Персональные данные

Подготовка сайта к проверке Роскомнадзора: что проверить по 152-ФЗ

Редактор ФТИ 6 октября 2026 9 мин чтения

Коротко

Сайт проверяют снаружи: политика, согласие в формах, совпадение с уведомлением, база в России. Разбираем проверочный список по нормам 152-ФЗ, индикатор риска по приказу Минцифры № 720 и план действий.

Коротко: сайт проверяют снаружи, по тому, что видит любой посетитель. Смотрят, опубликована ли политика, как оформлено согласие в формах, совпадают ли сведения на сайте с уведомлением и где лежит база граждан России. Три и более расхождения между уведомлением и сайтом входят в индикаторы риска (приказ Минцифры № 720 от 17.08.2023). Подготовка — это сверка нескольких пунктов, они собраны ниже в таблице.

Формы, политика, счётчики и сервисы, место хранения базы и сверка сайта с вашим уведомлением · доплат нет, если нарушений нет, так и напишем

Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня

Проверить мой сайт →

Что проверить на сайте

Политика опубликована на страницах, где идёт сбор данных (ч. 2 ст. 18.1).
Согласие отдельно от иных документов (ч. 1 ст. 9).
Уведомление подано и актуально (ч. 1 и 7 ст. 22).
Сайт и уведомление совпадают: три и более расхождения — индикатор риска.
База граждан России в России (ч. 5 ст. 18).
Зарубежные сервисы разобраны: нет ли трансграничной передачи (ч. 3 ст. 12).

На что смотрят снаружи

Роскомнадзор наблюдает за соблюдением обязательных требований при размещении информации в интернете (ПП № 1046). Для него сайт — открытый источник: политику, формы, тексты и подключённые сервисы видно без доступа в админку. Поэтому подготовка начинается с того, чтобы посмотреть на сайт глазами посетителя.

Как устроены плановые и внеплановые проверки, разбирает статья о проверках Роскомнадзора. Здесь только сайт.

Проверочный список: пункт, норма, риск

Пункт	Норма	Риск (ст. 13.11 КоАП)
Политика опубликована и открывается со страниц сбора данных	Ч. 2 ст. 18.1	Ч. 3: организации 30–60 тыс. ₽, ИП 10–20 тыс. ₽
Опубликованы сведения о реализуемых требованиях к защите данных	Ч. 2 ст. 18.1	Ч. 3, те же суммы
Согласие в форме оформлено отдельным действием	Ч. 1 ст. 9	По нашему прочтению: ч. 1 — организации 150–300 тыс. ₽; ч. 2 (нет письменного согласия там, где оно обязательно): 300–700 тыс. ₽
В формах нет избыточных полей	Ч. 5 ст. 5	Принцип обработки, отдельной суммы для этой строки не называем
Уведомление подано, сведения актуальны	Ч. 1 и 7 ст. 22	Ч. 10: организации и ИП 100–300 тыс. ₽
Сайт и уведомление совпадают	Приказ Минцифры № 720	Индикатор риска при трёх и более расхождениях
База граждан России лежит в России	Ч. 5 ст. 18	Ч. 8: организации 1–6 млн ₽, ИП как юрлицо
Зарубежные сервисы: есть ли передача данных за границу	Ч. 3 ст. 12	Отдельной части в ст. 13.11 мы не нашли

Суммы взяты из текста статьи 13.11. Это диапазоны, а не фиксированные штрафы. ИП отвечает как юридическое лицо по частям 1.1 и 8–18 (примечание 1). Полную таблицу по частям статьи даёт обзор о штрафах за персональные данные.

Политика: что проверить

Ссылка есть там, где идёт сбор данных (рекомендуем: в подвале и рядом с формой).
Документ открывается из браузера: закон требует обеспечить доступ к нему средствами сети (ч. 2 ст. 18.1).
Опубликованы и сведения о требованиях к защите, а не только политика.
Политика не ограничивает права людей и не возлагает на оператора лишних обязанностей: это требование пункта 2 части 1 статьи 18.1.
Текст описывает ваш сайт: цели, данные и сервисы те же, что работают на самом деле.

Формы и согласие: что проверить

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года его оформляют отдельно от иных информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9, ФЗ № 156 от 24.06.2025). Доказывать получение согласия должен оператор (ч. 3 ст. 9).

