Политика конфиденциальности для сайта: что изменить по 152-ФЗ

Вы наняли агентство на продвижение, выдали доступ к сайту - и оно сразу видит данные о каждом посетителе. IP-адреса, поведение, иногда имена и телефоны из форм. По 152-ФЗ вы обязаны оформить поручение на обработку персональных данных. Без него штраф до 300 000 рублей и личная ответственность директора.

Что именно видит агентство, получив доступ к вашему сайту?

Доступ к сайту - это не только «смотрит дизайн». Агентство, которое получило права в Яндекс Метрике или административный вход в CMS, видит: IP-адреса посетителей, их города и устройства, какие страницы читают, сколько времени проводят, откуда пришли. Если на сайте есть контактные формы - агентство видит имена, телефоны и email тех, кто их заполнил.

Если вы дополнительно передали доступ к CRM или к сервисам аналитики - картина расширяется. Агентство получает историю сделок, источники лидов, статусы по каждому клиенту.

Счётчики и пиксели на сайте - это уже обработка персональных данных. По закону (ст. 3 152-ФЗ), IP-адрес, cookie-идентификатор и данные об устройстве относятся к персональным данным, если позволяют идентифицировать человека или описывают его поведение. Яндекс Метрика, Google Analytics, пиксель любого рекламного кабинета - всё это технически обрабатывает ПДн ваших посетителей.

Когда доступ к сайту становится обработкой персональных данных по 152-ФЗ?

Всегда, когда третья сторона получает возможность видеть данные, которые позволяют идентифицировать ваших пользователей. Вы как владелец сайта - оператор персональных данных. Агентство, которое получило доступ и теперь работает с этими данными, - это обработчик по вашему поручению.

152-ФЗ разграничивает два случая:

• Вы сами обрабатываете данные - достаточно политики конфиденциальности и согласий пользователей.
• Вы передаёте обработку третьему лицу - нужно ещё и поручение на обработку персональных данных. Это отдельный документ.

SEO-агентство, получившее доступ к аналитике, формам или CRM, всегда попадает во второй случай. Даже если оно «просто смотрит».

Что такое поручение на обработку персональных данных?

Поручение на обработку персональных данных - это договор между вами (оператором) и третьей стороной (обработчиком), которому вы доверяете работу с данными ваших пользователей. Основание: часть 3 статьи 6 152-ФЗ. Без этого документа агентство не имеет права обрабатывать данные ваших посетителей, даже если вы дали технический доступ.

Его можно оформить двумя способами:

• отдельным документом (договор поручения);
• приложением к основному договору на продвижение.

Форму закон не жёстко регламентирует, но содержание - да. Роскомнадзор при проверке смотрит именно на то, что написано в этом документе, а не на его название.

По нашему замеру Вордстата 14.09.2026, «поручение на обработку персональных данных» ищут 104 раза в месяц точно - и это запрос вполне конкретного бизнеса, которому нужно разобраться с документами.

Пять пунктов, которые должны быть в договоре с SEO-агентством

Часть 3 статьи 6 152-ФЗ устанавливает обязательный минимум для поручения. Если хотя бы один пункт отсутствует, документ не защитит вас при проверке.

1. Перечень разрешённых действий с данными

Напишите конкретно: что именно может делать агентство с данными. «Просмотр аналитики», «формирование отчётов по трафику», «работа с контактными формами» - каждый тип действий нужно назвать явно. Общая фраза «работа с сайтом» не подходит.

2. Цель обработки

Формулировка «для SEO-продвижения» слишком широкая. Пишите: «анализ источников трафика и поведения пользователей для оптимизации страниц сайта с целью увеличения органического поиска». Цель должна совпадать с той, под которую вы собирали согласия у пользователей в своей политике конфиденциальности.

3. Обязанность соблюдать конфиденциальность

Агентство не имеет права передавать данные ваших посетителей кому-либо ещё - ни субподрядчикам, ни партнёрам, ни в другие инструменты аналитики - без вашего отдельного письменного согласия.

4. Меры по защите данных

Агентство обязано соблюдать технические и организационные меры защиты. Минимум: не хранить данные на незащищённых носителях, не передавать по открытым каналам, удалить данные по окончании договора.

5. Право на аудит

Вы как оператор обязаны контролировать то, как обработчик работает с данными. Без этого пункта вы формально лишаетесь возможности проверить агентство. А это сигнал для Роскомнадзора при проверке.

Дополнительно: запрет субпоручения. Если агентство может передать работу фрилансеру или смежному подрядчику - это должно быть прямо прописано и ограничено.

Чем рискует бизнес без поручения на обработку данных?

