Как проверить сайт на соответствие 152-ФЗ: пошаговая инструкция

Коротко: Проверка сайта на 152-ФЗ – это 10 шагов: определить собираемые данные, разместить политику обработки, настроить согласие и cookie-баннер, проверить трансграничную передачу, подать уведомление в Роскомнадзор, обеспечить безопасность, организовать обработку запросов, заключить договоры-поручения с обработчиками и подготовиться к инцидентам.

Проверка сайта на 152 фз – это не разовая акция перед приходом проверки Роскомнадзора, а регулярная процедура, которая должна стать частью работы любого бизнеса, собирающего данные посетителей. Штрафы за нарушения выросли до миллионов рублей, а с мая 2025 года заработали новые нормы об оборотных штрафах за утечки. В этой инструкции – 10 шагов, которые помогут провести аудит сайта самостоятельно и понять, какие документы и технические решения нужны, чтобы не попасть под санкции.

Шаг 1. Определите, какие данные вы собираете

Прежде чем что-то менять на сайте, нужно понять, какие персональные данные (ПДн) вообще попадают к вам в руки. Многие владельцы сайтов даже не подозревают, что собирают данные, которые подпадают под 152-ФЗ.

Какие данные считаются персональными

По закону персональные данные – это любая информация, которая прямо или косвенно относится к конкретному человеку. Это не только паспортные данные и адрес. Сюда входят:

• Имя и фамилия (даже если только имя в форме обратной связи)
• Номер телефона
• Email-адрес
• IP-адрес посетителя
• Cookie-файлы и идентификаторы аналитики (если вместе с другими данными позволяют определить человека)
• Данные геолокации
• Идентификаторы устройств

Категории данных по 152-ФЗ

Важно разделить данные на категории, потому что для каждой – свои требования:

• Общие ПДн (имя, телефон, email) – достаточно стандартного согласия на обработку (ст. 9 152-ФЗ)
• Специальные категории (ст. 10 152-ФЗ) – здоровье, национальность, политические убеждения, судимость. Для них нужно согласие в письменной форме (ч. 1 ст. 10 152-ФЗ)
• Биометрические ПДн (ст. 11 152-ФЗ) – фото, голос, отпечатки пальцев, если оператор использует их для установления личности (например, вход по лицу). Обычное фото на сайте – обычные ПДн. Биометрию обрабатывают с письменного согласия, кроме случаев, установленных ч. 2 ст. 11 (например, правосудие, оборона, обязательная дактилоскопическая и геномная регистрация)
• Данные, разрешённые для распространения (ст. 10.1 152-ФЗ) – то, что человек сам разрешил публиковать (например, фото в соцсетях). Согласие на распространение оформляется отдельно от согласия на обработку

Требования к согласию зависят от категории персональных данных.

Что проверить на сайте

Пройдитесь по всем страницам и формам:

• Форма подписки на рассылку
• Форма обратной связи
• Форма заказа/оформления заказа
• Форма регистрации
• Форма комментариев
• Чат поддержки
• Личный кабинет
• Страница с отзывами (если там видны данные клиентов)

Запишите, какие именно данные собирает каждая форма. Это пригодится для следующих шагов.

Шаг 2. Проверьте политику обработки персональных данных

Политика обработки ПДн – это главный документ, который должен быть на каждом сайте, собирающем данные. Без него вы уже нарушаете закон.

Что должно быть в политике

Политика должна быть размещена в открытом доступе (обычно ссылка в подвале сайта) и содержать:

• Цели сбора данных (для чего именно вы их собираете)
• Перечень собираемых данных
• Правовые основания обработки (согласие, договор, закон)
• Сроки обработки и хранения
• Порядок уничтожения данных после достижения целей
• Сведения о трансграничной передаче (если данные уходят за рубеж)
• Контакты ответственного за обработку ПДн

Типичные ошибки в политике

• Слишком общая формулировка – «мы собираем данные для улучшения сервиса» недостаточно. Нужно конкретно: «для отправки заказа, для обратной связи, для рассылки новостей»
• Нет срока хранения – обязательно укажите, сколько храните данные (например, 3 года после последнего обращения)
• Нет информации о трансграничной передаче – если используете зарубежные сервисы (Google Analytics, зарубежные CRM), это нужно указать
• Не обновлена под новые требования – с 30.10.2026 перечень стран с адекватной защитой утверждён приказом РКН от 16.09.2026 № 253 (прежний приказ № 128 утратил силу). Страны Евросоюза в перечне есть, а США и Украины – нет. Перед передачей данных проверяйте актуальную редакцию перечня.

