Что проверяет сканер 152 NORMA

1. HTTPS и валидный SSL-сертификат

ст. 19 152-ФЗ · рекомендация, не нарушение

Что это

Сертификат подтверждает, что сайт – действительно ваш, и шифрует всё, что посетитель отправляет через формы. Бесплатный сертификат (Let’s Encrypt, его дают почти все хостинги) шифрует так же надёжно, как платный. Дорогие сертификаты, как у банков, дополнительно подтверждают, что за сайтом стоит конкретная проверенная компания, – за это и платят, а не за «более сильное» шифрование. Самоподписанный сертификат сайт «выдал себе сам»: его никто не проверял, и браузеры ему не доверяют. Сертификаты российского удостоверяющего центра Минцифры признают не все браузеры – в Chrome, Safari и Firefox без дополнительной настройки посетитель увидит ошибку.

Чем грозит

Ст. 19 152-ФЗ обязывает принимать меры защиты данных, в том числе при передаче; какие именно – выбирает оператор, HTTPS закон прямо не называет. Поэтому сканер пишет это как рекомендацию, а не нарушение. Отдельного штрафа за отсутствие HTTPS в КоАП нет; если из-за слабой защиты утекут данные 1 000 и более человек – от 3 млн ₽ (ч. 12 ст. 13.11 КоАП). Но главный ущерб наступает раньше: большинство посетителей уходит, увидев «Подключение не защищено».

Что сделать

Попросите хостинг подключить бесплатный сертификат и включить его автоматическое продление. Рекомендуем сертификат сразу на оба адреса – с www и без – и переадресацию с http:// на https://. Если форма отправляет данные на адрес http://, замените его на https://. Сканер проверяет всё это и показывает, до какого числа действует сертификат: если осталось меньше месяца, он напомнит проверить автопродление.

2. TLS-безопасность (протокол, HSTS)

ст. 19 152-ФЗ · рекомендация, не нарушение

Что это

Даже с действующим сертификатом защита зависит от настроек сервера. Версии протокола TLS 1.0 и 1.1 устарели – в них найдены уязвимости, и современные браузеры от них отказались; нормой считаются TLS 1.2 и 1.3. HSTS – это инструкция браузеру: «открывай этот сайт только по защищённому соединению». Без неё посетителя в общественной сети Wi-Fi можно незаметно перевести на незащищённую версию сайта.

Чем грозит

По ст. 19 152-ФЗ оператор обязан принимать технические меры защиты; отключение старых TLS и HSTS – одна из таких мер, мы её рекомендуем. Отдельного требования закона и штрафа нет, но устаревшие протоколы и отсутствие HSTS повышают риск перехвата данных – а за утечку штрафы уже крупные.

Что сделать

Рекомендуем попросить хостинг или разработчика отключить TLS 1.0 и 1.1 и включить заголовок Strict-Transport-Security (например, max-age=31536000). Обычно это 10–15 минут работы, внешний вид сайта не меняется.

3. Политика обработки персональных данных

ч. 2 ст. 18.1 152-ФЗ, ч. 3 ст. 13.11 КоАП

Что это

Политика – публичный документ оператора персональных данных: кто вы, какие данные собираете (имя, телефон, почта, cookie), для чего, на каком основании, сколько храните и как человек может отозвать согласие. Это не то же самое, что согласие: политика рассказывает о правилах, а согласие – отдельный документ, который человек даёт сам.

Чем грозит

Обязанность опубликовать политику – ч. 2 ст. 18.1 152-ФЗ. Штраф за то, что её нет на сайте, – ч. 3 ст. 13.11 КоАП: для ИП 10–20 тыс. ₽, для организаций 30–60 тыс. ₽. Закон не даёт перечня разделов: по п. 2 ч. 1 ст. 18.1 для каждой цели нужно определить данные, сроки и порядок уничтожения, поэтому рекомендуем указать это в политике, а также права человека и порядок отзыва согласия. Неполная политика – рекомендация дополнить, а не штраф: ч. 3 ст. 13.11 – за отсутствие опубликованной политики.

