Восемь пунктов: политика, её полнота, согласие в формах, уведомление про cookie, зарубежные счётчики, HTTPS, страна площадки, оператор в реестре Роскомнадзора. Смотрю публичные страницы и исходный код. Приказы, журналы и реальный порядок работы с данными снаружи не видны, так что восемь зелёных означают «снаружи замечаний нет», а не «проверка пройдена».
Проверка сайта на соответствие 152-ФЗ
Введите адрес: посмотрю восемь требований закона о персональных данных и покажу, какие из них сайт не выполняет.
Как это работает
Проверка смотрит на сайт так же, как посмотрит проверяющий: открывает публичные страницы и сверяет их с законом. Доступ к админке не нужен.
Сверять есть что: требования за два года ужесточились. Уведомление в Роскомнадзор теперь подаёт даже сайт с одной формой обратной связи, шесть оснований не подавать его убрали из статьи 22 ещё 01.09.2022. Отдельная история с хранением: часть 5 статьи 18 в редакции с 01.07.2025 запрещает писать данные россиян в базы за пределами страны. И согласие с 01.09.2025 оформляют отдельно от прочих документов, из-за чего привычный общий чекбокс на оферту, рассылку и обработку данных стал слабым местом.
Со счётчиками сложнее. В письме от 26.06.2024 № 08-242780 Роскомнадзор относит метрические программы к обработке персональных данных, а Google Analytics называет трансграничной передачей по части 3 статьи 12. По шрифтам Google, reCAPTCHA и CDN позиции регулятора нет, поэтому они помечены как риск, а не как нарушение.
Коротко
- Что проверяется:
- восемь требований 152-ФЗ, которые видно с публичных страниц.
- Сколько стоит:
- проверка 0 ₽ и без регистрации, пакет документов 490 ₽, мониторинг 990 ₽ в месяц.
- Нужна ли политика:
- да, часть 2 статьи 18.1 требует публиковать её на страницах, где собираются данные.
- Нужно ли уведомлять Роскомнадзор:
- да, с 01.09.2022 освобождений для сайтов с формами не осталось.
- Штрафы:
- нет политики, часть 3 статьи 13.11 КоАП, для юрлиц 30-60 тыс. ₽, для ИП 10-20 тыс. ₽; нет уведомления, часть 10 той же статьи, для юрлиц и ИП 100-300 тыс. ₽ (суммы с 30.05.2025).
- Google Analytics:
- по письму Роскомнадзора от 26.06.2024 № 08-242780 это трансграничная передача, для которой нужно отдельное уведомление по части 3 статьи 12.
Частые вопросы
Да. Часть 2 статьи 18.1 обязывает оператора, который собирает данные через интернет, опубликовать политику на страницах, где идёт сбор. Форма заявки, обратный звонок, подписка это сбор. За отсутствие публикации часть 3 статьи 13.11 КоАП: граждане 1,5-3 тыс. ₽, ИП 10-20 тыс. ₽, юрлица 30-60 тыс. ₽ (с 30.05.2025).
Если сайт собирает данные, да. До 01.09.2022 работали шесть исключений, включая договор с субъектом и данные работников, и все шесть утратили силу. Остались три узких случая, к обычному сайту они не относятся. Уведомляют до начала обработки, госпошлины нет. За неподанное уведомление часть 10 статьи 13.11 КоАП, юрлицам и ИП 100-300 тыс. ₽.
Роскомнадзор в письме от 26.06.2024 № 08-242780 пишет, что Google Analytics предполагает трансграничную передачу и требует отдельного уведомления по части 3 статьи 12. На другие зарубежные счётчики это переносится по смыслу, поимённо в письме их нет. Сложность в другом: до подачи уведомления оператор обязан получить от иностранного получателя сведения о мерах защиты, а от Google их не получить.
Ещё вопросы (4)
Прямой нормы про баннер нет, слова cookie в 152-ФЗ тоже нет. Обязанность выводят из статьи 9 и письма Роскомнадзора: аналитика это обработка данных, требующая информирования и согласия. А «отказаться так же просто, как согласиться» и категории cookie это европейская практика, в России не закреплённая. Поэтому пункт стоит как риск.
Сам хостинг не запрещён. Запрещено другое: с 01.07.2025 запись, накопление и хранение данных россиян в базах за пределами страны не допускаются, кроме узкого списка исключений. Если форма пишет заявку сразу в зарубежный сервис, это часть 8 статьи 13.11 КоАП, юрлицам и ИП 1-6 млн ₽. По IP видна только площадка, так что это направление для разбирательства.
PDF-отчёт с планом правок и четыре документа в DOCX под ваши реквизиты: политика, согласие для форм, cookie-уведомление с HTML-сниппетом, уведомление в Роскомнадзор. Плюс инструкция по установке для Tilda, WordPress, Bitrix и самописного сайта. Брать имеет смысл, когда проверка показала красные пункты по документам. Оплата по счёту или по ссылке после заявки.
Проверку собрал я, Кирилл Юсупов, юристом я не работаю. Нормы, даты и суммы штрафов взяты из текста 152-ФЗ и статьи 13.11 КоАП, спорные места помечены спорными. Отчёт помогает увидеть картину и прийти к юристу с вопросами, а не заменяет его.
Кто это сделал