Шаг 3. Настройте согласие на обработку данных

Согласие – это основа законной обработки ПДн. Без него вы не имеете права собирать данные. Исключение – случаи, когда обработка нужна для исполнения договора или требуется по закону.

Формы согласия

Согласие может быть:

• Письменное (на бумаге или электронный документ с электронной подписью) – когда его требует закон (специальные категории, биометрия и др.)
• В любой форме, позволяющей подтвердить факт согласия (например, галочка в форме с фиксацией) – если закон не требует письменной формы

Что должно быть в согласии

Для письменного согласия закон (ч. 4 ст. 9 152-ФЗ) требует:

• ФИО, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи документа и выдавшем органе
• Данные представителя субъекта и документа о его полномочиях (если согласие даёт представитель)
• Наименование и адрес оператора
• Цель обработки
• Перечень данных
• Наименование и адрес лица, обрабатывающего данные по поручению оператора (если обработку поручают)
• Перечень действий с данными и общее описание способов обработки
• Срок действия согласия и способ его отзыва
• Подпись субъекта

Для согласия через галочку на сайте нужны:

• Чёткая формулировка, на что человек соглашается (согласие должно быть конкретным, предметным, информированным, сознательным и однозначным)
• Возможность отозвать согласие
• Фиксация факта согласия (логи сервера, дата и время)
• Оформление отдельно от иных документов: с 01.09.2025 согласие не включают в политику, оферту или пользовательское соглашение, для него нужна отдельная галочка или отдельный документ (ч. 1 ст. 9 в ред. 156-ФЗ)

Как настроить согласие на сайте

• Галочка должна быть активной – не ставьте её заранее, человек должен поставить сам
• Текст согласия должен быть конкретным – не «я согласен на обработку данных», а «я согласен на обработку моего имени и телефона для обратной связи»
• Ссылка на политику обработки – политика должна быть доступна на страницах, где есть форма (ч. 2 ст. 18.1); удобнее всего поставить ссылку рядом с галочкой
• Возможность отозвать согласие – должна быть реализована (кнопка в личном кабинете, форма на сайте)

Особенности для несовершеннолетних

Если ваш сайт ориентирован на детей или подростков:

• 152-ФЗ возрастных порогов не устанавливает. По ГК за детей до 14 лет сделки совершают родители (ст. 28 ГК), а с 14 до 18 лет – подросток с согласия родителей (ст. 26 ГК), поэтому рекомендуем получать согласие законного представителя
• Для биометрии и специальных категорий согласие – в письменной форме (ст. 10 и 11 152-ФЗ)

Шаг 4. Настройте cookie-баннер

Cookie и идентификаторы аналитики считаются персональными данными, если вместе с другими данными позволяют определить человека. Закон требует согласия на обработку ПДн до её начала (ч. 1 ст. 9 152-ФЗ). За обработку данных без согласия организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч (с учётом ст. 4.1.1 КоАП о предупреждении для малого бизнеса).

Что такое cookie-баннер

Это всплывающее окно, которое появляется при первом посещении сайта и предлагает выбрать, какие cookie разрешить. Закон требует согласия на обработку ПДн до её начала, а не самого баннера. Как это оформить удобнее всего – рекомендации:

• Запускать счётчики и рекламные скрипты после согласия
• Давать выбор: согласиться или отказаться
• Позволять настроить категории cookie (необходимые, аналитические, рекламные)
• Фиксировать факт согласия

Типы cookie

• Необходимые (технические) – без них сайт не работает. Согласие не требуется
• Аналитические – для статистики (Яндекс.Метрика, Google Analytics). Требуют согласия
• Рекламные – для показа таргетированной рекламы. Требуют активного согласия

Как настроить правильно

• Не используйте молчаливое согласие – когда человек просто продолжает пользоваться сайтом, это не считается согласием
• Для рекламных cookie нужна галочка – активное согласие, а не просто уведомление
• Кнопка «Отказаться» – рекомендуем сделать её такой же заметной, как «Согласиться»
• Настройки cookie – рекомендуем дать возможность выбрать, какие категории разрешить

Шаг 5. Проверьте трансграничную передачу данных

Если вы используете зарубежные сервисы (Google Analytics, зарубежные CRM, облачные хранилища), ваши данные могут уходить за границу. Это трансграничная передача, и она регулируется отдельно.

Сначала данные граждан РФ должны попасть в базу, находящуюся в России (ч. 5 ст. 18 152-ФЗ в ред. 23-ФЗ, с 01.07.2025). Хранить заявки только в зарубежной CRM нельзя. Передать копию за рубеж можно после уведомления РКН по ст. 12.

