Аудит сайта по 152-ФЗ: из чего он состоит и сколько стоит

Коротко: Аудит сайта по 152-ФЗ – это комплексная проверка юридических документов, технической части (формы, cookie, интеграции), процессов обработки данных и безопасности. Он помогает выявить нарушения, которые могут привести к штрафам Роскомнадзора или утечке данных.

Аудит сайта 152 ФЗ – это проверка, которая показывает, насколько ваш интернет-ресурс соответствует требованиям закона «О персональных данных». Если вы собираете email, телефон, имя посетителя или используете cookie, ваш сайт уже обрабатывает персональные данные (ПДн). Игнорирование требований 152-ФЗ грозит штрафами, которые с 2025 года могут достигать миллионов рублей. В этой статье разберём, из каких этапов состоит аудит, что именно проверяют и сколько это может стоить.

Что такое аудит сайта на соответствие 152-ФЗ

Аудит сайта 152 ФЗ – это комплексная проверка всех процессов обработки персональных данных на вашем сайте. Цель – выявить нарушения, которые могут привести к претензиям Роскомнадзора (РКН) или утечке данных. Аудит охватывает не только техническую часть (код, сервер, формы), но и юридическую (документы, согласия, политики).

Кому нужен аудит

Аудит необходим любому сайту, который собирает данные посетителей:

• Интернет-магазины (сбор ФИО, адреса, телефона для доставки)
• Сайты с формами обратной связи (email, телефон)
• Лендинги и корпоративные сайты (сбор заявок)
• Сайты с регистрацией пользователей (логин, пароль, email)
• Сайты, использующие cookie и аналитику (Яндекс.Метрика, Google Analytics)

Что будет, если не проводить аудит

Штрафы по ст. 13.11 КоАП РФ за нарушения в области ПДн существенно выросли к 2024-2025 годам. Например, за обработку данных без согласия организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП). А с мая 2025 года (420-ФЗ) за утечку данных штраф для юрлиц составляет от 3 до 15 млн ₽ в зависимости от числа субъектов (за биометрию – 15–20 млн ₽), а при повторном нарушении – оборотный штраф от 1% до 3% годовой выручки (но не менее 20 млн и не более 500 млн ₽). Поэтому аудит – не формальность, а способ избежать серьёзных финансовых потерь.

Этапы аудита сайта по 152-ФЗ

Аудит обычно состоит из нескольких этапов. Разберём каждый подробно.

Юридический аудит документов

Первый этап – проверка документальной базы. Даже если технически сайт собран правильно, без документов вы нарушаете закон.

Политика обработки персональных данных

Это главный документ, который должен быть в открытом доступе на сайте. В нём описывается:

• Какие данные собираете
• Для каких целей
• Как храните и обрабатываете
• Как пользователь может отозвать согласие
• Сроки хранения данных

Политика должна описывать для каждой цели категории данных, субъектов, способы, сроки обработки и порядок уничтожения (п. 2 ч. 1 ст. 18.1 152-ФЗ). Нельзя писать общими фразами «мы собираем данные для улучшения сервиса» – нужно чётко указать цели.

Согласие на обработку персональных данных

По ст. 9 152-ФЗ согласие должно быть получено до начала сбора данных. Форма согласия зависит от типа данных:

• Общий случай – согласие может быть в любой форме, подтверждающей факт его получения
• Специальные категории (ст. 10 152-ФЗ – здоровье, национальность, судимость) – требуется согласие в письменной форме (бумага или электронный документ с электронной подписью); галочки недостаточно
• Биометрические данные (ст. 11 152-ФЗ) – только письменное согласие

Важный нюанс: согласие на распространение данных (ст. 10.1 152-ФЗ, действует с 1 марта 2021) оформляется ОТДЕЛЬНО от согласия на обработку. Если вы планируете публиковать отзывы клиентов с их именем и фото, нужно именно такое согласие.

Согласие на cookie

Cookie – персональные данные, если вместе с IP и другими данными позволяют определить человека. За обработку данных без согласия – в том числе за сбор cookie – организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Прямой нормы про формат cookie-баннера в 152-ФЗ нет: закон требует согласия до начала обработки. Для чувствительных случаев (передача данных рекламным партнёрам) рекомендуем активное согласие (галочка), а не молчаливое (продолжение просмотра сайта).

Договоры-поручения с обработчиками

Хостинг, CRM, сервисы email-рассылок – это лица, обрабатывающие ПДн по поручению оператора (ч. 3 ст. 6 152-ФЗ). С ними нужен договор-поручение, где указаны перечень данных и действий, цели обработки, конфиденциальность, требования ч. 5 ст. 18 (локализация), меры защиты и уведомление об утечках. Аудит проверяет наличие таких договоров и их соответствие закону.

