Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Как привести сайт компании в соответствие с требованиями 152-ФЗ в 2026 году
13.01.2023
17/07/26
Б-152
Сайт компании должен соответствовать 152-ФЗ не только на уровне политики обработки персональных данных. Проверять нужно весь путь пользователя: формы сбора, cookie-баннер, аналитику, рекламные рассылки, личный кабинет, подрядчиков, хостинг сайта, CRM и документы, на которые ведут чек-боксы.
В 2026 году основные риски для сайта связаны с локализацией ПДн, отсутствием правового основания обработки, некорректными согласиями, использованием метрических программ и несоответствием политики фактическим процессам.
Главная ошибка бизнеса — воспринимать сайт как набор документов. На практике сайт работает как точка входа в несколько процессов обработки ПДн одновременно: маркетинг, продажи, поддержка, аналитика, регистрация, доставка, обращения и рекламные рассылки.
Содержание
Содержание
Почему сайт компании стал зоной риска по 152-ФЗ
Практически у каждой компании есть сайт: корпоративный портал, интернет-магазин, лендинг, личный кабинет, блог, форма заявки или страница мероприятия. Для клиента это витрина бизнеса. Для Роскомнадзора — открытый источник, по которому можно увидеть часть процессов обработки персональных данных.
Сайт редко обрабатывает ПДн только в одной точке. Обычно данные собираются через формы обратной связи, заявки, подписку на рассылку, онлайн-чат, cookie-файлы, аналитику, рекламные пиксели, личный кабинет, формы регистрации на мероприятия, квизы и интеграции с CRM. Каждый элемент должен иметь понятную цель, правовое основание, корректный текст для пользователя и связь с политикой обработки персональных данных.
Ответственность за нарушения в сфере ПДн в основном сосредоточена в статье 13.11 КоАП РФ. Она охватывает обработку без правового основания, нарушения требований к согласию, отсутствие доступной политики, локализацию, уведомления, инциденты и неправомерную передачу данных.
Для бизнеса важно учитывать несколько моментов:
Самые чувствительные штрафные риски связаны с локализацией, неправомерной передачей ПДн, инцидентами, специальными категориями и биометрическими данными. Но на практике сайт часто «падает» на более базовых вещах: нет понятного согласия, политика не соответствует собираемой вформах сбора информации, cookie-баннер не раскрывает аналитику, в чек-боксе смешаны разные правовые основания.
Сайт редко обрабатывает ПДн только в одной точке. Обычно данные собираются через формы обратной связи, заявки, подписку на рассылку, онлайн-чат, cookie-файлы, аналитику, рекламные пиксели, личный кабинет, формы регистрации на мероприятия, квизы и интеграции с CRM. Каждый элемент должен иметь понятную цель, правовое основание, корректный текст для пользователя и связь с политикой обработки персональных данных.
Ответственность за нарушения в сфере ПДн в основном сосредоточена в статье 13.11 КоАП РФ. Она охватывает обработку без правового основания, нарушения требований к согласию, отсутствие доступной политики, локализацию, уведомления, инциденты и неправомерную передачу данных.
Для бизнеса важно учитывать несколько моментов:
- ИП, если прямо не указано иное или если в санкции нет отдельной графы ответственности для ИП, несут ответственность как должностные лица по ст. 2.4 КоАП РФ.
- ИП за правонарушения, предусмотренные частью 1.1 и частями 8−18 ст. 13.11 КоАП РФ, несут ответственность как юридические лица.
- Для частей 10−18 под должностными лицами понимаются лица, работающие в государственных или муниципальных органах либо в некоммерческих организациях. Для юридических лиц действует обратная логика: это все юрлица, кроме государственных и муниципальных органов и НКО.
Самые чувствительные штрафные риски связаны с локализацией, неправомерной передачей ПДн, инцидентами, специальными категориями и биометрическими данными. Но на практике сайт часто «падает» на более базовых вещах: нет понятного согласия, политика не соответствует собираемой вформах сбора информации, cookie-баннер не раскрывает аналитику, в чек-боксе смешаны разные правовые основания.
Сайт компании стоит проверять не как набор страниц, а как цепочку обработки ПДн: первый визит, cookie-баннер, форма, заявка, CRM, рассылка, подрядчик, хранение и удаление.
Команда Б-152 может провести такую сверку и показать, где документы расходятся с реальными процессами; отправить запрос можно через форму заявки.
С чего начинать приведение сайта в соответствие 152-ФЗ
Для сайта удобно выделить три приоритетных направления:
Такой порядок помогает не распыляться.
Сначала проверяются зоны с наиболее существенными последствиями: где физически собираются и хранятся данные, какие сервисы подключены, есть ли зарубежные инструменты.
