Аудит сайта на соответствие ФЗ-152: как проверить свой сайт и избежать штрафов

Владельцы сайтов автоматически становятся операторами персональных данных (ПДн), если на ресурсе собирается информация о посетителях — например, через формы подписки, регистрации, заказа товаров, обратной связи и пр.. Любые сведения, позволяющие идентифицировать человека (ФИО, телефон, e-mail, IP-адрес, cookie и т.д.), считаются ПДн. Если сайт собирает такие данные (даже просто имя и телефон при заполнении формы), его владелец обязан соблюдать требования 152‑ФЗ.

Почему сайт попадает под требования 152-ФЗ

Любой сайт, на котором посетители оставляют личные данные или с которого такие данные собираются автоматически (через cookie или метрики), подпадает под действие закона «О персональных данных». Владелец ресурса признаётся оператором ПД, как только начинает обрабатывать информацию о клиентах или посетителях, и тогда на него распространяются все правила 152‑ФЗ. Например, под обработку подпадают случаи, когда посетители сайта:

• подписываются на рассылку новостей или акций (оставляя имя, телефон, e-mail);
• регистрируются в личном кабинете (имя, телефон, пароль и др.);
• оформляют заказ товара или услуги (ФИО, телефон, адрес доставки);
• заполняют любые формы обратной связи («заказать звонок», «заказать демо», отклик на вакансию и т.д.);
• и даже при использовании cookie-файлов и метрик (IP-адрес, поведение на сайте), которые могут относиться к ПДн.

Каждый такой сбор данных требует наличия правовых оснований (обычно — согласия пользователя) и оформления соответствующих документов. Если сайт взаимодействует с персональными данными пользователей, он обязан выполнять требования закона.

Что проверяет Роскомнадзор

При проверке сайта Роскомнадзор обращает внимание на соответствие многих технических и юридических требований закона о ПДн. В частности, инспекторы проверяют:

• Хостинг и расположение серверов. Сайт и базы данных должны находиться на территории России, если обрабатываются данные граждан РФ.
• Cookie-баннер и согласие. Если сайт использует cookie (трекеры, метрики и пр.), при первом визите должен появляться предупреждающий баннер с выбором согласия пользователя на их использование.
• Аналитические системы. При подключении сторонних метрик (например, Яндекс.Метрика, Google Analytics) надо убедиться, что это разрешено. Особенно важно: Google Analytics требует разрешения РКН из-за трансграничной передачи данных.
• Формы обратной связи. Под каждой формой, в которой пользователь вводит личные данные (заявка, обратный звонок, регистрация и т.д.), должен быть отдельный чекбокс или явное согласие на обработку ПДн. Нельзя отправлять формы без явного действия пользователя (например, с уже стоящими галочками).
• Политика обработки ПД. На сайте должна быть опубликована актуальная Политика конфиденциальности — документ, где описываются цели, способы обработки и защиты ПДн. Политика обязана быть доступна на видном месте (обычно — в футере или рядом с формами).
• Уведомление РКН. Владелец сайта должен подать в Роскомнадзор уведомление о начале обработки ПДн (если используется автоматизированная обработка). РКН проверяет наличие записи об операторе в реестре персональных данных. Можно самостоятельно убедиться в этом, найдя компанию по названию или ИНН в реестре операторов на сайте РКН.

На портале Роскомнадзора есть реестр операторов персональных данных, где по названию компании или ИНН можно проверить, подано ли уведомление о сборе ПДн.

Проверяющие ожидают, что технические и юридические сведения на сайте будут согласованы между собой: сервер расположен в РФ, баннеры и формы настроены правильно, а текст политики соответствует реальным процессам компании. Любое расхождение (например, указана неверная база данных в регистрации или список метрик в политике не соответствует реально подключённым) может стать поводом к замечанию.

Частые ошибки при подготовке сайта

Из опыта аудитов и проверок можно выделить типичные нарушения, ведущие к штрафам и предписаниям:

• «Шаблонные» документы. Множество сайтов размещает наугад скачанную политику конфиденциальности или согласие, не адаптированное под компанию. В результате в документе остаются пустые поля или ссылки на чужую организацию. Также встречаются «пустые» шаблоны, которые формально есть, но содержат только общие цитаты закона вместо реальных данных и процессов.
• Отсутствие или некорректное согласие. Под формами не всегда присутствуют ссылки на отдельный документ «Согласие на обработку ПДн». Бывает, что вместо согласия ставят ссылку на политику или вообще никакой чекбокс. Предустановленные галочки (что нарушает добровольность согласия) также встречаются. Ошибкой является объединение в одном поле разных документов («Пользовательское соглашение», «Политика» и «Согласие») — пользователь теряет выбор и формально соглашается со всем сразу.
• Неправильная форма обратной связи. Часто забывают поставить активный чекбокс согласия под формой («Обработке ПД»). Или в форме запрашиваются лишние личные данные (паспортные данные, паспорт) там, где это не нужно для цели обращения.
• Отсутствие cookie-баннера. Если на сайте включены любые файлы cookie или скрипты аналитики, при первом заходе должен показываться баннер с отключаемым согласием. Его отсутствие расценивается как обработка без правового основания.
• Неполная политика. В политике может не указываться, например, использование конкретных метрик (Яндекс.Метрика, Google Analytics) или не описываться цели обработки данных. Отсутствие подробностей о сборе cookie-файлов тоже является типичной ошибкой.

