Как проверить сайт на нарушения закона о персональных данных

Коротко: Проверка сайта на нарушения 152-ФЗ сводится к аудиту форм сбора данных, Политики обработки ПДн, cookie-баннера, уведомления Роскомнадзора, трансграничной передачи, безопасности и прав пользователей. Ответственность за нарушения серьёзно выросла в 2024-2025 годах, вплоть до уголовной.

Если у вас есть сайт, который собирает любые данные посетителей – от имени и email в форме обратной связи до cookie и IP-адресов – вы обязаны соблюдать 152-ФЗ «О персональных данных». Игнорирование этого закона грозит штрафами, блокировкой сайта и даже уголовной ответственностью. Разберём пошагово, как проверить сайт на нарушения и что именно нужно исправить, чтобы избежать претензий Роскомнадзора.

Почему это важно: что изменилось в 2024-2025 годах

Законодательство о персональных данных в России ужесточается с каждым годом. С мая 2025 года вступили в силу новые штрафы за утечки данных – за утечки предусмотрены крупные штрафы, при повторной утечке оборотные (до 500 млн рублей). Cookie считаются персональными данными, если вместе с другими данными позволяют определить человека. Появилась новая статья УК 272.1 за незаконный оборот персональных данных. Всё это значит, что «авось пронесёт» больше не работает – владельцы сайтов рискуют серьёзно.

1. Проверьте сбор и обработку персональных данных

Первое, с чего стоит начать проверку – понять, какие данные вы вообще собираете на сайте и как это делаете.

1.1. Какие данные считаются персональными

Персональные данные – это любая информация, которая прямо или косвенно позволяет идентифицировать человека. На сайте это может быть:

• Имя и фамилия
• Номер телефона
• Email
• IP-адрес
• Cookie-файлы и идентификаторы аналитики (ПДн, если вместе с IP и другими данными позволяют определить человека)
• Данные о местоположении
• Фотографии
• Данные банковских карт

Если на сайте есть хотя бы одна форма, куда пользователь вводит что-то о себе – вы уже оператор персональных данных.

1.2. Формы сбора данных: что должно быть

Закон требует опубликовать Политику на страницах сайта, где собираются ПДн (ч. 2 ст. 18.1 152-ФЗ), и получать согласие там, где оно нужно как основание обработки (ч. 1 ст. 9). Для каждой формы (обратная связь, заказ звонка, регистрация, подписка) рекомендуем:

• Дать ссылку на Политику обработки персональных данных рядом с формой
• Добавить чекбокс согласия на обработку ПДн (галочка не проставлена по умолчанию)
• Указать цели сбора данных (например: «для обработки вашего обращения»)

Закон требует, чтобы согласие было конкретным: в нём должны быть названы все цели обработки. Если цели разные (например, ответ на заявку и рекламная рассылка), надёжнее брать на них отдельные согласия – так проще доказать, на что именно согласился человек.

1.3. Согласие на обработку: как оформить правильно

Согласие на обработку персональных данных должно быть:

• Конкретным (понятно, на что именно даётся согласие)
• Предметным (указаны конкретные действия с данными)
• Информированным (человек понимает, что происходит)
• Сознательным и однозначным (нельзя ставить галочку за пользователя)

Для обычных данных (имя, телефон, email) достаточно согласия в любой форме, подтверждающей факт его получения. Но если вы собираете специальные категории (здоровье, национальность, судимость) – нужно письменное согласие.

2. Проверьте Политику обработки персональных данных

Это главный документ вашего сайта с точки зрения 152-ФЗ. Он должен быть в открытом доступе – обычно ссылка в подвале сайта.

2.1. Что обязательно должно быть в Политике

• Полное наименование оператора (ваша компания или ИП)
• Юридический адрес
• Цели обработки ПДн (для чего именно вы собираете данные)
• Категории собираемых данных
• Правовые основания обработки (согласие, договор, закон)
• Сроки обработки и хранения
• Порядок уничтожения данных при отзыве согласия
• Права субъекта ПДн (как человек может отозвать согласие, получить свои данные, потребовать их удалить)
• Информация о трансграничной передаче (если используете иностранные сервисы)

2.2. Типичные ошибки в Политике

• Шаблонные фразы без конкретики («мы обрабатываем данные для улучшения сервиса» – слишком размыто)
• Отсутствие информации о трансграничной передаче (если сайт использует Google Analytics, зарубежный хостинг или CRM)
• Не указаны сроки хранения данных
• Нет контактов ответственного за обработку ПДн

3. Проверьте работу с cookie и метриками

Cookie и идентификаторы аналитики РКН и суды считают персональными данными, если вместе с IP и другими данными они позволяют определить человека. Тогда их сбор и обработка должны соответствовать 152-ФЗ.