Затем анализируются тексты: политика, согласия, оферта, cookie-баннер, формы и гиперссылки.
На практике задача обычно затрагивает несколько подразделений. Юрист видит тексты документов, маркетинг знает, какие формы и метрики подключены, ИТ понимает хостинг, CDN, скрипты и интеграции, продажи работают с CRM, а служба поддержки — с обращениями пользователей. Ошибки чаще всего возникают именно на стыке этих зон.
- требования локализации;
- правовые основания обработки ПДн;
- наличие политики обработки ПДн и соблюдение требований к ее содержанию.
Такой порядок помогает не распыляться.
Сначала проверяются зоны с наиболее существенными последствиями: где физически собираются и хранятся данные, какие сервисы подключены, есть ли зарубежные инструменты.
Затем анализируются тексты: политика, согласия, оферта, cookie-баннер, формы и гиперссылки.
На практике задача обычно затрагивает несколько подразделений. Юрист видит тексты документов, маркетинг знает, какие формы и метрики подключены, ИТ понимает хостинг, CDN, скрипты и интеграции, продажи работают с CRM, а служба поддержки — с обращениями пользователей. Ошибки чаще всего возникают именно на стыке этих зон.
Карта проверки сайта по 152-ФЗ
Требования локализации: первый блок проверки
Согласно ч. 5 ст. 18 ФЗ № 152 при сборе персональных данных, в том числе через сайт, оператор должен обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории России.
Ответственность за нарушение требований локализации предусмотрена частью 8 ст. 13.11 КоАП РФ. Для юридических лиц и ИП штраф составляет от 1 000 000 до 6 000 000 рублей. За повторное нарушение по части 9 — от 6 000 000 до 18 000 000 рублей.
На практике локализация проверяется не только по основной базе. Нужно смотреть все точки, где сайт собирает или передает данные:
Ошибка часто появляется не из-за намеренного хранения базы за рубежом, а из-за подключенного сервиса. Маркетинг добавляет удобную аналитику, ИТ подключает CDN, подрядчик настраивает виджет чата, а юридическая часть узнает об этом уже после запуска.
Ответственность за нарушение требований локализации предусмотрена частью 8 ст. 13.11 КоАП РФ. Для юридических лиц и ИП штраф составляет от 1 000 000 до 6 000 000 рублей. За повторное нарушение по части 9 — от 6 000 000 до 18 000 000 рублей.
На практике локализация проверяется не только по основной базе. Нужно смотреть все точки, где сайт собирает или передает данные:
- формы сбора заявок;
- личный кабинет;
- CRM;
- онлайн-чат;
- сервис рассылок;
- метрические программы;
- рекламные пиксели;
- CDN;
- хостинг сайта;
- интеграции с подрядчиками.
Ошибка часто появляется не из-за намеренного хранения базы за рубежом, а из-за подключенного сервиса. Маркетинг добавляет удобную аналитику, ИТ подключает CDN, подрядчик настраивает виджет чата, а юридическая часть узнает об этом уже после запуска.
Если нужно отдельно разобраться, где именно возникает риск первичной записи или хранения за пределами РФ, полезен материал о хранении персональных данных за границей и соблюдении локализации. Он помогает проверить не только основную базу, но и аналитику, CRM, чаты, рассылки и подрядчиков.
Google Analytics, Cloudflare и иностранные сервисы
Для сайта отдельный риск связан с иностранными сервисами аналитики и инфраструктуры.
Например, указание в согласии на обработку персональных данных или в согласии на использование cookie на сбор ПДн аналитической программой Google Analytics, а также сам факт такого сбора рассматриваются как нарушение требований локализации. В Российской Федерации нет дата-центров Google, поэтому организовать первичный сбор ПДн российских пользователей на территории РФ невозможно. Это означает, что в отношении Google Analytics нельзя обеспечить выполнение требований локализации персональных данных.
Территориальные органы Роскомнадзора рассматривают использование Google Analytics как нарушение требований локализации. Такую позицию, в частности, публиковало Управление Роскомнадзора по Приволжскому федеральному округу. В ходе проверок без взаимодействия с оператором Роскомнадзор выявляет указанное несоответствие и направляет запросы о подтверждении соблюдения требований локализации. Позиция по иностранным сервисам также обсуждалась на семинаре Роскомнадзора от 29.09.2022 г..
Еще один пример — использование Cloudflare. Роскомнадзор рекомендовал владельцам интернет-ресурсов в РФ отказаться от CDN-сервиса компании Cloudflare, которая использует технологии обхода ограничений доступа к запрещенной информации. Служба также рекомендовала использовать отечественные CDN-сервисы.
