152-ФЗ на WordPress: что реально нужно сделать с политикой, формами и согласиями

Где WordPress собирает персональные данные

Большинство владельцев WP-сайтов считают, что ПДн — это только форма с полем «Телефон». На деле точек сбора заметно больше.

Встроенные комментарии WordPress пишут имя, email и IP автора. Contact Form 7, WPForms, Gravity Forms — очевидно. Но дальше начинается неочевидное.

Плагины рассылок. MailPoet и SendPress хранят email и дату подписки прямо в базе WordPress. Если база на зарубежном сервере — это нарушение локализации (ст. 18 ч. 5 152-ФЗ): с 01.07.2025 (ФЗ-23) первичная запись ПДн граждан РФ должна идти в базы на территории РФ. С Mailchimp отдельная история: данные уходят в США, и никакое облачное соглашение это не меняет.

Яндекс.Метрика и счётчики. IP-адрес — ПДн по смыслу ст. 3 152-ФЗ («любая информация, прямо или косвенно относящаяся к физлицу»). Статический IP — персональные данные; динамический — спорно, но практика РКН 2025–2026 склоняется к тому же: безопаснее считать оба персональными.

WooCommerce и профили покупателей. Имя, адрес доставки, история заказов, платёжные данные. По объёму сбора это полноценная CRM.

Кэш-плагины и CDN. W3 Total Cache, WP Rocket нередко настроены с внешними CDN, часть которых базируется за рубежом. Данные могут проходить через эти узлы.

Вывод простой: если на сайте есть хоть одна форма или аналитика — вы оператор. Дальше вопрос только в том, выполняете ли обязанности оператора.

Куда деваются данные из Contact Form 7 и WPForms

Здесь есть деталь, которую многие пропускают.

Contact Form 7 по умолчанию не сохраняет заявки в базу — только отправляет на email. Казалось бы, хорошо с точки зрения минимизации ПДн. Но обратная сторона: если нужно доказать факт согласия (что человек поставил галочку, когда именно), письмо в почте — слабое доказательство. При проверке РКН оператор несёт бремя доказывания.

WPForms и Gravity Forms по умолчанию сохраняют все заявки в таблицы WordPress. Удобно для CRM-интеграции, но создаёт накопление ПДн: сотни записей, срок хранения которых никем не контролируется. Нужна политика хранения и удаления.

Что сделать на практике:

• В CF7 — подключить Flamingo (официальный companion-плагин) для логирования заявок с меткой времени и состоянием чекбокса согласия.
• В WPForms/Gravity Forms — настроить срок удаления записей (есть в настройках) и прописать его в Политике.
• В любом случае — зафиксировать в Политике, какие данные собираются, где хранятся, сколько и кто имеет доступ.

Одна тонкость про базу данных WordPress: по умолчанию она на том же хостинге, что и сайт. Если хостинг в РФ — порядок. Если сайт на сервере в Германии или США — нарушение локализации с 01.07.2025. Это действующее нарушение.

Чекбокс согласия в Contact Form 7, WPForms и Elementor

Галочку ставят в настройках самой формы, тему трогать не нужно. В каждом конструкторе свой способ.

Contact Form 7. Тег [acceptance] в шаблоне формы. Пример: [acceptance soglasie-pdn] Я даю согласие на обработку персональных данных и ознакомлен с Политикой [/acceptance]. Ссылку на Политику вставьте внутрь тега обычным HTML. Поле по умолчанию обязательное и пустое: пока галочки нет, кнопка «Отправить» не сработает. Галочку на рассылку делают вторым тегом с пометкой optional, тогда без неё форма уходит.

WPForms. Поле «Флажки» с одним вариантом, в настройках поля включить «Обязательное». Если в общих настройках WPForms включены GDPR-улучшения, появляется готовое поле «Согласие GDPR», оно тоже подходит, только текст замените на русский под 152-ФЗ.

Elementor Pro. В виджете «Форма» поле типа «Принятие» (Acceptance): включить «Обязательно», а «Отмечено по умолчанию» оставить выключенным.

