Проверка сайта на соответствие 152-ФЗ: чек-лист из 12 пунктов
Большинство нарушений на сайте видно снаружи. Инспектору не нужен доступ к вашей CRM и серверу, чтобы зафиксировать отсутствие политики, предзаполненную галочку или неработающую ссылку, — достаточно открыть страницу. Поэтому первую проверку вы можете провести сами примерно за полчаса и закрыть большую часть рисков до того, как ими займётся кто-то другой.
Ниже — порядок такой проверки: кого и как проверяют, двенадцать пунктов, что сколько стоит и в каком порядке это чинить.
Кого и когда проверяют
Плановые проверки идут по утверждённому плану и касаются в первую очередь крупных операторов. Для среднего бизнеса реальный сценарий другой — внеплановая проверка по обращению. Механика простая: человек оставил заявку, потом начал получать рассылку, на которую не подписывался, написал жалобу — и появился повод.
Второй распространённый сценарий — мониторинг без взаимодействия: Роскомнадзор просматривает сайты в автоматическом и ручном режиме и фиксирует нарушения, видимые публично. Отсутствие политики и неработающие ссылки ловятся именно так.
Третий — утечка. Здесь проверка приходит не к тому, кто плохо оформил галочку, а к тому, у кого база клиентов оказалась в открытом доступе. Суммы там принципиально другие, о них ниже.
Чек-лист: 12 пунктов
- Уведомление в Роскомнадзор подано. Оператор обязан уведомить регулятор до начала обработки данных. Проверяется по реестру на сайте РКН по ИНН. Это единственный пункт, который не виден на самом сайте, и самый частый пропуск: компания годами собирает заявки и не считает себя оператором.
- Политика обработки персональных данных опубликована. Отдельной страницей, ссылка в подвале на всех страницах, страница отдаёт код 200 и не закрыта от индексации.
- В политике ваши реквизиты и ваша фактическая обработка. Название, ИНН, адрес — ваши; перечислены все формы, которые есть на сайте сейчас; указаны cookies и счётчики. Как это проверить подробно — в разборе структуры политики.
- У каждой формы есть чекбокс, и он не отмечен по умолчанию. Включая всплывающие окна, форму в шапке, форму в подвале и форму в карточке услуги. Проверять в режиме инкогнито: браузер может подставлять состояние из кэша.
- Текст рядом с чекбоксом содержит рабочие ссылки. На согласие и на политику. Обе открываются, обе ведут на ваш сайт.
- Согласие на рассылку — отдельная галочка. Если вы добавляете человека в рассылку после заявки, одного чекбокса недостаточно: рекламные сообщения регулируются отдельно, статьёй 18 закона «О рекламе».
- Форма не собирает больше, чем описано. Откройте исходный код формы и посмотрите скрытые поля: UTM-метки, идентификатор посетителя, номер из коллтрекинга,
referer. Всё, что уходит вместе с заявкой, должно быть отражено в политике. - Есть баннер о cookies, и он даёт выбор. Кнопка «Хорошо» в единственном экземпляре — это уведомление, а не согласие. Нужны две равнозначные кнопки, а скрипты аналитики должны запускаться после выбора.
- Данные хранятся на серверах в России. Требование локализации: первичный сбор и хранение данных российских граждан — в базах на территории РФ. Это касается хостинга сайта, почты, CRM и сервиса рассылок. Зарубежный хостинг при работе с российскими клиентами — отдельный и дорогой состав.
- Соединение защищено. Действующий сертификат HTTPS, весь сайт на https, форма не отправляется по http. Незашифрованная передача персональных данных — нарушение мер защиты.
- Есть рабочий канал для обращений. Адрес, по которому человек может потребовать удалить данные или отозвать согласие. Отправьте на него письмо сами и убедитесь, что оно дошло и на него ответили.
- Назначен ответственный за организацию обработки данных. Внутренний приказ и комплект документов: положение об обработке, перечень мер, журнал учёта. Этого не видно на сайте, но это первое, что запрашивают при проверке.
Сколько стоят нарушения
Размеры штрафов по статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года (Федеральный закон от 30.11.2024 № 420-ФЗ):
| Нарушение | Должностные лица и ИП | Юридические лица |
|---|---|---|
| Обработка без согласия или с целями, несовместимыми с заявленными | 10 000 – 20 000 ₽ | 60 000 – 100 000 ₽ |
| Обработка без письменного согласия там, где оно обязательно | 20 000 – 40 000 ₽ | 100 000 – 300 000 ₽ |
| Повторное нарушение | до 100 000 ₽ | 300 000 – 500 000 ₽ |
| Нет политики или она не опубликована | 3 000 – 6 000 ₽ | 15 000 – 30 000 ₽ |
| Не подано уведомление в Роскомнадзор | 30 000 – 50 000 ₽ | 100 000 – 300 000 ₽ |
| Нарушение локализации баз данных | 6 000 – 12 000 ₽ | 100 000 – 500 000 ₽ |
Утечка данных с 2025 года — самостоятельный состав с принципиально другим масштабом: для юридического лица от 3 млн рублей при утечке данных от тысячи человек, до 15 млн при утечке специальных категорий данных и до 20 млн при утечке биометрии. За повторную утечку предусмотрен оборотный штраф — от 1 до 3 % годовой выручки. Отдельно наказывается несообщение об утечке регулятору: от 1 до 3 млн рублей.