Для бизнеса практический вывод такой: проверять нужно не только где стоит сайт, но и какие сервисы участвуют в передаче трафика, аналитике, защите, кешировании, логировании и обработке пользовательских событий.
Например, указание в согласии на обработку персональных данных или в согласии на использование cookie на сбор ПДн аналитической программой Google Analytics, а также сам факт такого сбора рассматриваются как нарушение требований локализации. В Российской Федерации нет дата-центров Google, поэтому организовать первичный сбор ПДн российских пользователей на территории РФ невозможно. Это означает, что в отношении Google Analytics нельзя обеспечить выполнение требований локализации персональных данных.
Территориальные органы Роскомнадзора рассматривают использование Google Analytics как нарушение требований локализации. Такую позицию, в частности, публиковало Управление Роскомнадзора по Приволжскому федеральному округу. В ходе проверок без взаимодействия с оператором Роскомнадзор выявляет указанное несоответствие и направляет запросы о подтверждении соблюдения требований локализации. Позиция по иностранным сервисам также обсуждалась на семинаре Роскомнадзора от 29.09.2022 г..
Еще один пример — использование Cloudflare. Роскомнадзор рекомендовал владельцам интернет-ресурсов в РФ отказаться от CDN-сервиса компании Cloudflare, которая использует технологии обхода ограничений доступа к запрещенной информации. Служба также рекомендовала использовать отечественные CDN-сервисы.
Для бизнеса практический вывод такой: проверять нужно не только где стоит сайт, но и какие сервисы участвуют в передаче трафика, аналитике, защите, кешировании, логировании и обработке пользовательских событий.
Что проверить по локализации
Правовые основания обработки ПДн на сайте
Наличие правовых оснований — базовая часть соответствия 152-ФЗ.
Основная масса нарушений на сайтах связана именно с обработкой ПДн без надлежащего правового основания или с обработкой, несовместимой с целями сбора данных. Ответственность за такие нарушения предусмотрена частью 1 ст. 13.11 КоАП РФ: для юридических лиц штраф составляет от 150 000 до 300 000 рублей, для должностных лиц и ИП — от 50 000 до 100 000 рублей. При повторном нарушении по части 1.1 штраф для юридических лиц составляет от 300 000 до 500 000 рублей.
Части 2 и 2.1 ст. 13.11 КоАП РФ касаются обработки специальных категорий ПДн и биометрических данных без письменного согласия, когда оно обязательно, а также нарушений требований к оформлению согласия. По части 2 штраф для должностных лиц и ИП составляет от 100 000 до 300 000 рублей, для юридических лиц — от 300 000 до 700 000 рублей. При повторном нарушении по части 2.1 штраф для ИП составляет от 500 000 до 1 000 000 рублей, для юридических лиц — от 1 000 000 до 1 500 000 рублей.
На сайте правовое основание нужно определять не в целом, а по каждой цели:
Один чек-бокс не может закрыть все эти процессы. Именно поэтому формальные «согласен со всем» создают риск: пользователь не понимает, на что именно дает волю, а компания не может доказать конкретность и информированность согласия.
Основная масса нарушений на сайтах связана именно с обработкой ПДн без надлежащего правового основания или с обработкой, несовместимой с целями сбора данных. Ответственность за такие нарушения предусмотрена частью 1 ст. 13.11 КоАП РФ: для юридических лиц штраф составляет от 150 000 до 300 000 рублей, для должностных лиц и ИП — от 50 000 до 100 000 рублей. При повторном нарушении по части 1.1 штраф для юридических лиц составляет от 300 000 до 500 000 рублей.
Части 2 и 2.1 ст. 13.11 КоАП РФ касаются обработки специальных категорий ПДн и биометрических данных без письменного согласия, когда оно обязательно, а также нарушений требований к оформлению согласия. По части 2 штраф для должностных лиц и ИП составляет от 100 000 до 300 000 рублей, для юридических лиц — от 300 000 до 700 000 рублей. При повторном нарушении по части 2.1 штраф для ИП составляет от 500 000 до 1 000 000 рублей, для юридических лиц — от 1 000 000 до 1 500 000 рублей.
На сайте правовое основание нужно определять не в целом, а по каждой цели:
- оформление заявки;
- заключение или исполнение договора;
- регистрация в личном кабинете;
- подписка на рассылку;
- рекламные рассылки;
- обратная связь;
- участие в акции;
- использование cookie-файлов и метрических программ;
- обработка обращений;
- аналитика поведения;
- персонализация предложений.
Один чек-бокс не может закрыть все эти процессы. Именно поэтому формальные «согласен со всем» создают риск: пользователь не понимает, на что именно дает волю, а компания не может доказать конкретность и информированность согласия.