Проверьте после настройки: попробуйте отправить форму без галочки (должна остановиться), потом с галочкой (заявка дошла). И посмотрите, что галочка пустая при открытии страницы, в том числе на телефоне и во всплывающих окнах.

Отдельная история с чекбоксами, вставленными в форму вручную, кодом темы или чужим скриптом. Если у такого поля нет атрибута name, скрипт проверки формы может упасть, и форма перестаёт отправлять заявки без всякой ошибки на экране. Мы встречали сайт, который так прожил два месяца без лидов. После любой правки форм отправьте тестовую заявку.

Плагины cookie-согласия: чего они не делают

CookieYes, Complianz, GDPR Cookie Consent, WP Cookie Notice — популярные решения. Ставите плагин, он генерирует баннер и показывает категории cookie. Но у такого решения есть несколько нюансов.

Шаблонный текст не равен соответствию 152-ФЗ. Большинство этих плагинов разрабатывались под GDPR. Они упоминают «legitimate interest», «data controller», ссылаются на европейские нормы. В российском праве нет понятия «legitimate interest» в той же трактовке — основания обработки перечислены в ст. 6 152-ФЗ. Текст политики из плагина нужно переписывать.

Технический блок cookie до согласия — плагин делает. Если правильно настроить Complianz или CookieYes, Яндекс.Метрика действительно не загрузится до нажатия «Принять». Это важная функция, и с ней они справляются.

Раздельные согласия с 01.09.2025. ФЗ-156 требует отдельного согласия на обработку ПДн и отдельного — на рекламную рассылку. Одной галочкой закрыть оба нельзя. Большинство cookie-плагинов на эту логику не настроены — они про категории cookie, а не про разделение согласий по целям.

Что плагин не сделает за вас: не напишет Политику под конкретный сайт с его составом ПДн, не настроит чекбоксы согласия в формах, не подаст уведомление в РКН.

Если нужен инструмент, который именно блокирует аналитику до согласия — плагины справятся. Если нужно документальное соответствие 152-ФЗ — это отдельная работа.

Чем блокировать Метрику

Для большинства сайтов мы ставим свой небольшой баннер: Метрика подключается только после клика «Принять», ничего не уходит на зарубежные серверы, а тексты сразу русские. С плагином тоже можно, но есть одна ловушка: если плагин не узнал счётчик Метрики, он его не заблокирует. Добавьте код счётчика в список блокируемых скриптов вручную и проверьте во вкладке Network браузера, что до согласия запросов к mc.yandex.ru нет.

Как добавить PDF политики персональных данных на WordPress

Коротко: можно, но отдельная страница лучше. Закон (ч. 2 ст. 18.1 152-ФЗ) требует неограниченного доступа к Политике, формат не задан. PDF этому требованию отвечает, если открывается по прямой ссылке без входа и скачивания архивов.

Если всё же PDF:

1. «Медиафайлы» → «Добавить новый», загрузите файл.
2. Откройте файл в библиотеке и скопируйте его URL.
3. Поставьте ссылку в подвал (через меню или виджет подвала) и в текст у каждого чекбокса согласия.

Почему мы советуем страницу. При обновлении Политики WordPress часто сохраняет новый PDF под другим именем (политика-1.pdf), и все старые ссылки ведут на старую редакцию. Страница правится на месте, адрес не меняется. Её удобно читать с телефона, и поисковики её видят. И главное: PDF-скан с печатью в виде картинки не годится вовсе, его не прочитать ни человеку с телефона, ни программе экранного доступа. Такое мы находим на проверках регулярно.

Яндекс.Метрика вместо Google Analytics: почему это важно для 152-ФЗ

Вопрос локализации (ст. 18 ч. 5 152-ФЗ) после 01.07.2025 стал практическим вопросом.

Google Analytics передаёт данные (включая IP и идентификаторы пользователей) на серверы Google в США. Первичный сбор при этом происходит в РФ. С 01.07.2025 ФЗ-23 ввёл прямой запрет: ПДн граждан РФ при первичном сборе должны попадать в базы на территории РФ. GA в этой логике создаёт реальный риск нарушения.