3.1. Cookie-баннер: что должно быть

Прямой нормы про формат cookie-баннера в 152-ФЗ нет: закон требует согласия до запуска аналитики и рекламы (ч. 1 ст. 9). Мы рекомендуем:

• Показывать баннер при первом посещении сайта
• Дать возможность отказаться от всех cookie, кроме технически необходимых
• Для чувствительных случаев (передача данных рекламным партнёрам) брать активное согласие (галочка), а не молчаливое
• Дать ссылку на Политику обработки ПДн с описанием, какие cookie используются

3.2. Яндекс.Метрика и Google Analytics

Использование этих сервисов – тоже обработка ПДн. Если у вас стоит код метрики или аналитики, вы передаёте данные третьим лицам. Это должно быть отражено в Политике, а пользователь должен быть уведомлён.

Особенно внимательно – с Google Analytics. Страны Евросоюза в перечне есть, а США – нет. Действующий перечень утверждён приказом РКН от 16.09.2026 № 253 (с 30.10.2026), поэтому перед передачей данных проверяйте актуальную редакцию.

4. Проверьте уведомление Роскомнадзора

До начала обработки персональных данных оператор обязан уведомить Роскомнадзор. Исключение – только три случая, когда обработка ведётся:

• без использования средств автоматизации;
• в государственных информационных системах – для защиты безопасности государства и общественного порядка;
• в целях транспортной безопасности.

Во всех остальных случаях уведомление подавать нужно, в том числе если вы обрабатываете данные только своих сотрудников или только клиентов по договору.

4.1. Как подать уведомление

Уведомление подаётся через портал pd.rkn.gov.ru или Госуслуги. Форма утверждена приказом РКН от 28.10.2022 №180. Срок рассмотрения – 30 дней.

4.2. Что будет, если не уведомить

Отсутствие уведомления – самостоятельное нарушение, за которое предусмотрен штраф по ст. 13.11 КоАП.

5. Проверьте сроки хранения и уничтожения данных

152-ФЗ требует, чтобы данные хранились не дольше, чем это необходимо для целей обработки. Как только цель достигнута или согласие отозвано – данные нужно уничтожить.

5.1. Сроки по закону

• После отзыва согласия оператор обязан уничтожить данные в течение 30 дней
• Само согласие как документ нужно хранить 3 года с момента истечения или отзыва (приказ Росархива № 236)
• Документы по личному составу (кадровые) – 50 лет, если оформлены после 1.01.2003; 75 лет – если раньше

5.2. Как организовать уничтожение

У вас должен быть утверждённый порядок уничтожения ПДн. Если данные хранятся в CRM или базе данных – нужно технически обеспечить возможность их полного удаления по запросу пользователя. Просто «заблокировать» или «скрыть» недостаточно.

6. Проверьте обработку данных несовершеннолетних

Если ваш сайт ориентирован на детей или подростков (или просто не ограничивает возраст пользователей) – это отдельная зона риска.

6.1. Правила согласия для детей

• 152-ФЗ возрастных порогов не устанавливает. По ГК до 14 лет сделки за ребёнка совершает законный представитель (ст. 28 ГК), с 14 до 18 лет – подросток с согласия родителя (ст. 26 ГК), поэтому рекомендуем получать согласие законного представителя
• Для биометрии и специальных категорий согласие – в письменной форме (ст. 10 и 11 152-ФЗ)

6.2. Как обезопасить себя

• Добавьте на сайт форму с выбором возраста
• Если сайт предназначен для детей – получите согласие от родителей
• Не собирайте данные детей без явной необходимости
• Укажите в Политике особенности обработки данных несовершеннолетних

7. Проверьте трансграничную передачу данных

Если вы используете зарубежные сервисы (хостинг, CRM, email-рассылки, облачные хранилища, аналитику) – вы передаёте данные за границу.

7.1. В какие страны можно передавать без проблем

Приказ РКН от 16.09.2026 № 253 утверждает перечень стран с «адекватной защитой ПДн» (действует с 30.10.2026, прежний приказ № 128 утратил силу). В него входят:

• Беларусь, Казахстан, Киргизия
• Китай, Индия
• Австралия, Канада
• Южная Корея и ряд других стран

Страны Евросоюза в перечне есть, а США – нет.