Чтобы не выбирать согласие автоматически для любой формы, стоит отдельно сверить, когда обработка возможна на другом основании. В материале «Обработка ПДн без согласия: когда это допустимо» разобрано, где согласие действительно нужно, а где важнее корректно зафиксировать договор, законный интерес или иное основание из ст. 6 152-ФЗ.
Cookie-файлы и метрические программы
Частое нарушение на сайтах — работающие cookie-файлы сервиса веб-аналитики Яндекс. Метрика при отсутствии информации об этом в cookie-баннере.
На Дне открытых дверей РКН от 27.08.2025 были отмечены особенности обработки ПДн на сайте с помощью метрических программ. Пользователь должен быть проинформирован о сборе персональных данных с помощью метрических программ при входе на сайт, поскольку функционал таких программ предполагает обработку ПДн с начала пользования сайтом. Информация о сборе ПДн с помощью метрических программ должна быть видна сразу. В cookie-баннере нужно учитывать сам факт такого сбора и название метрической программы.
На практике компании часто ограничиваются фразой «мы используем cookie для улучшения сайта». Этого недостаточно, когда на сайте работают метрические программы, которые собирают IP-адреса, cookie-файлы, идентификаторы устройств и поведенческие данные.
На Дне открытых дверей РКН от 27.08.2025 были отмечены особенности обработки ПДн на сайте с помощью метрических программ. Пользователь должен быть проинформирован о сборе персональных данных с помощью метрических программ при входе на сайт, поскольку функционал таких программ предполагает обработку ПДн с начала пользования сайтом. Информация о сборе ПДн с помощью метрических программ должна быть видна сразу. В cookie-баннере нужно учитывать сам факт такого сбора и название метрической программы.
На практике компании часто ограничиваются фразой «мы используем cookie для улучшения сайта». Этого недостаточно, когда на сайте работают метрические программы, которые собирают IP-адреса, cookie-файлы, идентификаторы устройств и поведенческие данные.
Почему данные, собираемые с помощью cookie-файлов, IP-адреса и данные метрических программ нельзя считать исключительно техническими сведениями, подробнее разобрано в материале «Cookie-файлы как персональные данные». Он полезен именно для оценки баннера, метрик, рекламных пикселей и поведенческой аналитики на сайте.
Рабочий подход:
- определить все cookie и скрипты;
- отделить технические cookie от аналитических и рекламных;
- указать названия метрических программ;
- проверить, какие данные собираются;
- описать цели обработки;
- обеспечить понятный механизм согласия или отказа там, где он требуется;
- синхронизировать баннер с политикой обработки ПДн.
Срок согласия и перечень данных
Срок согласия на обработку ПДн и согласия на использование cookie — отдельная зона риска.
Когда срок действия согласия ограничен только отзывом со стороны субъекта, такое согласие фактически становится бессрочным до момента волеизъявления субъекта. Это рискованная конструкция: согласие должно содержать условия прекращения обработки.
Статья 5 ФЗ № 152 закрепляет принципы обработки персональных данных. Обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей; обработке подлежат только ПДн, которые отвечают целям обработки.
На практике это означает:
Без этой связки компания сталкивается с типичной проблемой: форма на сайте собирает один набор данных, политика содержит другой, согласие описывает третий, а CRM фактически хранит четвертый.
Когда срок действия согласия ограничен только отзывом со стороны субъекта, такое согласие фактически становится бессрочным до момента волеизъявления субъекта. Это рискованная конструкция: согласие должно содержать условия прекращения обработки.
Статья 5 ФЗ № 152 закрепляет принципы обработки персональных данных. Обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей; обработке подлежат только ПДн, которые отвечают целям обработки.
На практике это означает:
- в согласии должна быть конкретная цель;
- перечень данных должен соответствовать этой цели;
- срок обработки должен быть понятен;
- условия прекращения обработки должны быть описаны;
- нельзя собирать данные «на всякий случай»;
- нельзя описывать в согласии сведения, которые фактически не собираются;
- нельзя собирать через форму данные, которых нет в согласии или политике.
Без этой связки компания сталкивается с типичной проблемой: форма на сайте собирает один набор данных, политика содержит другой, согласие описывает третий, а CRM фактически хранит четвертый.
Нельзя объединять несколько целей в одном письменном согласии
Объединение нескольких целей в одном согласии на обработку ПДн, которое по ФЗ № 152 должно быть в обязательной письменной форме, остается распространенным нарушением.