Технический аудит сайта

Второй этап – проверка того, как данные собираются и хранятся технически.

Формы сбора данных

Проверяется каждая форма на сайте:

• Есть ли галочка согласия на обработку ПДн
• Ссылка на политику обработки ПДн
• Не собираются ли лишние данные (например, поле «паспортные данные» в форме подписки на новости – это нарушение)
• Корректно ли настроена передача данных (через HTTPS, без утечек в открытом виде)

Cookie и трекеры

Аудит проверяет:

• Какие cookie используются (технические, аналитические, рекламные)
• Есть ли баннер с выбором cookie
• Собирается ли согласие до установки необязательных cookie
• Передаются ли данные третьим лицам (Google, Facebook, Яндекс)

Если вы используете сервисы из стран, не входящих в перечень с «адекватной защитой ПДн» (приказ РКН от 16.09.2026 № 253, действует с 30.10.2026), передача данных туда требует уведомления Роскомнадзора о трансграничной передаче – причём уведомить нужно до её начала, и это касается передачи в любую страну, а не только в страны вне перечня. Для стран вне перечня действует дополнительное условие: передачу можно начать не раньше чем через 10 рабочих дней после уведомления, и Роскомнадзор вправе её запретить. В перечень входят страны Евросоюза и другие участники Конвенции Совета Европы о защите персональных данных, а также ряд других государств (Беларусь, Казахстан, Китай, Индия, Австралия, Канада, Южная Корея), но не США; перечень может меняться, поэтому проверяйте его актуальную редакцию. Американские облака и сервисы нельзя использовать как первичную базу ПДн граждан РФ (ч. 5 ст. 18 152-ФЗ в ред. 23-ФЗ); копию данных можно передавать после уведомления РКН по ст. 12.

Защита данных при передаче и хранении

Проверяется:

• Использование HTTPS
• Шифрование данных при передаче
• Защита баз данных от несанкционированного доступа
• Логирование доступа к данным

Интеграции с внешними сервисами

Сайт может передавать данные в CRM, сервисы аналитики, рекламные кабинеты. Аудит проверяет каждую интеграцию:

• Какие данные передаются
• Есть ли согласие пользователя на эту передачу
• Заключён ли договор-поручение с обработчиком

Проверка процессов обработки данных

Третий этап – как вы работаете с данными внутри компании.

Уведомление Роскомнадзора

До начала обработки ПДн оператор обязан уведомить РКН. Уведомление подаётся через pd.rkn.gov.ru или Госуслуги по форме приказа РКН от 28.10.2022 №180. Рассмотрение занимает 30 дней. Аудит проверяет, подано ли уведомление и соответствует ли оно действительности.

Порядок обработки запросов пользователей

Пользователь имеет право:

• Получить информацию о своих данных (ст. 14 152-ФЗ)
• Потребовать удаления данных (ст. 21 152-ФЗ)
• Отозвать согласие на обработку

После отзыва согласия оператор обязан уничтожить данные в течение 30 дней. Аудит проверяет, есть ли процедура обработки таких запросов и соблюдаются ли сроки.

Сроки хранения данных

Хранение согласия на обработку ПДн как документа – 3 года с момента истечения или отзыва (перечень, приказ Росархива №236). Документы по личному составу (архив) хранятся 50 лет, если оформлены после 1.01.2003, и 75 лет – если раньше (ст. 22.1 125-ФЗ). Аудит проверяет, не храните ли вы данные дольше необходимого.

Аудит безопасности

Четвёртый этап – проверка уязвимостей, которые могут привести к утечке.

Тестирование на проникновение

Специалисты пытаются найти уязвимости:

• SQL-инъекции (возможность получить доступ к базе данных)
• XSS-атаки (возможность украсть cookie или данные форм)
• Небезопасные прямые ссылки на файлы с данными

Проверка доступа к данным

Кто имеет доступ к базам данных? Есть ли разграничение прав? Аудит проверяет, не может ли стажёр или уволенный сотрудник получить доступ к ПДн клиентов.

Мониторинг утечек

Проверяется, есть ли система обнаружения утечек и реагирования на инциденты. Если утечка произошла, нужно уведомить РКН: 24 часа на первичное уведомление, 72 часа на детальное (с результатами внутреннего расследования) – порядок по приказу РКН от 14.11.2022 №187.

Аудит включает четыре основных этапа, каждый из которых проверяет свою зону ответственности.

Сколько стоит аудит сайта по 152-ФЗ

Стоимость аудита зависит от объёма работ, сложности сайта и количества проверяемых процессов. Поэтому её обычно считают индивидуально, но порядок цен заметно зависит от уровня сложности.