Яндекс.Метрика хранит данные на серверах в России — это зафиксировано в их пользовательском соглашении. С точки зрения локализации — безопасная замена.

Практические различия для WordPress:

Про Вебвизор отдельно: при включённой записи сессий Метрика пишет всё, что вводит пользователь, включая данные в формах. Это отдельная проблема — сбор ПДн через видеозапись без явного согласия именно на это. Если Вебвизор включён, его нужно указать в Политике и, возможно, добавить отдельный пункт в согласие. На сайтах с чувствительными формами проще его выключить.

Google Tag Manager сам по себе данных не собирает, но через него подключается всё что угодно. Если в GTM настроен GA4 — проблема локализации остаётся. Если только Яндекс.Метрика — риск минимальный.

Хостинг, база данных и где хранятся данные WordPress

Чек-лист по локализации для WP-сайта:

Хостинг сайта. Файлы и БД WordPress должны быть на серверах в РФ. Beget, Timeweb, REG.RU, Selectel, Yandex Cloud (регион ru-central1) — подходят. Hetzner (Германия), SiteGround (ЕС/США), WP Engine (США) — создают риск нарушения ст. 18 ч. 5 после 01.07.2025.

База данных. MySQL WordPress по умолчанию на том же сервере, что и сайт. Если хостинг в РФ — порядок. Если используете внешнюю БД в европейском или американском регионе — нарушение.

Плагины рассылок. Mailchimp хранит базу подписчиков на серверах в США. Замена: UniSender, SendPulse, Mailopost — российские, данные в РФ. MailPoet по умолчанию хранит подписчиков в WP-базе на вашем хостинге.

Формы сторонних сервисов. Typeform, Google Forms — данные за рубежом. Альтернатива: Contact Form 7 и WPForms с хранением в WP-базе, Яндекс.Формы.

CRM-интеграции. amoCRM, Битрикс24 — российские, данные в РФ. HubSpot, Salesforce без специальной настройки — данные за рубежом.

Перенос сайта с зарубежного хостинга на российский — стандартная операция.

Firebase и другие облака Google. Если регистрация, заявки или профили пользователей пишутся в Firebase (Authentication, Firestore, Realtime Database), база находится на серверах Google за рубежом. Для данных граждан РФ при первичном сборе это нарушение ч. 5 ст. 18 152-ФЗ, какой бы регион вы ни выбрали: российского региона у Firebase нет. Выход один: хранить такие данные в базе на российском сервере, а Firebase оставить для того, что персональных данных не касается.

Как закрыть требования 152-ФЗ: что конкретно нужно на WordPress-сайте

Сводный перечень того, без чего сайт формально нарушает закон:

Политика обработки ПДн (ст. 18.1 ч. 2 152-ФЗ). Отдельная страница на сайте. Не PDF-файл «политика от 2019 года», а актуальный документ с перечнем всех точек сбора: формы, аналитика, рассылки, cookie. Ссылка в футере на каждой странице.

Чекбокс согласия у форм. Непредзаполненный — пользователь ставит сам. Рядом текст согласия и ссылка на Политику. Технически: в CF7 через тег [acceptance], в WPForms через поле «Флажки» с обязательным заполнением. Кнопку «Отправить» без галочки нажать нельзя.

Отдельный чекбокс на рассылку (с 01.09.2025, ФЗ-156). Если после заявки или регистрации вы отправляете рассылки — нужен второй отдельный чекбокс: «Согласен получать рекламные сообщения». Он не может быть предзаполненным и не может совмещаться с чекбоксом на обработку ПДн.

Cookie-баннер. С реальным выбором («Принять всё» / «Только необходимые» / настроить). Появляется до загрузки необязательных cookie (Метрика и прочее). В настройках плагина нужно убедиться, что скрипты аналитики действительно блокируются до выбора пользователя.