Что сделать

Разместите политику отдельной страницей и поставьте ссылку на неё на страницах, где собираются данные: удобнее всего – в подвале сайта и рядом с каждой формой. Политику под вашу компанию можно собрать бесплатно в нашем генераторе документов.

Подробнее: Политика обработки персональных данных для сайта: образец и разбор пунктов

4. Cookie-баннер с явным согласием

ч. 1 ст. 9 152-ФЗ · рекомендация (нарушение – счётчики до согласия)

Что это

Cookie запоминают посетителя: что он смотрел, откуда пришёл, авторизован ли он. Их ставят сам сайт и подключённые сервисы – Яндекс Метрика, пиксели рекламы, виджеты. Закон относит к персональным данным любую информацию, по которой можно определить человека (п. 1 ст. 3 152-ФЗ), и Роскомнадзор оценивает данные счётчиков именно так. Продолжение просмотра («Продолжая пользоваться сайтом, вы соглашаетесь…») трудно признать сознательным и однозначным согласием (ч. 1 ст. 9) – такое «согласие» легко оспорить.

Чем грозит

Прямой нормы о кнопке «Отклонить» в законе нет, отдельного штрафа за вид плашки тоже – поэтому плашку без отказа сканер показывает как рекомендацию. Нарушение – запуск счётчиков до согласия: обработка без законного основания, ч. 1 ст. 13.11 КоАП (организации 150–300 тыс. ₽, ИП 50–100 тыс. ₽). Это один пункт вместе со счётчиками, а не два штрафа.

Что сделать

Есть два варианта. Строгий (рекомендуем): плашка с кнопками «Принять» и «Отклонить» рядом (отказ – тоже кнопкой, а не мелкой ссылкой или пунктом в настройках), а счётчики запускать только после «Принять». Информирование (плашка «мы используем cookie» без отказа, так делают часть крупных сайтов): риск – cookie могут признать персональными данными, и тогда их обработка без согласия – ч. 1 ст. 13.11 КоАП. Если плашку рисует внешний виджет, сканер не видит её кнопок и попросит проверить вручную. Готовый код плашки и политика cookie входят в наш пакет документов.

Подробнее: Является ли cookie персональными данными по 152-ФЗ

5. Согласие на ПДн в формах сайта

п. 1 и 5 ч. 1 ст. 6, ч. 1 и 3 ст. 9 152-ФЗ · рекомендация

Что это

Рекомендуем у каждой формы (заявка, обратный звонок, подписка, запись) пустую галочку, которую человек ставит сам, со ссылкой на отдельный текст согласия – так согласие оформлено отдельно и его легко доказать (ч. 1 и 3 ст. 9 152-ФЗ). С 1 сентября 2025 года согласие нельзя «зашивать» в оферту, политику или общее «принимаю условия» (156-ФЗ). Согласие должно быть конкретным: кто вы, какие данные, для чего и на какой срок. Форму без галочки сканер показывает как рекомендацию: для заявки согласие может быть не нужно.

Чем грозит

Обработка данных из формы без согласия и без иного основания из ч. 1 ст. 6 152-ФЗ – ч. 1 ст. 13.11 КоАП: организации 150–300 тыс. ₽, ИП 50–100 тыс. ₽. Данные о здоровье – особая категория (ст. 10): нужно письменное согласие, если нет иного основания, например обработки медицинской организацией в медицинских целях (п. 4 ч. 2 ст. 10). Без письменного согласия там, где оно нужно, – ч. 2 ст. 13.11 КоАП: организации 300–700 тыс. ₽.

Что сделать

Рекомендуем добавить к каждой форме пустую галочку «Даю согласие на обработку персональных данных» со ссылкой на отдельную страницу с текстом согласия. Тексты галочек и само согласие входят в наш пакет документов.

