SEO продвижение сайта: кто оператор данных по 152-ФЗ

SEO-агентство настраивало продвижение: поставило Яндекс.Метрику, прописало UTM-метки, добавило пиксель ретаргетинга. Дашборды в руках подрядчика, доступы тоже у него. А вопрос от РКН придёт к вам - потому что оператор данных по 152-ФЗ именно вы. Разбираем, где граница и что сделать до проверки.

Подрядчик настроил метки - он и несёт ответственность?

Нет. Оператор по ст. 3 152-ФЗ - тот, кто «определяет цели и способы обработки персональных данных». Если SEO-агентство ставит счетчики в рамках seo продвижения сайта, а данные о посетителях остаются в вашем кабинете аналитики - именно вы определяете, зачем эти данные нужны. Агентство в этой схеме обработчик, не оператор. Ответственность перед РКН и перед вашими посетителями - ваша.

Логика в законе простая: кто получает выгоду от данных, тот и отвечает.

SEO-подрядчик пришёл, настроил счетчик, прописал UTM-шаблоны и ушёл. Статистика посещений осталась в вашем кабинете Метрики. Именно вы решаете, зачем вам эти данные, сколько хранить и что с ними делать дальше. Это и есть функция оператора по смыслу закона.

Подрядчик может нести ответственность перед вами - по условиям вашего договора, если из-за его действий возникли нарушения. Но перед Роскомнадзором ответственность оператора не делегируется ни SEO-агентству, ни разработчику, ни маркетологу.

С осени 2025 года РКН перешёл от редких ручных проверок к автоматическому сканированию сайтов. По данным vc.ru от 25 мая 2026 года, бот индексирует сайты, ищет признаки обработки данных и сверяет с реестром операторов - в фоновом режиме, без уведомлений.

Что именно собирают UTM-метки - это персональные данные?

Стандартные UTM-параметры (utm_source, utm_medium, utm_campaign, utm_content, utm_term) сами по себе информации о конкретном человеке не содержат и персональными данными не считаются. Но если в UTM-ссылку попадает email, телефон или CRM-идентификатор посетителя - это уже обработка персональных данных со штрафами по ст. 13.11 КоАП.

Проблема не в метках. Проблема в том, что рядом с ними работает Метрика.

Яндекс.Метрика на вашем сайте фиксирует IP-адрес, cookie, браузер и паттерн поведения посетителя. По ст. 3 152-ФЗ персональные данные - «любая информация, прямо или косвенно относящаяся к определяемому физическому лицу». Ключевое слово - «косвенно». IP в сочетании с cookie и поведенческими данными позволяет идентифицировать человека косвенно. Именно так трактует эти данные Роскомнадзор, и такова арбитражная практика 2025-2026 годов - об этом пишет 5factor.ru от 18 апреля 2026 года.

Это значит: Метрика без cookie-баннера с явным согласием посетителя - нарушение 152-ФЗ. Если SEO-агентство установило счетчик и не предупредило вас о необходимости баннера - это нарушение вашего сайта, а не агентства.

Если вы используете инструменты для работы с данными посетителей сайта, проверьте правовую позицию каждого из них. WantLead, который определяет посетителей вашего сайта по номеру телефона и передаёт контакты в ваш отдел продаж, внесён в реестр отечественного ПО Минцифры - прозрачная работа в правовой рамке.

Как оформить работу с SEO-агентством по 152-ФЗ?

По ч. 3 ст. 6 152-ФЗ оператор может поручить обработку данных третьему лицу - но только при наличии договора-поручения. Без такого документа любая передача данных подрядчику незаконна: ни доступ к Метрике, ни выгрузка поведенческих данных, ни интеграция с рекламными системами.

Это не лишняя бюрократия - это ваша защита в случае проверки.

Договор-поручение фиксирует четыре ключевые вещи:

• что именно обрабатывает подрядчик и зачем
• сколько хранит данные и как их защищает
• что происходит с данными после окончания работ
• кто несёт ответственность при утечке

Помимо договора, подрядчика нужно указать в политике конфиденциальности на сайте - посетитель должен знать, кому вы передаёте его данные. Без этого нарушение по ч. 1 ст. 13.11 КоАП, штраф для юрлица - до 100 000 рублей при первом нарушении.

Договор-поручение не снимает с вас ответственность перед субъектами данных. Оператор - вы. Если подрядчик что-то нарушил - разбираетесь между собой в рамках вашего договора. Роскомнадзор с претензией придёт к вам.

О том, как третьи лица собирают данные с сайтов, где граница по закону, читайте в статье «Контакты конкурентов своими силами: 3 нарушения 152-ФЗ».

Что РКН проверяет с 1 сентября 2026?

С 1 сентября 2026 РКН усилил автоматический мониторинг операторов персональных данных. Бот сканирует сайты на наличие форм, счетчиков аналитики и cookie - и сверяет с реестром операторов. Если сайт есть, Метрика стоит, а в реестре вас нет - приходит предписание. Не устраняете - штраф.