Какие страны считаются безопасными

С 30.10.2026 перечень стран, обеспечивающих адекватную защиту ПДн, утверждён приказом РКН от 16.09.2026 № 253 (прежний приказ № 128 утратил силу). В этот перечень входят:

• Беларусь
• Казахстан
• Киргизия
• Китай
• Индия
• Австралия
• Канада
• Южная Корея
• И другие (в том числе страны Евросоюза)

Страны Евросоюза в перечне есть, а США и Украины – нет.

Что делать, если данные уходят в «небезопасную» страну

Отдельное согласие субъекта на трансграничную передачу по ст. 12 152-ФЗ не требуется – передача оформляется иначе.

• Получить от зарубежного получателя сведения о мерах защиты данных до подачи уведомления
• Уведомить Роскомнадзор о трансграничной передаче до её начала – отдельно от уведомления об обработке персональных данных
• В страны вне перечня РКН передавать данные можно не раньше чем через 10 рабочих дней после уведомления, пока регулятор его рассматривает и может запретить передачу (кроме случаев защиты жизни и здоровья)
• Сохранить дату оценки рисков передачи (п. 7 ч. 4 ст. 12)

Как проверить на сайте

• Посмотрите, какие сторонние сервисы подключены (аналитика, реклама, CRM, чаты)
• Узнайте, где находятся серверы этих сервисов
• Запросите у зарубежного получателя сведения о мерах защиты и правовом регулировании его страны (ч. 5 ст. 12 152-ФЗ)
• Обновите политику обработки ПДн – укажите все страны передачи

Шаг 6. Проверьте уведомление Роскомнадзора

Перед началом обработки ПДн оператор обязан уведомить Роскомнадзор. Уведомление не требуется лишь в трёх случаях: обработка без использования средств автоматизации, обработка в государственных информационных системах для защиты безопасности государства и общественного порядка и обработка в целях транспортной безопасности.

Как подать уведомление

Уведомление подаётся через портал pd.rkn.gov.ru или через Госуслуги. Форма утверждена приказом РКН от 28.10.2022 №180. Срок рассмотрения – 30 дней.

Что указать в уведомлении

• Наименование оператора
• Адрес
• Цели обработки
• Категории данных
• Категории субъектов
• Правовое основание
• Способы обработки
• Меры защиты
• Сведения о трансграничной передаче

Когда уведомление не нужно

• Данные обрабатываются без использования средств автоматизации (только бумажные носители)
• Данные обрабатываются в государственных информационных системах для защиты безопасности государства и общественного порядка
• Данные обрабатываются в целях транспортной безопасности

Но даже если уведомление не требуется, политика обработки и согласие всё равно нужны.

Шаг 7. Проверьте безопасность хранения данных

152-ФЗ требует обеспечивать безопасность ПДн при их обработке. Это значит, что данные должны быть защищены от утечек, несанкционированного доступа и уничтожения. Конкретные меры оператор выбирает сам по уровню защищённости (ч. 1 ст. 18.1 152-ФЗ, ПП № 1119); ниже – рекомендации.

Технические меры защиты

• Шифрование – рекомендуем шифровать данные в базе
• HTTPS – рекомендуем для всех страниц, где собираются данные
• Защита от SQL-инъекций – формы должны быть защищены
• Ограничение доступа – только те сотрудники, которым данные нужны для работы
• Журнал доступа – рекомендуем фиксировать действия с данными
• Резервное копирование – данные должны восстанавливаться при сбоях

Организационные меры

• Назначьте ответственного за обработку ПДн
• Утвердите перечень лиц, имеющих доступ к данным
• Разработайте инструкции по работе с данными
• Проводите обучение сотрудников
• Заключите договоры-поручения с обработчиками (если данные обрабатывает сторонняя компания)

Что проверить на сайте

• Есть ли HTTPS (зелёный замочек в браузере)
• Как хранятся пароли (должны быть в хешированном виде)
• Есть ли защита от брутфорса (ограничение попыток входа)
• Как передаются данные между сервером и клиентом
• Есть ли доступ к данным у сторонних разработчиков

Шаг 8. Проверьте процедуру обработки запросов субъектов

По закону люди имеют право:

• Знать, какие данные о них хранятся
• Требовать их исправления или удаления
• Отозвать согласие на обработку
• Получить копию своих данных

Как организовать обработку запросов

• Форма для запросов – на сайте должна быть форма или email для обращений
• Срок ответа на запрос – 10 рабочих дней (ст. 20 152-ФЗ), продление ещё на 5 рабочих дней – только с мотивированным уведомлением
• Уничтожение данных после отзыва согласия – 30 дней (ст. 21 152-ФЗ)
• Хранение согласия – 3 года с момента истечения или отзыва (приказ Росархива № 236)

Что должно быть на сайте

• Страница с контактами ответственного за ПДн
• Форма для запросов субъектов
• Инструкция, как отозвать согласие
• Информация о сроках обработки запросов

Типичные ошибки

• Нет возможности отозвать согласие
• Сложная процедура запроса (только письмом, только лично)
• Не указаны сроки ответа
• Нет ответственного за обработку запросов

Шаг 9. Проверьте договоры (поручения) с обработчиками

Если вы передаёте данные CRM-системам, сервисам рассылок, хостинг-провайдерам, это лица, обрабатывающие ПДн по вашему поручению (ч. 3 ст. 6 152-ФЗ). Поручение оформляется договором или иным актом, и согласие субъекта на него нужно, если иное не предусмотрено законом.