Письменная форма согласия требуется, в частности, для специальных категорий ПДн и биометрических данных. Показательный пример — решение Савеловского районного суда города Москвы от 16.12.2025 № 12−3763/2025. Суд оставил в силе постановление мирового судьи о назначении банку штрафа 300 000 рублей за неполучение в установленной форме согласия субъекта ПДн на обработку и передачу его биометрических данных в ЕБС.
Сбор согласий осуществлялся через банкоматы и мобильное приложение путем ввода ПИН-кода или одноразового кода доступа на мобильный номер телефона. Суд не нашел подтверждений соблюдения банком требований законодательства к простой электронной подписи, что было квалифицировано как нарушение части 4 статьи 9 ФЗ № 152. Кроме того, суд отметил, что в согласии на обработку биометрических ПДн было несколько целей обработки, включая цели, не связанные с установлением личности.
Для сайта компании вывод шире, чем биометрия. Согласие должно быть конкретным. Когда в один документ включают регистрацию, рекламу, аналитику, персонализацию, передачу подрядчикам и неопределенные будущие цели, оно становится слабым доказательством законности обработки.
Письменная форма согласия требуется, в частности, для специальных категорий ПДн и биометрических данных. Показательный пример — решение Савеловского районного суда города Москвы от 16.12.2025 № 12−3763/2025. Суд оставил в силе постановление мирового судьи о назначении банку штрафа 300 000 рублей за неполучение в установленной форме согласия субъекта ПДн на обработку и передачу его биометрических данных в ЕБС.
Сбор согласий осуществлялся через банкоматы и мобильное приложение путем ввода ПИН-кода или одноразового кода доступа на мобильный номер телефона. Суд не нашел подтверждений соблюдения банком требований законодательства к простой электронной подписи, что было квалифицировано как нарушение части 4 статьи 9 ФЗ № 152. Кроме того, суд отметил, что в согласии на обработку биометрических ПДн было несколько целей обработки, включая цели, не связанные с установлением личности.
Для сайта компании вывод шире, чем биометрия. Согласие должно быть конкретным. Когда в один документ включают регистрацию, рекламу, аналитику, персонализацию, передачу подрядчикам и неопределенные будущие цели, оно становится слабым доказательством законности обработки.
Если на сайте одно согласие пытается закрыть сразу регистрацию, рекламу, аналитику и передачу данных, стоит свериться с разбором «Можно ли включать в одно согласие сразу несколько целей обработки персональных данных?». Это помогает понять, где универсальная формулировка превращается в риск для оператора.
Ошибки в формах регистрации и заказа
Целый ряд нарушений часто встречается при регистрации на сайте, оформлении заявки или заказа.
Типовые ошибки:
Согласие на обработку ПДн в целях рекламы должно быть явным, конкретным и сознательным. Предустановленная галочка нарушает принципы согласия, предусмотренные частью 1 статьи 9 ФЗ № 152. Кроме того, согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
Согласие и оферта — разные правовые основания по смыслу статьи 6 ФЗ № 152. Оферта не должна подменять согласие на рекламные рассылки. У субъекта должна быть возможность выразить отдельное добровольное согласие на получение рекламы.
Эта логика подтверждается судебной практикой. Постановлением Седьмого арбитражного апелляционного суда от 23.11.2023 № 07АП-7822/2023 по делу № А67−5786/2023 оставлено в силе решение суда первой инстанции, которым банку отказано в обжаловании предписания территориального органа ФАС. Нарушение выразилось в том, что банк включил в оферту условие о согласии на получение рекламных рассылок. Суд указал, что принятие условий пользовательского соглашения и политики обработки ПДн при направлении заявки не подтверждает согласие субъекта на получение рекламы от банка.
Типовые ошибки:
- предустановленная галочка на рекламные рассылки;
- одновременно указаны два основания обработки: согласие и оферта;
- при клике на «согласие на обработку ПДн» пользователь попадает на политику конфиденциальности;
- пользователь должен «согласиться» с политикой;
- согласие на рекламу встроено в оферту;
- форма сбора собирает больше данных, чем нужно для цели;
- чек-бокс объединяет обработку заявки, рекламу и аналитику;
- ссылки под формой ведут не на те документы.
Согласие на обработку ПДн в целях рекламы должно быть явным, конкретным и сознательным. Предустановленная галочка нарушает принципы согласия, предусмотренные частью 1 статьи 9 ФЗ № 152. Кроме того, согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
Согласие и оферта — разные правовые основания по смыслу статьи 6 ФЗ № 152. Оферта не должна подменять согласие на рекламные рассылки. У субъекта должна быть возможность выразить отдельное добровольное согласие на получение рекламы.