Подробнее: Образец согласия на обработку персональных данных 2026

6. Согласие на обработку ПДн отдельным документом

ч. 1 ст. 9 152-ФЗ (ред. 156-ФЗ) · рекомендация

Что это

Сканер ищет на сайте ссылку на текст согласия на обработку персональных данных – по подписи («Согласие на обработку…») или по адресу страницы – и проверяет, что она не ведёт на ту же страницу, что и политика; полный текст согласия прямо у галочки тоже засчитывается. Если форм с личными данными на главной нет, пункт в порядке. Найденное здесь – рекомендация, не нарушение: для заявки согласие может быть не нужно (п. 5 ч. 1 ст. 6). Если формы рисует скрипт и их не видно в коде – «проверьте вручную».

Чем грозит

Требование – ч. 1 ст. 9 152-ФЗ в редакции 156-ФЗ: если вы берёте согласие, оно оформляется отдельно от иной информации и документов, которые подтверждает или подписывает человек. Закон не требует переоформлять согласия, полученные до 1 сентября 2025 года (переходных норм об этом в 156-ФЗ нет); новые оформляйте отдельно. Если согласие нужно, а его нет и нет иного основания, – ч. 1 ст. 13.11 КоАП: организации 150–300 тыс. ₽, ИП 50–100 тыс. ₽.

Что сделать

Опубликуйте текст согласия отдельной страницей и поставьте ссылку на неё в галочке у каждой формы. Текст согласия под вашу компанию входит в наш пакет документов.

Подробнее: Образец согласия на обработку персональных данных 2026

7. Трансграничная передача ПДн

ч. 3 ст. 12 152-ФЗ

Что это

Многие привычные сервисы хранят данные за границей: Google Analytics и Google Tag Manager, зарубежные конструкторы форм, чаты, рассылки. Если зарубежный сервис получает на свои серверы IP-адрес, cookie или данные формы посетителя, это, как правило, трансграничная передача персональных данных (п. 11 ст. 3, ст. 12 152-ФЗ) – так её оценивает и Роскомнадзор. Сканер ищет такие сервисы в коде страницы и в подключённых файлах стилей (через них часто подключают шрифты Google).

Чем грозит

По ч. 3 ст. 12 152-ФЗ (с 1 марта 2023 года) уведомить Роскомнадзор нужно до начала передачи – в любую страну. В страны, которых нет в перечне Роскомнадзора (например, США), передавать можно не раньше чем через 10 рабочих дней после уведомления, и РКН может запретить передачу. Действующий перечень утверждён приказом Роскомнадзора от 16.09.2026 № 253 (прежний приказ № 128 утратил силу). Уведомление не заменяет локализацию: если через зарубежный сервис собираются данные из форм, записывать их при сборе в базы за рубежом нельзя (ч. 5 ст. 18).

Что сделать

Проще всего заменить зарубежные сервисы российскими (Яндекс Метрика вместо Google Analytics, российские формы и чаты). Если сервис нужен и данные он только получает (счётчик, шрифт, виджет), – подайте уведомление о трансграничной передаче и упомяните её в политике. Для зарубежных форм, CRM и почты, куда заявки попадают сразу, уведомления мало – нужен российский сервис.

Подробнее: Трансграничная передача персональных данных: когда нужно уведомление

8. Реквизиты владельца сайта (ИНН/ОГРН)

ч. 2 ст. 10 149-ФЗ, ст. 9 ЗоЗПП, п. 22 ПП № 657

Что это

По ст. 9 закона о защите прав потребителей продавец обязан сообщить покупателю наименование, адрес и режим работы, а ИП – ещё сведения о госрегистрации; при продаже товаров через сайт – также ОГРН/ОГРНИП и почту или телефон (п. 22 ПП № 657). Для персональных данных это тоже важно: в политике и согласии должен быть указан оператор – кому человек доверяет свои данные. Сканер ищет ИНН на главной, в политике, на страницах «Реквизиты» и «Контакты» и в оферте и сверяет его с ЕГРЮЛ / ЕГРИП. Не нашёл ИНН – это «проверьте», а не нарушение: закон ИНН на сайте не требует.