7.2. Что делать, если данные уходят в «неадекватную» страну

Передача персональных данных за границу, в том числе в страны вне перечня, устроена так:

• Перед началом передачи в любую страну оператор уведомляет Роскомнадзор – отдельным уведомлением, а не в составе уведомления об обработке персональных данных.
• До подачи уведомления нужно получить от получателя данных сведения о мерах защиты, которые он применяет.
• Если страна не входит в перечень стран с адекватной защитой, передавать данные можно не раньше чем через 10 рабочих дней после уведомления: Роскомнадзор рассматривает уведомление и вправе запретить передачу.
• Исключение – передача данных для защиты жизни или здоровья субъекта.

Согласие субъекта на трансграничную передачу закон не требует.

Сначала ПДн граждан РФ должны записываться в базу в России (ч. 5 ст. 18 152-ФЗ в ред. 23-ФЗ): зарубежный хостинг или CRM как основная база запрещены, а уведомление по ст. 12 этого не исправляет. Передать копию за рубеж можно после уведомления Роскомнадзора, а при передаче в страну вне перечня – после окончания срока рассмотрения уведомления (10 рабочих дней).

8. Проверьте биометрические данные

Если сайт собирает фотографии, видео, голосовые записи, отпечатки пальцев или другие биометрические данные – это отдельная категория с жёсткими требованиями.

8.1. Что считается биометрией

• Фотография (если используется для идентификации)
• Видеозапись (если используется для установления личности)
• Голосовая запись (если используется для установления личности)
• Отпечатки пальцев
• Сканирование сетчатки глаза
• Другие физиологические характеристики

8.2. Требования к обработке биометрии

Биометрические ПДн обрабатываются с согласия субъекта в письменной форме. Исключения перечислены в ч. 2 ст. 11 152-ФЗ (реадмиссия, правосудие, государственная регистрация, оборона, безопасность, транспортная безопасность и др.).

Важно: оператор НЕ вправе отказать в услуге, если человек отказывается давать биометрию, если по закону это согласие не обязательно.

9. Проверьте безопасность хранения данных

152-ФЗ требует, чтобы оператор принимал меры по защите ПДн от несанкционированного доступа, уничтожения, изменения, блокирования и распространения.

9.1. Минимальные меры безопасности

• HTTPS на сайте (рекомендуем)
• Защита баз данных от SQL-инъекций
• Ограничение доступа к данным (только те сотрудники, кому это нужно)
• Парольная защита и двухфакторная аутентификация
• Регулярное резервное копирование
• Журналирование доступа к данным

9.2. Что будет при утечке

С 30 мая 2025 года действуют новые штрафы за утечки (420-ФЗ):

• За утечку – от 3 до 15 млн рублей в зависимости от числа субъектов (ч. 12–14 ст. 13.11 КоАП), за биометрию – 15–20 млн (ч. 17); за неуведомление РКН – 1–3 млн (ч. 11)
• Оборотный штраф (повторная утечка) – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей

Кроме того, при утечке нужно:

• Уведомить РКН в течение 24 часов (первичное уведомление)
• Предоставить детальное уведомление с результатами расследования в течение 72 часов

10. Проверьте права пользователей

Пользователь имеет право:

• Знать, какие данные о нём собираются
• Требовать их исправления или удаления
• Отозвать согласие на обработку в любой момент
• Получить копию своих данных
• Обжаловать действия оператора в Роскомнадзоре

10.1. Как организовать реализацию прав

На сайте должен быть:

• Контакт для обращений (email или форма)
• Чёткий порядок отзыва согласия
• Срок ответа на запрос – 10 рабочих дней (ст. 20 152-ФЗ), продление ещё на 5 рабочих дней – только с мотивированным уведомлением

Если пользователь отозвал согласие – данные должны быть уничтожены в течение 30 дней.

11. Проверьте обработку данных сотрудников (если есть штат)

Если у вас есть сотрудники, вы обрабатываете их данные как работодатель. Это отдельный блок требований.

11.1. Что нужно сделать

• Обрабатывать кадровые данные в рамках трудовых отношений без согласия – оно для этого не требуется (п. 2 и 5 ч. 1 ст. 6 152-ФЗ, ст. 86 ТК); отдельное согласие нужно только на данные сверх закона (например, личный телефон, фото для внутреннего портала), на передачу третьим лицам и на публикацию
• Утвердить Положение о защите ПДн сотрудников
• Ознакомить сотрудников с документами под подпись
• Обеспечить хранение кадровых документов в соответствии со сроками (50/75 лет)

11.2. Особенности для иностранных работников

Если у вас работают иностранцы, нужно:

• Уведомить МВД о заключении/расторжении трудового договора в течение 3 рабочих дней (п.8 ст.13 115-ФЗ)
• Работник по патенту самостоятельно уведомляет МВД о начале работы в установленный срок

12. Проверьте сайт на скрытые трекеры и сторонние сервисы

Многие владельцы сайтов даже не знают, какие скрипты и трекеры работают на их сайте. А они могут собирать и передавать данные третьим лицам.