Эта логика подтверждается судебной практикой. Постановлением Седьмого арбитражного апелляционного суда от 23.11.2023 № 07АП-7822/2023 по делу № А67−5786/2023 оставлено в силе решение суда первой инстанции, которым банку отказано в обжаловании предписания территориального органа ФАС. Нарушение выразилось в том, что банк включил в оферту условие о согласии на получение рекламных рассылок. Суд указал, что принятие условий пользовательского соглашения и политики обработки ПДн при направлении заявки не подтверждает согласие субъекта на получение рекламы от банка.
Как формулировать тексты под формами
Для рекламных рассылок можно использовать отдельную конструкцию:
«Подтверждая почту, вы подписываетесь на рассылку и даете согласие на обработку своих персональных данных».
Рядом должна быть гиперссылка на согласие на обработку персональных данных в целях рекламных рассылок.
Для оформления заказа логика другая. Политика конфиденциальности не является правовым основанием обработки ПДн. Поэтому пользователь не должен «соглашаться» с политикой. Он может подтверждать ознакомление с ней или принимать оферту, если обработка нужна для исполнения договора.
Для оформления заказа логика другая. Политика конфиденциальности не является правовым основанием обработки ПДн. Поэтому пользователь не должен «соглашаться» с политикой. Он может подтверждать ознакомление с ней или принимать оферту, если обработка нужна для исполнения договора.
В форме оформления заказа можно использовать конструкцию:
«Отправляя заказ, я принимаю условия оферты в соответствии с политикой конфиденциальности».
Рядом должны быть гиперссылки на оферту и политику конфиденциальности.
При этом важно не копировать формулировки механически. Текст под формой должен соответствовать конкретному процессу: заявка, заказ, регистрация, подписка, акция, обратная связь, личный кабинет. На практике именно одинаковые формулировки под разными формами часто создают расхождение между документами и фактической обработкой.
При этом важно не копировать формулировки механически. Текст под формой должен соответствовать конкретному процессу: заявка, заказ, регистрация, подписка, акция, обратная связь, личный кабинет. На практике именно одинаковые формулировки под разными формами часто создают расхождение между документами и фактической обработкой.
Инцидент с персональными данными не замыкается на внутренней инфраструктуре
Организации, которые используют подрядчиков, облачные сервисы, CRM, сайты и рассылки, сталкиваются с риском инцидента не только внутри своей инфраструктуры. Разобрать порядок уведомления, роли команды и доказательства контроля подрядчиков можно с Б-152.
Политика обработки ПДн: документ есть, но этого недостаточно
Наличие политики обработки персональных данных само по себе не доказывает соблюдение требований 152-ФЗ.
В рамках контрольных мероприятий в отношении сайтов представители РКН обращают внимание не только на наличие или отсутствие политики, но и на ее структуру и содержание. Об этом заявлял начальник Управления РКН по защите прав субъектов ПДн Ю. Е. Контемиров на Дне открытых дверей РКН от 29.09.2022 г. и 01.03.2023 г.
Политика должна отражать реальность сайта, а не универсальный шаблон. В ней важно проверить:
В рамках контрольных мероприятий в отношении сайтов представители РКН обращают внимание не только на наличие или отсутствие политики, но и на ее структуру и содержание. Об этом заявлял начальник Управления РКН по защите прав субъектов ПДн Ю. Е. Контемиров на Дне открытых дверей РКН от 29.09.2022 г. и 01.03.2023 г.
Политика должна отражать реальность сайта, а не универсальный шаблон. В ней важно проверить:
- какие категории субъектов описаны;
- какие персональные данные собираются;
- какие цели обработки указаны;
- какие правовые основания применяются;
- есть ли сведения о cookie и метрических программах;
- описаны ли формы обратной связи;
- указаны ли рассылки, личный кабинет, заявки, регистрация;
- отражены ли подрядчики и передача им данных;
- описаны ли права субъектов;
- указаны ли сроки обработки или условия прекращения;
- совпадает ли политика с фактическими формами сайта.
Для более детальной сверки документа можно использовать материал «Что должно быть в политике конфиденциальности, чтобы она реально работала». Он помогает проверить не только наличие политики, но и ее связь с реальными формами, cookie, передачами, сроками хранения и правами субъектов.
На практике часто встречается ситуация, когда политика описывает старый функционал. Форма регистрации уже изменилась, но в документе остался логин и пароль. Подключили онлайн-чат, но он не отражен в политике. Добавили Яндекс. Метрику, но cookie-баннер и политика не обновлены. Запустили рассылку, но отдельного согласия нет.
Такие расхождения показывают, что компания не управляет процессом обработки ПДн системно.
Такие расхождения показывают, что компания не управляет процессом обработки ПДн системно.
