152-ФЗ для пет-проекта: когда закон касается вас

Это не юридическая консультация, а объяснение для разработчика: где проходит граница и что обычно делают, чтобы её не переходить по незнанию. За точными формулировками идите к юристу - здесь только карта местности.

Когда закон вас касается

Ответ проще, чем кажется: как только вы собираете данные, по которым можно определить конкретного человека.

Под это попадает:

• форма обратной связи с именем и телефоном;
• регистрация с почтой;
• Telegram-бот, сохраняющий id и имя пользователя;
• любая база подписчиков, клиентов, заявок.

Под это не попадает:

• полностью анонимная статистика без привязки к людям;
• сайт-визитка без единой формы;
• проект, где вообще ничего не сохраняется.

Размер проекта и наличие денег значения не имеют. Пет-проект на сто пользователей - такой же оператор персональных данных, как компания на сто тысяч. Это первое, что удивляет.

Четыре обязанности по минимуму

1. Уведомить Роскомнадзор. Оператор подаёт уведомление о намерении обрабатывать персональные данные. Это бесплатно и делается через сайт ведомства. Реестр операторов открытый - в нём можно проверить и себя, и контрагента.

2. Хранить данные россиян в России. Требование о локализации: базы, где собираются и хранятся персональные данные граждан России, должны физически находиться на территории России. Это то самое требование, из-за которого Railway, Vercel, Render и Fly не подходят для проектов с российскими пользователями - их дата-центры за границей.

3. Получить согласие. Пользователь должен явно согласиться на обработку. На практике - чекбокс у формы, не отмеченный заранее, со ссылкой на политику.

4. Опубликовать политику обработки. Документ, доступный с любой страницы, где сказано: какие данные собираете, зачем, сколько храните, кому передаёте.

Что чаще всего делают неправильно

Ставят галочку согласия предзаполненной. Согласие должно быть активным действием пользователя.

Пишут политику «на будущее» и собирают больше, чем нужно. Обратная логика правильнее: собирайте минимум, который реально используете. Чем меньше данных, тем меньше обязанностей и тем меньше терять при утечке.

Держат базу за границей, а сайт в России. Требование локализации касается базы, а не страницы. Хостинг сайта в Москве при базе во Франкфурте проблему не решает.

Забывают про сторонние сервисы. Формы, аналитика, рассылки, чат-виджеты - если они получают персональные данные, они тоже часть вашей схемы обработки.

Что это значит при выборе хостинга

Если у вас есть российские пользователи и вы собираете их данные, выбор сужается до провайдеров с дата-центрами в России. Практически это означает российские облака: Timeweb, Selectel, Yandex Cloud, VK Cloud, Beget и платформы, которые работают поверх них.

На что смотреть:

• Где физически стоят серверы. Не где зарегистрирована компания, а где железо. Некоторые провайдеры предлагают и российские, и зарубежные регионы - выбирать нужно осознанно.
• Что написано у провайдера про 152-ФЗ. Одни прямо заявляют соответствие, другие честно пишут, что дешёвые тарифы под него не подходят.
• Есть ли документы для юрлица. Если проект вырастет в бизнес, понадобятся договор и закрывающие документы.

nodbox работает на инфраструктуре в России, и это одна из причин, по которой он вообще существует: собранный в Cursor проект с формой обратной связи нельзя просто выложить на Vercel, если среди пользователей есть россияне.

Что сделать сегодня, если вы уже собираете данные

1. Посмотрите, что именно вы собираете, и выкиньте лишнее.
2. Проверьте, где физически лежит база.
3. Напишите политику обработки и выложите её отдельной страницей.
4. Добавьте к форме чекбокс со ссылкой на политику.
5. Подайте уведомление в Роскомнадзор.

Первые четыре пункта занимают вечер. Пятый - формальность, которую откладывают годами и зря: реестр публичный, и отсутствие в нём заметно.

Коротко

• Любая форма с именем и контактом делает вас оператором персональных данных.
• Размер проекта роли не играет.
• Данные россиян должны храниться на серверах в России.
• Нужны: уведомление в РКН, согласие пользователя, политика обработки.
• Собирайте минимум данных - это самый дешёвый способ снизить риски.