12.1. Что нужно проверить

• Все скрипты аналитики (Яндекс.Метрика, Google Analytics, LiveInternet и т.д.)
• Пиксели соцсетей (VK, Facebook, Instagram)
• Рекламные скрипты (Яндекс.Директ, Google Ads)
• Чат-боты и виджеты обратной связи
• Счётчики и трекеры
• Сторонние шрифты и библиотеки (могут передавать IP)

12.2. Что делать с найденным

• Внести все сторонние сервисы в Политику обработки ПДн
• Указать, какие данные передаются и куда
• Если данные уходят за границу – подать уведомление о трансграничной передаче (ст. 12); для передачи третьим лицам – проверить основание (согласие с указанием получателя или поручение по ч. 3 ст. 6)
• Рассмотреть возможность замены зарубежных сервисов на российские аналоги

13. Проверьте email-рассылки и подписки

Если на сайте есть форма подписки на новости или рассылку – это тоже обработка ПДн.

13.1. Требования к рассылкам

• Должно быть явное согласие на получение рассылки
• В каждом письме рекомендуем давать ссылку на отписку (закон требует немедленно прекратить рассылку по требованию адресата, ч. 1 ст. 18 38-ФЗ)
• Нельзя использовать купленные базы email-адресов
• Нужно хранить подтверждение согласия (лог, когда и как пользователь подписался)

13.2. Сроки хранения данных подписчиков

Данные подписчиков хранятся, пока действует согласие. Как только пользователь отписался – данные нужно удалить в течение 30 дней.

14. Проверьте форму обратной связи и чаты

Форма обратной связи – самый частый источник нарушений на сайтах.

14.1. Типичные ошибки

• Нет чекбокса согласия на обработку ПДн
• Галочка стоит по умолчанию (это нарушение)
• Нет ссылки на Политику обработки ПДн
• Собираются лишние данные (например, дата рождения для заказа звонка)
• Нет информации о том, как долго хранятся данные

14.2. Как исправить

• Добавьте чекбокс со ссылкой на отдельный текст согласия, где указаны оператор, цель (ответ на обращение), перечень данных (имя, телефон), срок и способ отзыва
• Ссылку на Политику рекомендуем поставить рядом с чекбоксом
• Галочка не должна быть проставлена автоматически
• Укажите, что данные используются только для ответа на обращение

15. Проверьте мобильную версию и приложения

Если у сайта есть мобильная версия или отдельное приложение – требования те же, что и к основному сайту.

15.1. Особенности мобильных приложений

• Согласие на обработку ПДн должно быть получено до начала сбора данных
• Разрешения (доступ к контактам, камере, геолокации) должны запрашиваться только при необходимости
• Пользователь должен иметь возможность отозвать согласие в настройках приложения

Как проверить сайт на нарушения за один день

Если вы хотите быстро проверить сайт на нарушения, вот минимальный чек-лист:

1. Формы сбора данных – есть ли чекбокс согласия и ссылка на Политику
2. Политика обработки ПДн – полная, конкретная, с указанием целей и сроков
3. Cookie-баннер – информирует и даёт выбор
4. Уведомление РКН – подано или есть основание не подавать
5. Трансграничная передача – если используете зарубежные сервисы
6. Безопасность – HTTPS, защита баз данных
7. Права пользователей – контакт для обращений, порядок отзыва согласия
8. Сторонние сервисы – все скрипты и трекеры учтены в Политике

Помните: ответственность за нарушения 152-ФЗ серьёзно выросла в 2024-2025 годах. Штрафы могут достигать миллионов рублей, а в некоторых случаях возможна и уголовная ответственность. Лучше потратить день на аудит сейчас, чем потом разбираться с Роскомнадзором и судами.

Минимальный чек-лист для быстрой проверки сайта на нарушения 152-ФЗ.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 20 (срок ответа на запрос субъекта ПДн)
• КоАП РФ – ст. 13.11 (штраф за отсутствие уведомления Роскомнадзора)
• УК РФ – ст. 272.1 (незаконный оборот персональных данных)
• 420-ФЗ (новые штрафы за утечки персональных данных с 30 мая 2025 года)
• Приказ РКН от 28.10.2022 №180 (форма уведомления об обработке ПДн)
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой ПДн)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.