Отдельный чекбокс, а не строка внутри оферты или пользовательского соглашения.
Галочка не проставлена заранее. Это наша практика: предзаполненный флажок плохо вяжется со словами «сознательное» и «однозначное».
Рядом ссылка на политику, чтобы согласие было информированным.
Хранится подтверждение: дата, время, версия текста.

Согласие нужно не во всех формах: для данных, необходимых для исполнения договора, есть другое основание (п. 5 ч. 1 ст. 6). Общую картину по сайтам разбирает статья о персональных данных на сайте, для магазинов — статья об уведомлении для интернет-магазина.

Сайт и уведомление: что сверить

Приказ Минцифры № 720 от 17.08.2023 добавил в перечень индикаторов риска установление трёх и более фактов несоответствия информации, указанной в уведомлениях (ч. 3 ст. 12 и ч. 1 ст. 22), сведениям, размещённым на сайте оператора по части 2 статьи 18.1. Приказ действует с 18 ноября 2023 года. Перечня расхождений в нём нет. Таблица ниже — наша логика сверки, а не список из приказа.

В уведомлении	На сайте
Цели обработки (п. 2 ч. 3 ст. 22)	Цели в политике и в подписях к формам
Категории данных и людей по каждой цели (ч. 3.1 ст. 22)	Поля форм, личный кабинет, чат
Меры защиты (п. 7 ч. 3 ст. 22)	Сведения о требованиях к защите, которые опубликованы на сайте
Трансграничная передача (п. 10 ч. 3 ст. 22)	Зарубежные сервисы: чат, рассылки, аналитика, CRM
Место нахождения базы граждан России (п. 10.1 ч. 3 ст. 22)	Хостинг, CRM, формы

Если сайт менялся после подачи уведомления, сведения об изменениях подают не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Как это делать — в статье об изменении уведомления.

База в России, зарубежные сервисы и cookie

Запись, хранение и уточнение данных граждан России с использованием баз за границей не допускаются (ч. 5 ст. 18), с исключениями из пунктов 2, 3, 4 и 8 части 1 статьи 6. Нарушение — часть 8 статьи 13.11: организации от 1 до 6 млн ₽.

Зарубежный чат, рассылка или аналитика — отдельный вопрос. Если данные людей получает иностранная компания, это может быть трансграничной передачей (п. 11 ст. 3), и уведомить Роскомнадзор нужно до её начала (ч. 3 ст. 12). Подробности — в статье об уведомлении о трансграничной передаче.

Про cookie в тексте статей 152-ФЗ, которые мы сверяли, слова нет. Критерий — определение персональных данных: связана ли информация с определяемым человеком (п. 1 ст. 3). Поэтому на аудите мы смотрим, что собирает каждый сервис, а не ставим один ответ на все счётчики.

Что подготовить на случай запроса

По запросу Роскомнадзора оператор обязан представить документы и локальные акты, указанные в части 1 статьи 18.1, и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Закон называет такие меры:

Ответственный за организацию обработки (для юридического лица).
Политика и локальные акты по вопросам обработки (для юридического лица).
Правовые, организационные и технические меры защиты по статье 19.
Внутренний контроль и (или) аудит соответствия обработки закону.
Оценка вреда по требованиям Роскомнадзора.
Ознакомление работников с законодательством и документами и (или) их обучение.

Какой состав мер нужен вам, оператор определяет сам (ч. 1 ст. 18.1). «60 документов» закон не требует.

План действий

Выпишите все формы и сервисы: заявки, подписка, личный кабинет, чат, аналитика, CRM, хостинг.
Откройте сайт как посетитель: есть ли политика, открывается ли она, видна ли у каждой формы.
Сверьте сайт с уведомлением по таблице выше и запишите расхождения.
Исправьте формы и согласия, опубликуйте политику и сведения о защите.
Разберите зарубежные сервисы: куда уходят данные и нужна ли отдельная подача.

Обзор обязанностей оператора, в который встроены все эти пункты, дан в статье об уведомлении об обработке персональных данных.

Как мы помогаем

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России.