Чем грозит

Если на сайте нет наименования, адреса и почты владельца, это нарушение ч. 2 ст. 10 149-ФЗ, а при продажах людям – ещё и ст. 9 закона о защите прав потребителей (ч. 1 ст. 14.8 КоАП: предупреждение или штраф). Если вы работаете только с компаниями, закон о защите прав потребителей к вам не относится, но сведения о владельце сайта нужны в любом случае. Без реквизитов посетитель не понимает, кому оставляет телефон, – это снижает доверие и число заявок.

Что сделать

Укажите в подвале сайта: «ООО „Название“, ИНН …, ОГРН …» или «ИП Фамилия И. О., ИНН …, ОГРНИП …», а также адрес и контакты. Те же реквизиты должны стоять в политике и в тексте согласия.

9. Email для обращений

ч. 2 ст. 10 149-ФЗ

Что это

Сканер ищет адрес почты на главной странице, в политике и на странице «Контакты». Адрес на картинке или только в форме обратной связи он не видит – тогда «проверьте вручную».

Чем грозит

Обязанность указать наименование, адрес и почту владельца сайта – ч. 2 ст. 10 149-ФЗ. На запрос человека о его данных нужно ответить за 10 рабочих дней (ст. 14, 20 152-ФЗ) – без адреса для обращений этот срок легко пропустить.

Что сделать

Укажите адрес почты в подвале сайта, на странице «Контакты» и в политике – в разделе о том, как направить запрос или отозвать согласие.

10. Оферта для интернет-магазина

п. 20 ПП № 657

Что это

Сканер ищет признаки продажи на сайте (корзина, оплата, покупка сертификата) и ссылку на оферту или условия продажи. Если оферта найдена – читает её и ищет условия о невозврате денег или товара («предоплата не возвращается», «товар возврату не подлежит») и показывает их с цитатой для проверки.

Чем грозит

Если сайт продаёт товары людям, с 01.09.2026 на нём должна быть размещена оферта (п. 20 Правил продажи, ПП № 657); к услугам и поставкам компаниям это правило не относится. Отдельного штрафа за отсутствие оферты нет; если покупателю не доведена информация о товаре или продавце – ч. 1 ст. 14.8 КоАП. Условия, ущемляющие права покупателя, недействительны (ст. 16 закона о защите прав потребителей).

Что сделать

Опубликуйте оферту отдельной страницей и поставьте ссылку на неё в подвал и рядом с кнопкой оформления заказа. Не пишите «деньги не возвращаются»: при покупке через сайт человек вправе отказаться от товара надлежащего качества в течение 7 дней после получения (п. 4 ст. 26.1 закона о защите прав потребителей), кроме товаров с индивидуально-определёнными свойствами.

11. Локализация хостинга (РФ / за рубежом)

ч. 5 ст. 18 152-ФЗ

Что это

Сканер определяет по трём базам, в какой стране физически стоит сервер сайта. Если сайт работает через российскую защиту от атак (так у многих сайтов на Tilda), по адресу видна защита, а не сервер, – тогда сканер попросит уточнить у хостинга. Зарубежные сети доставки (Cloudflare и похожие) тоже показывают свой адрес – тогда сканер тоже попросит уточнить. Страна сервера – ещё не место базы: нарушение – если заявки из форм при сборе записываются в базу за рубежом. Если форма сразу отправляет их в российскую систему, ситуация другая. Поэтому сервер за рубежом сканер показывает как «проверьте», а не как нарушение.

Чем грозит

Требование локализации – ч. 5 ст. 18 152-ФЗ. Если данные россиян при сборе записываются в базу за рубежом, это одно из самых дорогих нарушений: ч. 8 ст. 13.11 КоАП – от 1 до 6 млн ₽, повторно – до 18 млн ₽.