Минимальный чек-лист для приведения сайта в соответствие 152-ФЗ
Типовые ситуации, где сайт перестает соответствовать 152-ФЗ
Новая форма появилась быстрее документов
Маркетинг запускает лендинг под акцию, добавляет форму регистрации и передает данные в CRM. Политика и согласия остаются прежними. Формально документ на сайте есть, но он не описывает новую цель, состав данных и срок обработки.
Подключили аналитику без юридической проверки
На сайт добавляют новую метрическую программу или рекламный пиксель. С технической точки зрения это несколько строк кода. С точки зрения 152-ФЗ — новый процесс обработки, который может затронуть cookie, IP-адреса, поведение пользователя, передачу данных третьему лицу и локализацию.
Рекламное согласие спрятали в оферту
Пользователь оформляет заказ или заявку и одновременно оказывается подписан на рекламу. Такая модель не показывает отдельное добровольное согласие на рекламные коммуникации и создает риск жалоб.
Политика описывает старую версию сайта
На сайте уже нет прежней регистрации, сменились формы, появился чат, изменились cookie, но политика осталась прежней. Для регулятора это может выглядеть как отсутствие контроля за обработкой ПДн.
Подрядчик получил доступ к данным, но его роль не определена
CRM, сервис рассылок, хостинг, чат, коллтрекинг или подрядчик по сопровождению сайта получает доступ к ПДн. Но в договорах не определено, является ли он обработчиком по поручению, самостоятельным оператором или техническим поставщиком без доступа к данным.
Что делать после первичной проверки сайта
После первичной проверки сайт лучше разделить на три зоны.
Первая зона — критичные нарушения: иностранные сервисы с риском локализации, отсутствующее правовое основание, предустановленные галочки, отсутствие политики, согласие на рекламу в оферте, неработающие ссылки на документы.
Вторая зона — расхождения между документами и фактическими процессами: формы собирают больше данных, чем указано в политике; cookie-баннер не отражает метрики; политика описывает старый функционал; подрядчики не учтены.
Третья зона — процессные риски: нет владельца обновлений, документы не пересматриваются после изменений сайта, маркетинг и ИТ подключают сервисы без privacy-проверки, согласия не хранятся как доказательства.
Рабочий результат — не просто обновленная политика. Компании нужна понятная модель: кто отвечает за сайт, кто согласует новые формы, кто проверяет cookie и скрипты, кто обновляет документы, кто хранит версии согласий и кто контролирует подрядчиков.
Первая зона — критичные нарушения: иностранные сервисы с риском локализации, отсутствующее правовое основание, предустановленные галочки, отсутствие политики, согласие на рекламу в оферте, неработающие ссылки на документы.
Вторая зона — расхождения между документами и фактическими процессами: формы собирают больше данных, чем указано в политике; cookie-баннер не отражает метрики; политика описывает старый функционал; подрядчики не учтены.
Третья зона — процессные риски: нет владельца обновлений, документы не пересматриваются после изменений сайта, маркетинг и ИТ подключают сервисы без privacy-проверки, согласия не хранятся как доказательства.
Рабочий результат — не просто обновленная политика. Компании нужна понятная модель: кто отвечает за сайт, кто согласует новые формы, кто проверяет cookie и скрипты, кто обновляет документы, кто хранит версии согласий и кто контролирует подрядчиков.
FAQ
1) Что нужно проверить на сайте по 152-ФЗ в 2026 году?
Нужно проверить формы сбора данных, cookie-баннер, метрические программы, политику обработки ПДн, согласия, оферту, рекламные рассылки, локализацию, подрядчиков, хостинг, CRM и фактический путь пользователя.
Нужно проверить формы сбора данных, cookie-баннер, метрические программы, политику обработки ПДн, согласия, оферту, рекламные рассылки, локализацию, подрядчиков, хостинг, CRM и фактический путь пользователя.
2) Достаточно ли разместить политику конфиденциальности на сайте?
Не только. Политика должна соответствовать реальным процессам обработки ПДн. Риск возникает, когда документ есть, но не описывает фактические формы, cookie, рассылки, аналитику, подрядчиков или состав собираемых данных.
Не только. Политика должна соответствовать реальным процессам обработки ПДн. Риск возникает, когда документ есть, но не описывает фактические формы, cookie, рассылки, аналитику, подрядчиков или состав собираемых данных.
3) Нужно ли пользователю соглашаться с политикой конфиденциальности?
Нет. Политика не является правовым основанием обработки ПДн. Пользователь может подтверждать ознакомление с политикой, но «согласие с политикой» не заменяет согласие на обработку ПДн или иное правовое основание.
Нет. Политика не является правовым основанием обработки ПДн. Пользователь может подтверждать ознакомление с политикой, но «согласие с политикой» не заменяет согласие на обработку ПДн или иное правовое основание.
