Как проверить сайт на 152-ФЗ: чек-лист 2026 года, чтобы не получить штраф

Коротко: почему это стало важно именно сейчас

С 30 мая 2025 года штрафы за нарушения в работе с персональными данными выросли в разы, а за утечку ввели отдельные крупные санкции. При этом отвечает не разработчик сайта и не хостинг, а вы — как владелец бизнеса, который собирает данные клиентов. Достаточно одной формы заявки или обратного звонка на сайте, чтобы вы уже стали «оператором персональных данных» со всеми обязанностями.

Хорошая новость: привести сайт в порядок можно за несколько дней, и большинство нарушений — типовые. Ниже разберём по-человечески, что именно проверяет закон, как самому пройтись по чек-листу и что делать с найденным.

Кто по закону считается «оператором данных»

Оператор — это любая компания или ИП, которые собирают, хранят или обрабатывают данные людей. На сайте это происходит незаметно чаще, чем кажется:

• форма заявки, обратного звонка или заказа звонка — вы получаете имя и телефон;
• онлайн-запись, бронирование, корзина и оплата — данные клиента и его покупок;
• чат, всплывающее окно «оставьте контакт», подписка на рассылку;
• cookie и системы аналитики (Яндекс.Метрика, счётчики), которые собирают данные о посетителе.

Если хотя бы один пункт про вас — вы оператор, и требования 152-ФЗ распространяются на ваш сайт.

Чек-лист: 7 пунктов, которые проверяют в первую очередь

1. Согласие на обработку персональных данных

Под каждой формой, где человек оставляет контакты, должно быть согласие на обработку данных. Ключевые ошибки: галочка согласия проставлена заранее, согласия нет вовсе, или вместо него просто ссылка «нажимая кнопку, вы соглашаетесь» без отдельного чекбокса. Галочка должна быть, и пользователь должен ставить её сам.

2. Политика конфиденциальности

Отдельная страница с политикой обработки персональных данных, доступная с каждой страницы сайта (обычно ссылка в подвале). Она должна быть реальной и соответствовать тому, что вы действительно собираете, а не скачанным шаблоном «для галочки».

3. Уведомление в Роскомнадзор

Оператор обязан подать уведомление в РКН о намерении обрабатывать данные — до того, как начал их собирать. Многие компании годами работают без него и узнают об этом только при проверке.

4. Хранение данных на серверах в России

Данные россиян должны собираться и первично храниться на серверах, физически расположенных в РФ. Это касается и CRM, и форм, и сервисов, куда утекают данные из форм. Иностранный хостинг или зарубежный сервис приёма заявок — типовое нарушение.

5. Cookie-баннер

Если сайт использует cookie и аналитику (а это почти все сайты), нужен баннер-уведомление о cookie. Формально это часть информирования пользователя об обработке его данных.

6. Трансграничная передача данных

Если данные с форм уходят в зарубежные сервисы — иностранную почту, CRM, AI-сервисы, зарубежную аналитику — это трансграничная передача, и она требует отдельного уведомления и оснований. Частый скрытый риск у тех, кто подключил модные внешние сервисы.

7. Порядок действий при утечке

С 2025 года при утечке данных оператор обязан уведомить РКН в сжатые сроки (первично — в течение суток). Нужен хотя бы простой регламент: кто и что делает, если данные утекли.

Что грозит за нарушения

Санкции зависят от типа нарушения. За отсутствие согласия, политики или уведомления РКН — штрафы для юрлиц измеряются сотнями тысяч рублей за эпизод. За утечку персональных данных введены отдельные крупные штрафы, а за повторную утечку — оборотные, то есть процент от годовой выручки компании. Точную квалификацию и суммы по вашему случаю должен подтвердить юрист — но порядок цифр такой, что дешевле закрыть риск заранее.

Главное, что стоит запомнить: отвечает владелец сайта как оператор данных, а не подрядчик, который делал сайт. Ссылка «нам делало агентство» в проверке не работает.

Как проверить свой сайт за 15 минут

Пройдитесь по сайту глазами клиента и отметьте по чек-листу выше: есть ли под формами отдельная непроставленная галочка согласия; открывается ли из подвала политика конфиденциальности; появляется ли cookie-баннер; куда физически уходят заявки. Уже это покажет 80% проблем.

Чтобы не проверять вручную, мы сделали бесплатный сканер: он открывает ваш сайт, проверяет формы, cookie и настройки и за минуту показывает список найденных нарушений по 152-ФЗ. Дальше вы решаете — закрывать самостоятельно по нашему чек-листу или поручить нам.

Что делать с найденными нарушениями

Типовой набор работ по приведению сайта в соответствие: добавить корректные согласия под формы, опубликовать рабочую политику конфиденциальности, поставить cookie-баннер, подать уведомление в РКН, при необходимости — перенести хранение данных на российские серверы. Для большинства сайтов это несколько дней работы.

Если не хотите разбираться сами — это одна из задач, которые закрывает подписка на поддержку сайта: мы приводим сайт в соответствие и дальше следим, чтобы он оставался в порядке при любых изменениях.