Как проверить сайт на соответствие 152-ФЗ: документы, формы, cookie и Роскомнадзор
Объясняем, когда сайт обрабатывает персональные данные, что требует закон и как проверить сайт самостоятельно по чек-листу.
Когда сайт обрабатывает персональные данные
Персональные данные — любая информация, которая относится к конкретному человеку: имя, телефон, почта. Если сайт собирает их через форму заявки, обратный звонок, чат, регистрацию или подписку, владелец сайта становится оператором персональных данных и должен выполнять требования Федерального закона № 152-ФЗ.
Персональными данными также считают cookie и IP-адреса, которые собирают системы аналитики. Поэтому требования закона касаются почти любого коммерческого сайта, независимо от размера бизнеса.
Какие штрафы действуют в 2026 году
Ответственность установлена статьёй 13.11 КоАП РФ. С 30 мая 2025 года суммы выросли, а штрафы по разным частям могут назначаться одновременно.
| Нарушение | Юридические лица | Часть ст. 13.11 |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора | 150–300 тыс. ₽ | ч. 1 |
| Обработка без согласия или с нарушением требований к согласию | 300–700 тыс. ₽ | ч. 2 |
| Не опубликована политика обработки персональных данных | 30–60 тыс. ₽ | ч. 3 |
| Нарушение требований о локализации баз данных в России | 1–6 млн ₽ | ч. 8 |
| Не подано уведомление в Роскомнадзор о начале обработки | 100–300 тыс. ₽ | ч. 10 |
| Утечка персональных данных | от 3 до 15 млн ₽, повторно до 3% выручки | ч. 12–15 |
Суммы по ст. 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года. Текст статьи: КонсультантПлюс, КоАП РФ. Конкретный размер штрафа определяет суд или Роскомнадзор с учётом обстоятельств.
Какие документы нужны сайту ООО и ИП
- Политика обработки персональных данных. Оператор обязан опубликовать её или иначе обеспечить к ней неограниченный доступ (ч. 2 ст. 18.1 152-ФЗ). Политика должна описывать реальные цели, данные, сроки и сервисы.
- Согласие на обработку персональных данных — когда обработка ведётся на основании согласия. С 1 сентября 2025 года согласие оформляется отдельно от других документов: его нельзя «спрятать» в политику, оферту или пользовательское соглашение.
- Политика использования cookie и баннер, если на сайте есть аналитика.
- Сведения об операторе: название, ИНН, контакты для обращений по персональным данным.
Формы и чекбоксы согласия
Согласие нужно не всегда. Закон перечисляет и другие основания обработки (ст. 6 152-ФЗ), например заключение и исполнение договора, стороной которого является человек. Но для заявок с сайта чаще всего используют именно согласие, и тогда оно должно быть оформлено правильно:
- галочка не стоит заранее, посетитель ставит её сам;
- рядом ссылки на текст согласия и политику;
- форма собирает только те данные, которые нужны для цели;
- оператор может подтвердить факт согласия: дату, время и версию текста.
Если одна форма служит разным целям, например заявке и рассылке, согласия на них лучше разделить.
Cookie, аналитика и сторонние скрипты
Счётчики аналитики собирают cookie и IP-адреса посетителей. Чтобы обработка была законной, счётчик загружают только после согласия посетителя в cookie-баннере, где есть возможность отказаться.
Можно ли использовать Google Analytics
Прямого запрета на конкретный сервис нет. Но данные Google Analytics обрабатываются за рубежом, а это трансграничная передача: о ней нужно заранее уведомить Роскомнадзор (ст. 12 152-ФЗ) и соблюсти требование о первичной записи данных граждан РФ в базы на территории России (ч. 5 ст. 18). Для большинства сайтов проще использовать российскую аналитику.
Похожие вопросы возникают с зарубежными шрифтами, капчей, виджетами чатов и формами, которые загружаются со сторонних серверов.
Локализация данных и уведомление Роскомнадзора
Локализация. При сборе персональных данных граждан РФ запись, систематизация, накопление и хранение должны вестись в базах данных на территории России (ч. 5 ст. 18 152-ФЗ). Сервер сайта и сервис, куда уходят заявки, стоит размещать в России. Подробнее о выборе размещения — в статье «Российский хостинг для сайта: как выбрать в 2026 году». Само по себе размещение в России не означает полного соблюдения закона: остальные требования тоже нужно выполнить.
Уведомление. До начала обработки оператор направляет в Роскомнадзор уведомление (ст. 22 152-ФЗ). Исключения узкие, поэтому сайту с формой заявки уведомление, как правило, нужно. Подать его можно на портале pd.rkn.gov.ru, там же проверить наличие в реестре операторов.
Можно ли проверить сайт автоматически
Автоматические сервисы проверки на 152-ФЗ находят часть технических признаков: есть ли ссылка на политику, cookie-баннер, зарубежные скрипты. Но они не оценивают:
- соответствует ли текст политики реальной обработке данных;
- есть ли законные основания для каждой цели;
- как данные хранятся и кому передаются после отправки формы;
- подано ли уведомление и выполняются ли внутренние обязанности оператора.
Поэтому автоматическая проверка — полезный первый шаг, но не замена юридическому аудиту деятельности оператора.
Чек-лист соответствия сайта 152-ФЗ для ООО и ИП
Не уверены, что всё сделали правильно? Проверим сайт бесплатно и пришлём отчёт.
Проверить сайт бесплатноКак это решаем мы
Проверяем сайт, исправляем найденное в рамках договора и следим за изменениями требований.
Подробнее об услуге: проверка сайта на соответствие 152-ФЗ
- Первичная проверка
Документы, формы, cookie, сторонние сервисы и место хранения данных. Бесплатно, с понятным отчётом.
- Исправления
Типовые нарушения устраняем без отдельной оплаты при подключении «Оптимального» или «Хостинг+» на год.
- Сопровождение
Отслеживаем изменения применимых требований и обновляем элементы сайта в зоне нашей поддержки.
Материал носит информационный характер и не является юридической консультацией. Нормы проверены по состоянию на октябрь 2026 года.