4) Какие ошибки чаще всего встречаются в чек-боксах?
Частые ошибки — предустановленные галочки, объединение нескольких целей в одном согласии, ссылка на политику вместо согласия, согласие на рекламу внутри оферты, отсутствие отдельного добровольного согласия на рассылку.
Частые ошибки — предустановленные галочки, объединение нескольких целей в одном согласии, ссылка на политику вместо согласия, согласие на рекламу внутри оферты, отсутствие отдельного добровольного согласия на рассылку.
5) Почему Google Analytics может быть риском по 152-ФЗ?
Риск связан с требованиями локализации. При сборе ПДн граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны обеспечиваться с использованием баз данных на территории России. В отношении Google Analytics это требование невозможно исполнить из-за отсутствия дата-центров Google в РФ.
Риск связан с требованиями локализации. При сборе ПДн граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны обеспечиваться с использованием баз данных на территории России. В отношении Google Analytics это требование невозможно исполнить из-за отсутствия дата-центров Google в РФ.
6) Нужно ли указывать Яндекс. Метрику в cookie-баннере?
Да, при использовании метрических программ пользователь должен быть проинформирован о сборе ПДн при входе на сайт. В cookie-баннере нужно учитывать информацию о сборе с помощью метрических программ и название такой программы.
Да, при использовании метрических программ пользователь должен быть проинформирован о сборе ПДн при входе на сайт. В cookie-баннере нужно учитывать информацию о сборе с помощью метрических программ и название такой программы.
7) Как часто нужно обновлять документы на сайте?
Документы нужно пересматривать после каждого существенного изменения: новой формы, подключения метрики, изменения cookie, запуска рассылки, новой акции, смены CRM, хостинга, подрядчика или механики регистрации.
Документы нужно пересматривать после каждого существенного изменения: новой формы, подключения метрики, изменения cookie, запуска рассылки, новой акции, смены CRM, хостинга, подрядчика или механики регистрации.
8) Что делать, если сайт уже работает, но документы давно не обновлялись?
Нужно провести инвентаризацию сайта: найти все формы, скрипты, cookie, сервисы, интеграции и документы, затем сверить их с политикой, согласиями, офертой, локализацией и фактическими бизнес-процессами.
Нужно провести инвентаризацию сайта: найти все формы, скрипты, cookie, сервисы, интеграции и документы, затем сверить их с политикой, согласиями, офертой, локализацией и фактическими бизнес-процессами.
Итог
Приведение сайта в соответствие 152-ФЗ в 2026 году — это не разовая публикация политики конфиденциальности. Сайт нужно рассматривать как рабочий контур обработки ПДн, где каждый элемент связан с конкретной целью, основанием, документом, сервисом и ответственным подразделением.
Самые серьезные риски связаны с локализацией, иностранными сервисами, cookie и метриками, некорректными согласиями, рекламными рассылками и политикой, которая не отражает фактический функционал сайта. Но в реальной работе нарушение часто начинается с малого: добавили форму, подключили скрипт, поменяли регистрацию, запустили акцию — и не обновили правовую модель.
Зрелый подход строится не вокруг шаблона документов, а вокруг процесса: инвентаризация сайта, проверка локализации, разделение целей и оснований, корректные согласия, актуальная политика, контроль подрядчиков и обязательная privacy-проверка после изменений сайта.
Компании, которые поддерживают связь между сайтом, документами и реальными процессами, находятся в более устойчивой позиции при мониторинге, запросе Роскомнадзора, жалобе пользователя или клиентском аудите.
Самые серьезные риски связаны с локализацией, иностранными сервисами, cookie и метриками, некорректными согласиями, рекламными рассылками и политикой, которая не отражает фактический функционал сайта. Но в реальной работе нарушение часто начинается с малого: добавили форму, подключили скрипт, поменяли регистрацию, запустили акцию — и не обновили правовую модель.
Зрелый подход строится не вокруг шаблона документов, а вокруг процесса: инвентаризация сайта, проверка локализации, разделение целей и оснований, корректные согласия, актуальная политика, контроль подрядчиков и обязательная privacy-проверка после изменений сайта.
Компании, которые поддерживают связь между сайтом, документами и реальными процессами, находятся в более устойчивой позиции при мониторинге, запросе Роскомнадзора, жалобе пользователя или клиентском аудите.
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
Регулярные изменения сайта требуют регулярного privacy-контроля. Для отслеживания практики Роскомнадзора, cookie, согласий, сайтов и типовых ошибок операторов удобно читать разборы в Telegram-канале Б-152.
Материалы по теме