Что должно быть в договоре (ч. 3 ст. 6)

• Перечень действий с данными и цели обработки
• Обязанность обработчика соблюдать конфиденциальность и безопасность данных, требования ч. 5 ст. 18 и ст. 18.1
• Обязанность предоставлять по запросу оператора документы, подтверждающие соблюдение требований
• Обязанность уведомлять оператора об инцидентах с данными
• Меры защиты, которые принимает обработчик

Кого проверить

• Хостинг-провайдер
• CRM-система
• Сервис email-рассылок
• Сервис аналитики
• Чат-поддержка
• Бухгалтерские сервисы
• Облачные хранилища

Что делать, если договора нет

• Запросить договор у партнёра
• Если партнёр отказывается – рассмотреть замену
• Включить в политику обработки ПДн информацию о передаче данных

Шаг 10. Подготовьтесь к инцидентам и проверкам

Даже если всё настроено правильно, утечка или проверка Роскомнадзора могут случиться. К этому нужно быть готовым.

План действий при утечке

С 01.09.2022 (ч. 3.1 ст. 21 152-ФЗ) об утечке нужно сообщить в РКН в течение 24 часов, о результатах расследования – в течение 72 часов. С 30.05.2025 (420-ФЗ) за неуведомление предусмотрен штраф по ч. 11 ст. 13.11 КоАП: организациям 1–3 млн рублей.

• 24 часа – первичное уведомление Роскомнадзора об утечке
• 72 часа – уведомление с результатами внутреннего расследования
• Порядок уведомления – приказ РКН от 14.11.2022 № 187

Штрафы за утечку

• За утечку – от 3 до 15 млн рублей в зависимости от числа субъектов (ч. 12–14 ст. 13.11 КоАП), за специальные категории – 10–15 млн (ч. 16), за биометрию – 15–20 млн (ч. 17); за неуведомление РКН – ещё 1–3 млн (ч. 11)
• Оборотный штраф (ч. 15 ст. 13.11 КоАП, повторная утечка) – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей
• Уголовная ответственность (ст. 272.1 УК, действует с 11.12.2024) – за незаконное использование/передачу/сбор/хранение компьютерной информации с ПДн: штраф до 300 000 рублей, принудительные работы или лишение свободы до 4 лет

Что должно быть готово

• План реагирования на инциденты – кто что делает при утечке
• Журнал регистрации событий – логи доступа к данным
• Контакты Роскомнадзора – для экстренного уведомления
• Документы для проверки – политика, согласия, договоры, приказы

Как подготовиться к проверке РКН

• Соберите все документы в одной папке
• Проверьте сроки хранения документов
• Убедитесь, что уведомление подано
• Проверьте актуальность политики
• Проведите внутренний аудит

Главное

Проверка сайта на 152 фз – это регулярный процесс. Закон меняется, штрафы растут, а требования становятся жёстче. Чтобы не попасть под санкции, нужно:

1. Определить, какие данные собираете
2. Разместить политику обработки ПДн
3. Настроить согласие на обработку
4. Установить cookie-баннер
5. Проверить трансграничную передачу
6. Подать уведомление в Роскомнадзор
7. Обеспечить безопасность хранения
8. Организовать обработку запросов
9. Заключить договоры-поручения с обработчиками
10. Подготовиться к инцидентам

Если на каком-то из шагов возникли сложности – лучше обратиться к специалистам. Штрафы за нарушения могут достигать миллионов рублей, а репутационные потери от утечки данных могут быть ещё выше. Регулярная проверка сайта на 152 фз поможет избежать этих рисков и работать с данными клиентов законно и безопасно.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 9 (согласие на обработку)
• 152-ФЗ «О персональных данных» – ст. 10 (специальные категории)
• 152-ФЗ «О персональных данных» – ст. 11 (биометрические ПДн)
• 152-ФЗ «О персональных данных» – ст. 10.1 (данные, разрешённые для распространения)
• 152-ФЗ «О персональных данных» – ст. 20 (срок ответа на запрос)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.