный минимум — небольшая плашка внизу экрана с текстом о том, что сайт использует cookie для аналитики, и ссылкой на политику. Она не должна перекрывать оффер и мешать оставить заявку, особенно на мобильном. Логику работы счётчиков и то, как они связаны с заявками, мы разбирали в материале про A/B-тесты и аналитику лендинга — юридически важно, чтобы факт их использования был отражён в политике.

В самой политике перечислите конкретные сервисы, которые собирают данные о посетителях: например, Яндекс Метрика и пиксели рекламных систем, на которые вы закупаете трафик. Так человек понимает, кто и зачем обрабатывает информацию о его визите, а вы закрываете требование прозрачности. Формулировки лучше держать простыми и честными: чем понятнее написано, что вы собираете и как это используете, тем меньше вопросов и у посетителей, и у проверяющих.

Оплата на лендинге: оферта и реквизиты

Если лендинг принимает оплату онлайн, требований становится больше. Нужна публичная оферта — документ с условиями сделки: что продаётся, по какой цене, как происходит оплата, доставка и возврат. Продавец не может быть анонимным: на странице указывают, кто продаёт товар или услугу — ИП или юрлицо, ИНН, а также контакты для связи. Для товаров и услуг физлицам действует закон о защите прав потребителей, включая правила возврата.

Приём платежей идёт через легального оператора (банк или платёжный сервис), который сам предъявляет требования к странице: наличие оферты, описание товара, контакты, иногда — согласие с условиями перед оплатой. Эти документы лучше готовить вместе с юристом под вашу нишу, а техническую часть — приём и разнесение платежей — закладывать в проект заранее. Кстати, отношения с самим подрядчиком, который делает лендинг, тоже стоит оформлять договором: об этом — в статье про договор и оплату подрядчику.

Маркировка рекламы, ведущей на лендинг

С 1 сентября 2022 года интернет-реклама в России подлежит обязательной маркировке. Если вы ведёте на лендинг платный трафик — контекст, таргет, посевы у блогеров, — сами рекламные объявления нужно маркировать: получать токен erid через оператора рекламных данных (ОРД), помечать креатив пометкой «Реклама» с указанием рекламодателя и подавать отчётность. Это требование относится к рекламе, а не к самому лендингу, но касается почти всех, кто на него закупает трафик.

Ответственность за маркировку распределяется между участниками цепочки — рекламодателем, площадкой, посредником, — поэтому важно заранее договориться, кто получает токен и подаёт данные. Если рекламу ведёт агентство или фрилансер, пропишите это в задаче. Как в целом устроен платный трафик на лендинг и какие каналы выбирать, мы разбирали в материале про продвижение лендинга и трафик.

Что грозит за нарушения

За нарушения в области персональных данных предусмотрена административная ответственность по КоАП: штрафы за обработку без согласия, за отсутствие политики, за неуведомление Роскомнадзора и за нарушение правил хранения. В последние годы размеры штрафов заметно выросли, а за утечки данных введены отдельные, повышенные санкции — вплоть до оборотных штрафов для крупных нарушителей. Конкретные суммы регулярно меняются, поэтому актуальные цифры сверяйте по действующей редакции КоАП или с юристом.

Важно понимать: проверка не обязательно приходит «сверху». Часто всё начинается с жалобы недовольного посетителя, который оставил заявку, а потом получил спам или увидел, что согласия у формы не было. Одна такая жалоба способна запустить проверку. Поэтому правовой минимум — это не только про штрафы, но и про репутацию: аккуратная политика и честное согласие повышают доверие к бренду так же, как отзывы и гарантии.

Отдельно стоит помнить про рассылки. Отправлять письма и сообщения по собранной базе можно только тем, кто на это согласился: массовая рассылка без согласия — это нарушение и почти гарантированные жалобы на спам. Поэтому согласие на рекламную рассылку выносят в отдельный пункт, а не прячут в общем согласии на обработку данных, и хранят подтверждение того, что человек его дал.

Порядок действий: как привести лендинг в соответствие

Двигаться удобно по шагам. Сначала определите, что вы собираете и через какие сервисы данные проходят — форма, CRM, аналитика, рассылка. Затем подготовьте политику конфиденциальности и текст согласия под реальные процессы, добавьте чекбокс и ссылки к каждой форме. После этого подайте уведомление в Роскомнадзор и убедитесь, что данные хранятся в России. Если есть оплата — добавьте оферту и реквизиты, а если есть платный трафик — настройте маркировку рекламы.

Эти требования проще заложить на старте, чем дорабатывать потом. Если лендинг делает подрядчик, внесите правовой минимум в техническое задание: политика, согласие, российская CRM, места под уведомление о cookie. Тогда страница выйдет сразу «в законе». Собрать лендинг с готовым правовым каркасом можно и в FreeTeams — юридические модальные окна согласия и политики платформа добавляет по умолчанию, а вам останется подставить свои реквизиты и проверить формулировки с юристом.

Лендинг без политики и согласия — это не «мелочь на потом», а прямое нарушение с первого же собранного контакта.

Частые вопросы

Нужна ли политика конфиденциальности, если форма только одна?

Да. Как только форма собирает имя, телефон или почту, вы обрабатываете персональные данные, и политика с согласием обязательны — количество форм роли не играет.

Обязательно ли подавать уведомление в Роскомнадзор?

Как правило, да. С 1 сентября 2022 года требование распространяется практически на всех операторов персональных данных, включая сбор контактов через лендинг. Конкретику уточните на сайте ведомства или у юриста.

Можно ли хранить заявки в зарубежной CRM?

Персональные данные граждан РФ должны храниться в базах на территории России. Поэтому выбирайте CRM и сервер с учётом локализации, особенно если используете иностранные сервисы.

Нужно ли маркировать рекламу, ведущую на лендинг?

Да, интернет-реклама подлежит маркировке: нужен токен erid через ОРД, пометка «Реклама» и данные рекламодателя. Это касается объявлений, а не самого лендинга.