# 152-ФЗ для пет-проекта: когда закон касается вас

> Если ваш сайт или бот собирает имя, телефон, почту или любые данные, по которым можно определить человека, вы становитесь оператором персональных данных по 152-ФЗ. Основные обязанности: уведомить Роскомнадзор, хранить данные россиян на серверах в России, получить согласие пользователя и опубликовать политику обработки. Размер проекта значения не имеет.

Опубликовано: 2026-09-09
Источник: https://nodbox.ru/blog/152-fz-dlya-pet-proekta/

---
Это не юридическая консультация, а объяснение для разработчика: где проходит
граница и что обычно делают, чтобы её не переходить по незнанию. За точными
формулировками идите к юристу - здесь только карта местности.

## Когда закон вас касается

Ответ проще, чем кажется: **как только вы собираете данные, по которым можно
определить конкретного человека.**

Под это попадает:

- форма обратной связи с именем и телефоном;
- регистрация с почтой;
- Telegram-бот, сохраняющий id и имя пользователя;
- любая база подписчиков, клиентов, заявок.

Под это не попадает:

- полностью анонимная статистика без привязки к людям;
- сайт-визитка без единой формы;
- проект, где вообще ничего не сохраняется.

**Размер проекта и наличие денег значения не имеют.** Пет-проект на сто
пользователей - такой же оператор персональных данных, как компания на сто
тысяч. Это первое, что удивляет.

## Четыре обязанности по минимуму

**1. Уведомить Роскомнадзор.**
Оператор подаёт уведомление о намерении обрабатывать персональные данные. Это
бесплатно и делается через сайт ведомства. Реестр операторов открытый - в нём
можно проверить и себя, и контрагента.

**2. Хранить данные россиян в России.**
Требование о локализации: базы, где собираются и хранятся персональные данные
граждан России, должны физически находиться на территории России. Это то самое
требование, из-за которого Railway, Vercel, Render и Fly не подходят для
проектов с российскими пользователями - их дата-центры за границей.

**3. Получить согласие.**
Пользователь должен явно согласиться на обработку. На практике - чекбокс у
формы, не отмеченный заранее, со ссылкой на политику.

**4. Опубликовать политику обработки.**
Документ, доступный с любой страницы, где сказано: какие данные собираете,
зачем, сколько храните, кому передаёте.

## Что чаще всего делают неправильно

**Ставят галочку согласия предзаполненной.** Согласие должно быть активным
действием пользователя.

**Пишут политику «на будущее» и собирают больше, чем нужно.** Обратная логика
правильнее: собирайте минимум, который реально используете. Чем меньше данных,
тем меньше обязанностей и тем меньше терять при утечке.

**Держат базу за границей, а сайт в России.** Требование локализации касается
базы, а не страницы. Хостинг сайта в Москве при базе во Франкфурте проблему не
решает.

**Забывают про сторонние сервисы.** Формы, аналитика, рассылки, чат-виджеты -
если они получают персональные данные, они тоже часть вашей схемы обработки.

## Что это значит при выборе хостинга

Если у вас есть российские пользователи и вы собираете их данные, выбор сужается
до провайдеров с дата-центрами в России. Практически это означает российские
облака: Timeweb, Selectel, Yandex Cloud, VK Cloud, Beget и платформы, которые
работают поверх них.

На что смотреть:

- **Где физически стоят серверы.** Не где зарегистрирована компания, а где
  железо. Некоторые провайдеры предлагают и российские, и зарубежные регионы -
  выбирать нужно осознанно.
- **Что написано у провайдера про 152-ФЗ.** Одни прямо заявляют соответствие,
  другие честно пишут, что дешёвые тарифы под него не подходят.
- **Есть ли документы для юрлица.** Если проект вырастет в бизнес, понадобятся
  договор и закрывающие документы.

[nodbox](/) работает на инфраструктуре в России, и это одна из причин, по
которой он вообще существует: собранный в Cursor проект с формой обратной
связи нельзя просто выложить на Vercel, если среди пользователей есть россияне.

## Что сделать сегодня, если вы уже собираете данные

1. Посмотрите, что именно вы собираете, и выкиньте лишнее.
2. Проверьте, где физически лежит база.
3. Напишите политику обработки и выложите её отдельной страницей.
4. Добавьте к форме чекбокс со ссылкой на политику.
5. Подайте уведомление в Роскомнадзор.

Первые четыре пункта занимают вечер. Пятый - формальность, которую откладывают
годами и зря: реестр публичный, и отсутствие в нём заметно.

## Коротко

- Любая форма с именем и контактом делает вас оператором персональных данных.
- Размер проекта роли не играет.
- Данные россиян должны храниться на серверах в России.
- Нужны: уведомление в РКН, согласие пользователя, политика обработки.
- Собирайте минимум данных - это самый дешёвый способ снизить риски.