Факторы, влияющие на стоимость

• Размер сайта – количество страниц, форм, интеграций
• Тип данных – если обрабатываются специальные категории (здоровье, биометрия), аудит сложнее
• Объём трафика – чем больше пользователей, тем выше риски и сложнее проверка
• Необходимость пентеста – тестирование на проникновение увеличивает стоимость
• Срочность – если аудит нужен «вчера», цена выше

Примерные цены на рынке

• Базовый аудит (лендинг или небольшой сайт с 1-2 формами) – самый простой и недорогой вариант: проверяются документы, формы и cookie.
• Стандартный аудит (интернет-магазин или сайт с регистрацией) – дороже: больше форм, личный кабинет, интеграции с CRM, платёжными и почтовыми сервисами.
• Полный аудит с пентестом (крупный портал, обработка спецкатегорий) – самый дорогой вариант: к юридической проверке добавляется тестирование защищённости.

Некоторые компании предлагают абонентское обслуживание – ежемесячный мониторинг и обновление документов. Цена такого обслуживания зависит от объёма сайта и числа документов.

Что входит в стоимость

В типовой аудит обычно входит:

• Юридическая проверка документов (политика, согласия, договоры)
• Техническая проверка форм и cookie
• Анализ интеграций
• Отчёт с выявленными нарушениями
• Рекомендации по устранению

Дополнительно могут оплачиваться:

• Разработка недостающих документов
• Настройка cookie-баннера
• Пентест
• Юридическое сопровождение при проверках РКН

Как часто нужно проводить аудит

Рекомендуется проводить аудит сайта 152 ФЗ не реже одного раза в год. Но есть случаи, когда аудит нужен внепланово:

• Изменение законодательства – например, после вступления в силу 420-ФЗ (май 2025) штрафы выросли, и старые настройки могли стать недостаточными
• Обновление сайта – добавление новых форм, интеграций, смена CMS
• Инцидент с данными – после утечки или жалобы пользователя
• Проверка РКН – если пришло предписание или вы знаете о плановой проверке

Как подготовиться к аудиту

Чтобы аудит прошёл быстрее и дешевле, можно сделать часть работы самостоятельно.

Соберите документы

Подготовьте:

• Политику обработки персональных данных
• Тексты согласий на обработку
• Договоры-поручения с обработчиками (хостинг, CRM, сервисы)
• Уведомление в РКН (если подавали)
• Приказы о назначении ответственного за обработку ПДн

Проверьте формы на сайте

Пройдите по сайту и проверьте каждую форму:

• Есть ли галочка согласия
• Ссылка на политику
• Не собираются ли лишние данные

Настройте cookie-баннер

Если баннера нет – это первое, что нужно сделать. Используйте решения, которые позволяют получать активное согласие (галочка) для необязательных cookie.

Проверьте интеграции

Составьте список всех сервисов, которым вы передаёте данные (Яндекс.Метрика, Google Analytics, CRM, сервисы рассылок). Проверьте, есть ли с ними договоры.

Что делать после аудита

Аудит – это инструмент. После получения отчёта нужно устранить нарушения.

Устраните критические нарушения

В первую очередь исправьте то, что грозит штрафами:

• Отсутствие согласия на обработку
• Сбор лишних данных
• Отсутствие политики обработки
• Передача данных без договора

Обновите документы

Если политика или согласия не соответствуют закону, их нужно переписать. Лучше доверить это юристу, специализирующемуся на 152-ФЗ.

Настройте техническую защиту

Установите HTTPS, настройте шифрование, ограничьте доступ к базам данных. Если сайт на CMS, обновите её и плагины – старые версии часто содержат уязвимости.

Внедрите процессы

Назначьте ответственного за обработку ПДн, создайте процедуру обработки запросов пользователей, настройте логирование доступа к данным.

Главное

Аудит сайта 152 ФЗ – это необходимая процедура для любого сайта, собирающего данные пользователей. Он состоит из юридической проверки документов, технического аудита форм и cookie, анализа процессов обработки и тестирования безопасности. Стоимость зависит от сложности сайта, но вложения в аудит несопоставимы с потенциальными штрафами – до 15 млн ₽ за утечку (до 20 млн ₽ за биометрию) и до 500 млн ₽ оборотного штрафа при повторной утечке. Регулярный аудит (раз в год или после изменений) поможет избежать претензий РКН и защитить бизнес от финансовых потерь. Помните: аудит сайта 152 фз – это часть регулярной работы с данными клиентов.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 11 (биометрические данные)
• 152-ФЗ «О персональных данных» – ст. 10.1 (согласие на распространение)
• 152-ФЗ «О персональных данных» – ст. 14 (право на информацию)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.