Уведомление в Роскомнадзор (ст. 22 152-ФЗ). До начала обработки. Подаётся через pd.rkn.gov.ru. Через Госуслуги — отдельная ЭЦП не нужна, достаточно подтверждённой учётной записи. Штраф за неподачу — ч. 10 ст. 13.11 КоАП: для юрлиц 100–300 тыс. руб., для ИП — как для юрлиц.

Всё это должно работать как единый комплект: документы соответствуют реальной практике сайта, чекбоксы работают технически, данные хранятся там, где написано в Политике.

Если делаете самостоятельно — начните с аудита: составьте список всех мест, где вводятся данные, и всех внешних сервисов, куда они уходят. Этот список станет основой Политики.

Штрафы: что грозит, если не закрыть

ФЗ-420 с 30.05.2025 переработал ст. 13.11 КоАП: было 9 частей — стало 18, штрафы выросли кратно. Вот что актуально для типичного WP-сайта:

*ИП по ч. 2 отвечает как должностное лицо: 100–300 тыс. руб.

Про практику: в 2026 РКН усилил автоматизированный мониторинг сайтов. При выявлении нарушения на практике обычно приходит требование об устранении — и только потом штраф. При первом нарушении суд может применить предупреждение по ст. 4.1.1 КоАП. Но это не означает «можно подождать»: требование приходит внезапно, а сроки на устранение короткие.

Что видно при автоматическом мониторинге без доступа к серверу: наличие Политики, работу форм (есть ли чекбокс), наличие cookie-баннера. Это сканируется автоматически.

Пошаговый порядок действий

1. Составьте карту сбора данных Пройдитесь по всем страницам сайта и выпишите: где есть формы, какие плагины рассылок установлены, какая аналитика подключена, есть ли рекламные пиксели. Это основа для Политики и для понимания объёма работ.
2. Проверьте хостинг Убедитесь, что сервер сайта и база данных MySQL находятся в России. Если хостинг зарубежный — перенесите сайт (Beget, Timeweb, REG.RU, Selectel).
3. Замените Google Analytics на Яндекс.Метрику Создайте счётчик в Яндекс.Метрике, установите через официальный плагин или код в header.php. Вебвизор включайте осознанно: если форм с персональными данными много, лучше выключить. Удалите GA4 и GTM-теги с Google Analytics.
4. Добавьте чекбоксы согласия во все формы В Contact Form 7 — тег [acceptance], обязательный. В WPForms — поле «Флажки», сделать обязательным в настройках. Текст рядом с чекбоксом: «Я даю согласие на обработку персональных данных» со ссылкой на Политику. Чекбокс не предзаполнен.
5. Добавьте отдельный чекбокс на рассылку Если после заявки вы отправляете рассылки — добавьте второй отдельный чекбокс: «Согласен получать рекламные сообщения». Он должен быть отдельным от чекбокса на обработку ПДн и тоже непредзаполненным (требование ФЗ-156, с 01.09.2025).
6. Установите cookie-плагин и настройте блокировку до согласия Используйте Complianz или аналог (у CookieYes журнал согласий хранится в облаке разработчика, проверьте локализацию). Главное — в настройках убедитесь, что скрипт Яндекс.Метрики не загружается до нажатия «Принять». Проверьте в DevTools во вкладке Network: до согласия запросов к mc.yandex.ru быть не должно.
7. Подготовьте Политику обработки ПДн Отдельная страница с полным перечнем: какие данные, из каких форм, для каких целей, кто имеет доступ, сколько хранятся, как субъект может потребовать удаления. Укажите используемые внешние сервисы (Яндекс как обработчик Метрики). Опубликуйте и добавьте ссылку в футер.
8. Подайте уведомление в Роскомнадзор Через pd.rkn.gov.ru → «Подать уведомление» → вход через Госуслуги (отдельная ЭЦП не нужна). Укажите все цели обработки, категории данных, категории субъектов, место хранения (сервер в РФ). Проверьте заранее, нет ли вас уже в реестре. Уведомление подаётся до начала обработки.

Материал носит информационный характер, актуален на 2026 год и не заменяет юридическую консультацию по вашему конкретному случаю.