С 30 мая 2025 года штрафы по статье 13.11 КоАП существенно выросли. Незаконная обработка персональных данных (в том числе без поручения) грозит юридическому лицу до 300 000 рублей. Если нарушение повторное - до 500 000 рублей.

Отдельная история - утечка. Часть 12 статьи 13.11 КоАП введена в 2025 году специально для случаев, когда оператор допустил неправомерный доступ к данным третьих лиц. Санкция - оборотный штраф, до 3% от годовой выручки. Если агентство получило доступ без поручения, и данные вашего сайта утекли через их сторону - ответственность лежит на вас как на операторе.

Директор отвечает лично: административная ответственность физического лица за нарушения с данными - отдельная строчка в КоАП.

Как выглядит законная передача данных третьему лицу на практике

Вот простой пример. Компания использует Яндекс Метрику. Яндекс - третья сторона, которая обрабатывает данные о посетителях сайта. Бизнес как оператор передаёт эту обработку Яндексу. Юридически это тоже поручение - только в виде оферты при подключении счётчика. Яндекс принял её, прописал обязательства по защите данных в своей документации. Всё чисто.

Та же логика работает для любого подрядчика: SEO-агентство, CRM-система, сервис email-рассылок, рекламный кабинет. Каждый получает данные - каждый должен быть оформлен по той же схеме.

DataLead, сервис для перехвата контактов тех, кто изучает ваших конкурентов, работает в той же правовой рамке. Технология включена в реестр отечественного ПО Минцифры. Партнёры, через которых собираются данные о поведении потенциальных клиентов в интернете, - это ~37 владельцев больших данных, и каждый из них работает с DataLead через оформленные договорные отношения. Это не «непонятный доступ» - это та же механика поручения, о которой написано выше.

87 брендов уже работают с технологией. Среди них - автодилеры, недвижимость, банки, производство.

Сравнение: как устроен правовой статус разных способов доступа к данным.

| Ситуация | Что происходит по 152-ФЗ | Что нужно оформить |

|---|---|---|

| SEO-агентство с доступом к Метрике | Третье лицо обрабатывает ПДн | Поручение на обработку |

| CRM-система хранит ваших клиентов | Третье лицо хранит ПДн | Поручение на обработку |

| DataLead перехватывает интерес к конкурентам | Партнёры передают обезличенные сигналы | Договорные отношения с каждым партнёром |

| Вы передаёте данные в рекламный кабинет | Оферта площадки = поручение | Принятие оферты площадки |

Разница DataLead от остальных: вы не передаёте свои данные - вы получаете чужие (данные о тех, кто изучает конкурентов). Данные о посетителях сайта конкурентов у него самого нет. А у DataLead - есть.

Три документа, которые нужно оформить с SEO-агентством

Вот конкретный минимум по 152-ФЗ для любого агентства, которому вы дали доступ к сайту:

1. 1Поручение на обработку персональных данных - отдельный документ или приложение к договору. Обязательно: список действий, цель, конфиденциальность, меры защиты, право аудита.

1. 1Обновлённая политика конфиденциальности - если раньше в ней не было упомянуто, что ваши данные обрабатывает агентство-подрядчик, это нужно добавить. Пользователь должен знать, кому вы передаёте его данные.

1. 1Перечень систем, к которым есть доступ у агентства - не для Роскомнадзора напрямую, но для себя. Если что-то утечёт, вы должны чётко знать, у кого был доступ и к чему именно.

Три документа - это минимум два часа работы юриста или два часа с шаблонами из открытых баз (Консультант+, Гарант). Штраф за их отсутствие начинается от 60 000 рублей и доходит до 300 000 рублей. Арифметика простая.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 3, 6 (ред. от 26.07.2026): https://www.consultant.ru/document/cons_doc_LAW_61801/
• Часть 12 статьи 13.11 КоАП РФ (введена ФЗ № 420-ФЗ, 2025): https://ant.partners/blog/shtrafy-152-fz/
• Требования к содержанию поручения на обработку ПДн (b-152.ru, 2025): https://b-152.ru/komu-mozhno-poruchit-obrabotku-personalnyh-dannyh
• Передача ПДн в CRM и email-сервисы: договор поручения 152-ФЗ (edlegal.ru, 2026): https://edlegal.ru/blog/peredacha-pdn-crm-podryad/
• Счётчики, куки и пиксели как обработка персональных данных (saby.ru, 2025): https://saby.ru/articles/contragents/kak_vypolnit_trebovaniya_zakona_o_persdannyh_na_sayte
• Штрафы Роскомнадзора за персональные данные в 2026 году (klerk.ru): https://www.klerk.ru/blogs/fedresurs/702077/