Эти и другие недочёты («копирование чужой политики», «прописаны неверные правовые основания») зачастую выявляются на проверках. Соблюдение мельчайших формальностей важно: даже одна ошибка в оформлении чекбокса или текста политики может привлечь внимание контролирующих органов.

Алгоритм самопроверки сайта

Чтобы самостоятельно проверить сайт, можно пройти условную последовательность шагов:

1. Определите, обрабатывает ли сайт персональные данные. Если есть любые формы обратной связи (подписка, заказ, регистрация, комментарий и т.д.) или используются cookie и метрики — обработка есть. В этом случае считайте себя оператором ПДн и переходите к следующему шагу.
2. Проверьте наличие чекбоксов согласия. Убедитесь, что на всех формах с личными данными есть отдельный чекбокс для согласия на обработку ПД. Он должен быть не проставлен по умолчанию: посетитель должен сам отметить его перед отправкой формы.
3. Проверьте документы. Убедитесь, что на сайте опубликованы актуальная Политика обработки ПДн и отдельные Согласия. Политика должна быть доступна (обычно — в футере сайта) и отражать реальные процессы компании. Все ссылки под формами должны вести на «Согласие», а в нём должно быть краткое содержание целей и категорий собираемых данных.
4. Проверьте хостинг и метрики. Удостоверьтесь, что сервер сайта (и базы данных) находится в РФ. Если используются зарубежные сервисы (Google Analytics и т.п.), проверьте наличие разрешения РКН на трансграничную передачу и упоминание их в документах.
5. Проверьте уведомление в РКН. Зайдите на сайт РКН в раздел реестра операторов ПДн и найдите свою компанию по названию или ИНН. Если уведомление не было подано — сделайте это как можно скорее до начала обработки данных.
6. Настройте cookie-баннер. Если на сайте активны cookie-скрипты, запустите всплывающее окно с уведомлением и возможностью выбора согласия. Проверьте, что баннер не просто информирует, но и позволяет отключить лишние cookie.
7. Тестируйте и фиксируйте. Пройдитесь по сайту как пользователь: заполните все формы, снимите галочки, проверьте, что после отправки есть подтверждение согласия и корректные уведомления. При необходимости найдите онлайн-сервисы или чек-листы для оценки готовности сайта.

Таким образом вы получите ясную картину, какие доработки нужны. Важно действовать заранее: согласно рекомендациям экспертов, прямо сейчас стоит «переписать политику, поставить галочки во все формы и убедиться, что сайт и серверы находятся в России».

Чем грозит несоответствие

Несоблюдение требований 152‑ФЗ влечёт серьёзные санкции. С 30 мая 2025 года штрафы за нарушения могут достигать сотен тысяч и даже миллионов рублей. Так, например:

• Отсутствие уведомления в РКН – штраф 100 000–300 000 ₽.
• Нет политики конфиденциальности (или она скопирована из чужого образца, неактуальна) – штраф 30 000–60 000 ₽.
• Сбор данных без согласия – штраф 300 000–700 000 ₽.
• Хранение данных за рубежом без разрешения – до 6 млн ₽ (для юрлиц).
• Утечка из-за ненадлежащей защиты – до 15 млн ₽ (при особо крупном ущербе).

Помимо финансовых санкций Роскомнадзор может вынести и более жёсткие меры. Так, за предоставление доступа к ПД без регистрации оператора или отсутствие на сайте обязательной политики закон позволяет заблокировать ресурс в течение 24 часов. Также РКН может приостановить обработку ПД (что фактически «замораживает» бизнес-процессы, например работу с клиентской базой) и даже потребовать дисквалификации ответственных лиц. Как отмечают эксперты, уже одна невнимательная «мелочь» (например, предустановленный чекбокс) становится формальным поводом для блокировки.

Подводя итог: штрафы 152-ФЗ реальны и ощутимы, а при серьёзных нарушениях сайт компании может оказаться недоступен. Соблюдение требований ПДн — это не формальность, а средство защитить бизнес и избежать остановки работы.

Когда стоит заказывать профессиональный аудит

Провести аудит самостоятельно можно, но для комплексной проверки часто привлекают экспертов. Профессиональный аудит сайта на 152-ФЗ обычно включает юриста и технического специалиста, которые детально изучат документы и код сайта. Это важно особенно для крупных проектов с множеством форм или подключенных сервисов: специалисты выявят ошибки, которые можно пропустить при поверхностной проверке.

Опыт показывает, что регулярный профессиональный аудит сайта значительно снижает риск штрафов. Он помогает обнаружить скрытые несоответствия и устранить их до проверок контролёров. Юридические консультанты подготовят актуальные документы (политику, согласия, оферту), а технические эксперты настроят баннеры, чекбоксы и проверят хостинг. Благодаря такому подходу владелец сайта получает подробное заключение и рекомендации, как привести все аспекты бизнеса в соответствие с законом и избежать претензий со стороны РКН.

Услуга аудита сайта на соответствие 152-ФЗ от «Роском Эксперт» — это комплексная проверка с участием юриста и технического специалиста, детальное заключение по результатам и пошаговые рекомендации по устранению нарушений. Узнайте больше на r-exp.ru.