Аудит сайта на 152-ФЗ — 4 900 ₽. Формы и согласия, политика, счётчики и сервисы, место хранения базы, сверка с вашим уведомлением. Доступ в админку не нужен. Отчёт за 3 рабочих дня: нарушение, норма, приоритет, план правок. Если нарушений нет, так и напишем, цена та же.
Документы для сайта — 3 900 ₽: политика для сайта, согласия для форм, уведомление об использовании cookie, тексты готовы к публикации.
Устранение нарушений — от 9 900 ₽: правки форм, согласий и ссылок, публикация политики, повторная проверка. Цену называем после аудита и до начала работ.
Уведомление в Роскомнадзор — 4 900 ₽. Если его нет, сайт нечего сверять. Пакет «Старт» (уведомление, документы по 152-ФЗ и документы для сайта) — 14 900 ₽ вместо 18 700 ₽. Все услуги ФТИ — на одной странице.
Сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год: проверка сайта раз в полгода на новые расхождения, обновление документов, изменения в реестре.

Аудит 4 900 ₽, документы для сайта 3 900 ₽, устранение от 9 900 ₽ · консультация бесплатная

Проверьте сайт до того, как это сделает проверка

Заказать аудит →

Частые ошибки

Политика есть в футере главной, а у форм на других страницах ссылки нет.
Согласие внутри оферты вместо отдельного чекбокса.
Политика «не передаём данные за границу» при зарубежных сервисах на сайте.
Сайт переделали, уведомление осталось прежним.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Как Роскомнадзор проверяет сайт?

Сайт виден снаружи: политику, формы и подключённые сервисы можно оценить без доступа в админку. Роскомнадзор ведёт наблюдение за размещением информации в интернете. Мы проверяем сайт тем же способом, по открытой части.

На что смотрят на сайте?

Опубликована ли политика (ч. 2 ст. 18.1), как оформлено согласие (ч. 1 ст. 9), совпадает ли сайт с уведомлением (приказ Минцифры № 720) и где хранится база граждан России (ч. 5 ст. 18).

Что такое индикатор риска по приказу № 720?

Установление трёх и более фактов несоответствия информации в уведомлениях (ч. 3 ст. 12 и ч. 1 ст. 22 152-ФЗ) сведениям на сайте оператора, размещённым по части 2 статьи 18.1. Приказ действует с 18 ноября 2023 года.

Какой штраф за отсутствие политики на сайте?

Часть 3 статьи 13.11 КоАП: организации от 30 до 60 тыс. ₽, ИП от 10 до 20 тыс. ₽, должностные лица от 6 до 12 тыс. ₽, граждане от 1,5 до 3 тыс. ₽.

Как оформить согласие в форме, чтобы оно соответствовало закону?

Отдельно от иных документов (ч. 1 ст. 9, с 1 сентября 2025 года): отдельный чекбокс, не внутри оферты. Согласие должно быть конкретным, информированным, сознательным и однозначным. Подтверждение получения хранит оператор (ч. 3 ст. 9).

Нужно ли уведомление об использовании cookie?

В тексте статей 152-ФЗ, которые мы сверяли, cookie не упоминаются. Критерий — можно ли по данным определить человека (п. 1 ст. 3). Мы готовим текст уведомления об использовании cookie в составе документов для сайта и смотрим на каждый сервис отдельно.

Что делать с зарубежными сервисами на сайте?

Выяснить, получает ли иностранная компания данные людей. Если да, это может быть трансграничной передачей, и уведомить Роскомнадзор нужно до её начала (ч. 3 ст. 12). Нужна ли подача в вашем случае, подскажет разбор сервисов.

Где должна храниться база данных с сайта?

Запись и хранение данных граждан России в базах за границей не допускаются (ч. 5 ст. 18), с исключениями из пунктов 2, 3, 4 и 8 части 1 статьи 6. Нарушение — часть 8 статьи 13.11, для организаций от 1 до 6 млн ₽.

Какие документы нужно представить по запросу Роскомнадзора?

Документы и локальные акты, перечисленные в части 1 статьи 18.1, или иное подтверждение принятых мер (ч. 4). Состав мер оператор определяет сам: «60 документов» закон не требует.

Где проверить сайт и сколько это стоит у ФТИ?

Аудит сайта на 152-ФЗ у нас стоит 4 900 ₽, отчёт готовим за 3 рабочих дня. Документы для сайта — 3 900 ₽, устранение нарушений — от 9 900 ₽, пакет «Старт» с уведомлением и документами — 14 900 ₽ вместо 18 700 ₽.