Что сделать

Уточните у хостинга или разработчика, где сохраняются заявки. Если за рубежом – перенесите сайт на российский хостинг или настройте формы так, чтобы заявки сохранялись в российскую базу. Перенос обычно делает хостинг или разработчик.

12. Почта домена и рассылки (РФ / за рубежом)

ч. 5 ст. 18, ч. 3 ст. 12 152-ФЗ

Что это

Сканер проверяет, где находится почта домена (куда приходят письма на адрес вида info@вашсайт.ru) и какие сервисы рассылок подключены. Письмо с заявкой содержит имя, телефон, иногда подробности о клиенте – это персональные данные, и вместе с письмом они оказываются на зарубежном сервере.

Чем грозит

Если заявки с сайта сразу уходят в зарубежную почту, данные россиян при сборе записываются в базу за рубежом – это запрещено ч. 5 ст. 18 152-ФЗ (ч. 8 ст. 13.11 КоАП, 1–6 млн ₽); уведомление о трансграничной передаче (ст. 12) этого не исправляет. Для рассылок через зарубежный сервис нужно уведомление до начала передачи (ч. 3 ст. 12). Отдельной части КоАП за трансграничную передачу нет; передачу без уведомления могут квалифицировать по ч. 1 ст. 13.11.

Что сделать

Используйте российскую почту для домена (Яндекс 360, VK WorkSpace, почта хостинга) – для заявок это единственное надёжное решение. Если оставляете зарубежный сервис рассылок – подайте уведомление о трансграничной передаче или перейдите на российский.

Подробнее: Трансграничная передача персональных данных: когда нужно уведомление

13. Политика и реальность сайта

п. 4 ч. 1 ст. 18.1 152-ФЗ · рекомендация

Что это

Частая ситуация – политику скачали из шаблона, а сайт с тех пор изменился: добавили счётчик, чат, онлайн-оплату. Ещё одна слабая формулировка – «продолжая пользоваться сайтом, вы даёте согласие». По ст. 9 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а с 1 сентября 2025 года – оформляться отдельно от других документов. Продолжение просмотра сайта однозначным согласием назвать трудно, поэтому такое «согласие» легко оспорить. А для публикации данных закон прямо говорит: молчание или бездействие согласием не считаются (ч. 8 ст. 10.1).

Чем грозит

Политика, которая не соответствует реальной обработке, не выполняет свою задачу: оператор обязан следить, чтобы обработка соответствовала политике (п. 4 ч. 1 ст. 18.1 152-ФЗ). Отдельного штрафа за расхождение нет – сканер показывает его как рекомендацию; но если сайт обрабатывает данные без основания (например, передаёт за рубеж без уведомления), это ч. 1 ст. 13.11 КоАП. «Согласие» через продолжение просмотра при претензии могут не принять.

Что сделать

Сверьте политику с сайтом: перечислите реальные счётчики, сервисы и данные, уберите фразы о согласии «продолжением пользования». Политика из нашего генератора собирается под то, что есть на вашем сайте.

Подробнее: Политика обработки персональных данных для сайта: образец и разбор пунктов

14. Трекеры и счётчики на сайте

п. 1 ч. 1 ст. 6, ч. 1 ст. 9 152-ФЗ, ч. 1 ст. 13.11 КоАП

Что это

Сканер ищет на страницах коды аналитики и рекламы. Каждый такой код при загрузке страницы ставит cookie и отправляет данные о визите в свой сервис. Если счётчик срабатывает сразу, до того как посетитель нажал «Принять», данные собираются без согласия. Нарушением сканер называет это, только когда настоящий браузер увидел cookie счётчиков до согласия; если код есть, а запуск не подтверждён (например, счётчик грузится по первому движению мыши), – «проверьте». Зарубежные счётчики к тому же передают данные за границу.