Сопоставление простое: привести сайт в порядок стоит дешевле, чем один штраф по средней части таблицы.
Что чинится за час, а что требует разработчика
Разделите найденное на три корзины — это экономит недели.
За час, силами контент-менеджера: снять предзаполненную галочку, если она правится в настройках формы; починить битые ссылки на политику; поставить ссылку в подвал; добавить дату редакции документа.
За день, силами разработчика: добавить чекбоксы в формы, где их нет; вывести отдельную галочку на рассылку; перенастроить баннер cookies так, чтобы аналитика запускалась после согласия; закрыть форму от отправки без согласия на стороне сервера, а не только скриптом в браузере.
Дольше и с юристом: уведомление в Роскомнадзор, приведение политики в соответствие с фактической обработкой, внутренние документы, перенос данных на российские серверы, если сейчас они не там.
Порядок работ выстраивается по стоимости риска: сначала уведомление и локализация, потом политика и согласия, потом косметика.
Когда самопроверки недостаточно
Чек-лист закрывает то, что видно снаружи. Он не покажет, что заявки дублируются в третий сервис, о котором забыли ещё в прошлом году; что в резервных копиях лежит база пятилетней давности; что у подрядчика остался доступ к админке с правами администратора. Такие вещи находятся только при осмотре инфраструктуры.
Если на сайте собираются не только имя и телефон, если подключены CRM, рассылка, коллтрекинг и платежи, если у компании несколько сайтов и лендингов под рекламу — разумнее заказать аудит сайта: получите список несоответствий с приоритетами и оценкой работ. Приведение в порядок под ключ — это отдельная услуга, от уведомления до переделки форм.
Если проверка уже пришла
Порядок действий, который экономит деньги.
Зафиксируйте, что именно предъявлено. В запросе или предписании указаны конкретные нарушения и срок устранения. Работать нужно по этому списку, а не по общему представлению о том, что могло не понравиться.
Не переделывайте сайт задним числом молча. Устранить нарушение нужно, но так, чтобы это можно было подтвердить: скриншоты до и после, дата правок, письмо с отчётом об устранении в срок. Молчаливое исправление без ответа на предписание — отдельное нарушение.
Соберите доказательства добросовестности. Опубликованная политика, поданное уведомление, внутренние документы, приказ об ответственном. Даже если что-то было сделано с опозданием, наличие системы работы с данными учитывается.
Не отвечайте на запрос больше, чем спросили. Развёрнутый рассказ о всех процессах обработки данных в компании нередко порождает новые вопросы. Отвечать нужно по существу заданного.
Проверьте, нет ли аналогичных нарушений на других ваших ресурсах. Лендинги под рекламу, поддомены, старые версии сайта — по ним придут следующим шагом.
На этом этапе имеет смысл подключить юриста: разница в формулировке ответа влияет на квалификацию нарушения и на размер санкции.
Частые вопросы
Насколько вероятна проверка для небольшой компании?
Плановая — маловероятна. Внеплановая по жалобе и фиксация нарушения при мониторинге — вполне реальны и не зависят от размера бизнеса.
Если сайт делал подрядчик, отвечает он?
Нет. Перед регулятором отвечает оператор — владелец сайта. Договором можно распределить последствия между собой, но не перенести ответственность.
Мы собираем только имя и телефон. Это тоже персональные данные?
Да, в совокупности с содержанием заявки они позволяют определить конкретного человека.
Нужно ли уведомление, если заявки приходят просто на почту?
Да. Способ хранения не важен: почтовый ящик с заявками — это тоже обработка и хранение данных.
Сколько времени занимает приведение сайта в порядок?
Типовой сайт услуг с 3–5 формами: 1–2 дня работ на стороне сайта плюс время на документы и уведомление. Основная задержка обычно не техническая, а организационная — подготовка политики и внутренних документов.
Что делать, если нарушение уже зафиксировали?
Устранить и подтвердить устранение в срок, указанный в предписании. Быстрое устранение учитывается при определении размера санкции, поэтому тянуть невыгодно.
Материал носит информационный характер и не заменяет юридическую консультацию. Данные о размерах штрафов актуальны на сентябрь 2026 года.