Пять нарушений, которые РКН фиксирует чаще всего (по данным Tinkoff Journal, 2 июля 2026 года):

1. 1Нет в реестре операторов персональных данных на сайте РКН
2. 2Cookie-баннер отсутствует или галочка согласия стоит по умолчанию
3. 3Политика конфиденциальности написана «для галочки» - без реального перечня обрабатываемых данных
4. 4Третьи лица (аналитика, реклама, подрядчики) не указаны в политике конфиденциальности
5. 5UTM-ссылки с личными идентификаторами - email или CRM-ID в URL

Актуальные штрафы по ст. 13.11 КоАП: за обработку без согласия - от 100 000 до 700 000 рублей для юрлица, за повторное нарушение - до 18 000 000 рублей. За утечку данных с 2024 года действуют оборотные штрафы - до 3% годовой выручки (klerk.ru, 29 июля 2026).

По нашему замеру Вордстата 06.09.2026, запрос «seo продвижение сайта» ищут точно 452 раза в месяц. Это предприниматели, которые сейчас нанимают подрядчиков - и большинство из них не знает, что вместе с сео продвижением сайта на сайт приходит и вся ответственность оператора данных.

98% посетителей вашего сайта уходят без заявки. Пока вы наращиваете трафик через SEO, эти люди исчезают. Есть инструменты, которые позволяют узнать, кто это, и перезвонить - при этом работая в правовой рамке.

Как проверить сайт на соответствие 152-ФЗ прямо сейчас?

Четыре шага, которые занимают 15-20 минут и покрывают нарушения, которые РКН фиксирует автоматически: отсутствие регистрации, согласие без реального выбора, передача данных без документов и идентификаторы в UTM-ссылках.

Шаг 1. Реестр операторов. Зайдите на сайт РКН, раздел «Реестр операторов персональных данных». Найдите себя по ИНН. Нет - подайте уведомление онлайн, это бесплатно. Штраф за отсутствие регистрации - до 300 000 рублей.

Шаг 2. Cookie-баннер. Откройте сайт в режиме инкогнито. Запрос на согласие должен появиться до того, как Метрика начала работу. Если баннер есть, но чекбокс уже отмечен по умолчанию - тоже нарушение. Согласие должно быть осознанным и добровольным.

Шаг 3. UTM-гигиена. Попросите SEO-подрядчика показать шаблоны UTM-ссылок. В параметрах не должно быть email, телефона или CRM-идентификатора клиента. Если есть - это передача ПД в рекламные системы без корректного согласия.

Шаг 4. Договор-поручение. Проверьте документы с SEO-агентством: нужен либо отдельный договор поручения на обработку ПД, либо соответствующий раздел в основном договоре. Плюс - агентство должно быть упомянуто в политике конфиденциальности на сайте.

Что именно законно собирать с помощью счетчиков и cookie-файлов - разобрано в статье «UTM метки и куки: что законно собирать о посетителях».

Про то, как изменилась ситуация для seo продвижения сайта после 1 сентября в целом, читайте в «SEO продвижение вывело вас в топ - с 1 сентября проверяет РКН».

Если у вас на сайте стоит пиксель идентификации посетителей - убедитесь, что поставщик инструмента работает в реестре ПО Минцифры. Это первое, что проверит РКН при проверке.

Данные посетителей сайта - это и возможность для продаж, и ответственность перед регулятором. С 1 сентября 2026 РКН активнее проверяет тех, кто использует аналитику без правильно оформленных документов. WantLead идентифицирует посетителей, которые пришли на сайт и ушли без заявки - технология в реестре ПО Минцифры, работает в правовой рамке 152-ФЗ.

Источники

• Статья 3 Федерального закона № 152-ФЗ «О персональных данных» - определение персональных данных и оператора. consultant.ru
• Статья 6 ч. 3 152-ФЗ - условия поручения обработки персональных данных третьему лицу. consultant.ru
• «Какие данные из UTM-меток считаются персональными?» - ic-tech.ru, 2 октября 2025. ic-tech.ru
• «Какие данные передаёт Яндекс Метрика и Вебвизор» - 5factor.ru, 18 апреля 2026. 5factor.ru
• «С 2026 года Роскомнадзор шлёт письма» - vc.ru, 25 мая 2026. vc.ru
• «152-ФЗ и сайт в 2026: штрафы до 500 млн» - Tinkoff Journal, 2 июля 2026. secrets.tbank.ru
• «Штрафы Роскомнадзора в 2026 году» - klerk.ru, 29 июля 2026. klerk.ru
• «Итоги проверок РКН по 152-ФЗ за 2025 год и первое полугодие 2026» - infostart.ru, 21 сентября 2026. infostart.ru