Чем грозит

Если по данным счётчиков можно узнать посетителя, их сбор без согласия – обработка без законного основания, ч. 1 ст. 13.11 КоАП: организации 150–300 тыс. ₽, ИП 50–100 тыс. ₽. Это один пункт вместе с плашкой cookie, а не два штрафа. Для зарубежных сервисов добавляется вопрос трансграничной передачи.

Что сделать

Перенесите коды счётчиков внутрь cookie-баннера, чтобы они запускались только после «Принять», и перечислите сервисы в политике cookie. Откажитесь от зарубежных счётчиков, если без них можно обойтись.

Подробнее: Является ли cookie персональными данными по 152-ФЗ

15. Реестр операторов персональных данных РКН

ч. 1 ст. 22 152-ФЗ, ч. 10 ст. 13.11 КоАП

Что это

Уведомление об обработке персональных данных подаётся в Роскомнадзор до её начала (ст. 22 152-ФЗ). С 1 сентября 2022 года исключений почти не осталось: «у нас только данные сотрудников» или «у нас договор с клиентом» больше не освобождают от уведомления. Подать его можно на портале pd.rkn.gov.ru или через Госуслуги, рассмотрение занимает до 30 дней.

Чем грозит

Штраф за то, что уведомление не подано, – ч. 10 ст. 13.11 КоАП: компании и ИП – 100–300 тыс. ₽; в НКО и госорганах штрафуют должностное лицо – 30–50 тыс. ₽. Реестр открытый – проверить компанию может любой, в том числе конкуренты и клиенты.

Что сделать

Заполните уведомление на pd.rkn.gov.ru и подайте его с электронной подписью, через Госуслуги или на бумаге. Инструкция есть в нашем пакете документов, а в тарифе «Пакет + уведомление» мы заполним его за вас.

Подробнее: Как подать уведомление в Роскомнадзор: инструкция 2026

16. Англицизмы в интерфейсе

ст. 10.1 ЗоЗПП (ред. 168-ФЗ) · рекомендация

Что это

Это требование ст. 10.1 закона о защите прав потребителей (введена законом 168-ФЗ от 24.06.2025) – оно не про персональные данные и касается информации для потребителей. Иностранный текст допустим как дополнение к русскому: «Sale» без «Распродажа» или кнопка «Get started» – риск, безопаснее добавить русский текст. Зарегистрированные товарные знаки, знаки обслуживания и фирменные наименования к этому не относятся; незарегистрированные названия брендов – относятся.

Чем грозит

Отдельного штрафа именно за язык на сайте в КоАП нет; Роспотребнадзор может выдать предписание. Практика применения только складывается – безопаснее привести сайт в порядок заранее, обычно это замена нескольких слов.

Что сделать

Замените английские слова в меню, кнопках и заголовках русскими или добавьте русский перевод рядом. Названия брендов и товарных знаков можно оставить.

17. Маркировка рекламы (erid)

ст. 18.1 38-ФЗ

Что это

По закону о рекламе (38-ФЗ) интернет-реклама с 1 сентября 2022 года регистрируется в единой системе учёта, и каждое объявление получает идентификатор erid. Если на вашем сайте размещены баннеры партнёров или реклама за деньги, у них должна быть пометка «Реклама», сведения о рекламодателе и erid. Собственные предложения вашей компании на вашем же сайте обычно рекламой в этом смысле не считаются.

Чем грозит

За рекламу без пометки «Реклама» и erid на сайте отвечает тот, кто её разместил (ч. 16 ст. 14.3 КоАП); рекламодатель отвечает за передачу сведений о рекламе (ч. 15 ст. 14.3 КоАП). Если на сайте нет чужой рекламы, этот пункт вас не касается.

Что сделать

Если размещаете чужую рекламу – получите у рекламодателя erid и данные для пометки и добавьте их к баннеру. Если не уверены, нужна ли маркировка, – спросите специалиста.