Ваш сайт должен соответствовать закону.
Я слежу за этим и предупреждаю вовремя.

Если на сайте есть форма — вы уже «оператор персональных данных»

Звучит громко, но означает простую вещь: как только посетитель оставляет на сайте имя и телефон (форма заявки, обратный звонок, запись на консультацию) — закон считает, что вы собираете и обрабатываете его личные данные. Неважно, сохраняете вы их в базе или просто пересылаете себе в мессенджер — само получение данных уже «обработка».

• На сайте должна быть отдельная страница «Политика обработки персональных данных» — что вы собираете, зачем и как долго храните.
• Под каждой формой — чекбокс согласия, который человек ставит сам (не должен быть отмечен заранее) и без которого форма не отправляется.

Даже форма «оставьте телефон, я перезвоню» — это форма сбора персональных данных, а не просто «удобная фишка сайта».

Счётчик посещаемости — тоже сбор данных

Яндекс.Метрика, Google Analytics и похожие сервисы собирают IP-адрес, поведение на сайте, данные устройства — по действующей практике это тоже персональные данные. Значит, для них нужно отдельное, осознанное согласие посетителя — не просто уведомление мелким шрифтом внизу страницы.

• Баннер cookie при первом визите с двумя равнозначными кнопками — «Принять» и «Отклонить» (не одна серая ссылка «ок, понятно»).
• Счётчик аналитики не должен запускаться до того, как посетитель нажал «Принять».

Нужно официально уведомить государство

Мало разместить политику на сайте — по закону нужно ещё подать отдельное уведомление в Роскомнадзор о том, что вы обрабатываете персональные данные. Это не «регистрация бизнеса», а именно уведомление конкретно про обработку данных — отдельная процедура через портал pd.rkn.gov.ru.

• Уведомление подаётся один раз и обновляется только при существенных изменениях (новая форма, новый сервис аналитики и т.п.).
• Обрабатывать данные можно уже с момента подачи — ждать включения в реестр не обязательно.

Штраф за то, что уведомления просто нет, — от 100 000 до 300 000 ₽ для организаций и ИП. При повторном нарушении сумма для юрлица может достигать 1 500 000 ₽. Отдельная, куда более тяжёлая история — штрафы за утечку персональных данных: там суммы для компаний измеряются миллионами, а в отдельных случаях — сотнями миллионов рублей.

Не всякий мессенджер или сервис «одинаково безопасен» с точки зрения закона

Если заявки с сайта улетают в Telegram-бота, WhatsApp Business, Google Analytics или зарубежную CRM — это формально «трансграничная передача персональных данных». Это отдельная, более тяжёлая история: требует отдельного уведомления Роскомнадзору и указания страны/дата-центра получателя.

Если те же заявки уходят в российский сервис — например, бот в мессенджере MAX, ВКонтакте, российскую CRM или на российский хостинг — трансграничной передачи нет, и это заметно всё упрощает.

• Проверьте, куда физически «улетают» заявки с вашего сайта — не только визуально, а по факту: какой сервис, чья это компания, где хранит данные.
• Где можно — предпочитайте российские сервисы: это не про патриотизм, а про то, что бумажной работы становится в разы меньше.

Домен тоже нужно «подтвердить личностью»

Отдельный закон, не про персональные данные, а про сам домен. С 1 сентября 2026 года владелец (администратор) любого домена в зонах .ru, .рф, .su обязан подтвердить личность через Госуслуги — иначе домен нельзя будет продлить, а после окончания оплаченного периода его можно потерять безвозвратно.

• Нужна именно подтверждённая учётная запись на Госуслугах — упрощённая (только по телефону) не подойдёт.
• Проверьте, кто по факту указан администратором вашего домена — особенно если сайт когда-то делало агентство или фрилансер и домен мог остаться на них.