Проверка сайта на соответствие 152-ФЗ: чек-лист, который можно пройти самому за 20 минут

Коротко

• Проверка сайта на соответствие 152-ФЗ начинается с трёх вещей: какие внешние сервисы подключены, как устроены формы и есть ли политика обработки данных.
• Почти всё видно в браузере: код страницы (Ctrl+U) и вкладка «Сеть» в инструментах разработчика. Логины и пароли не нужны.
• Самые частые находки на сайтах малого бизнеса — Google Analytics и Google Fonts, формы без отдельного согласия и политика, скопированная с чужого сайта.
• Такая проверка — техническая. Внутренние документы компании и уведомление в Роскомнадзор проверяются отдельно.

Что значит «сайт соответствует 152-ФЗ»?

Закон о персональных данных не пишет отдельных правил для сайтов. Он говорит об операторе — компании или ИП, которые собирают данные людей. Сайт попадает под закон, как только через него собирают что-то, что указывает на человека: имя, телефон, почту, а с точки зрения Роскомнадзора — ещё и данные, которые собирают счётчики и сервисы в браузере посетителя.

Для сайта из этого вытекает несколько практических требований:

• данные россиян при сборе записываются в базы, которые находятся в России (ч. 5 ст. 18 152-ФЗ, с 1 июля 2025 года запрет стал жёстче);
• на сайте опубликована политика обработки персональных данных, и к ней есть доступ со страниц, где данные собирают (ч. 2 ст. 18.1);
• согласие посетителя берут отдельно от других документов — с 1 сентября 2025 года его нельзя «спрятать» в оферте или пользовательском соглашении;
• если данные уходят за рубеж, это трансграничная передача, о которой нужно отдельно уведомлять Роскомнадзор.

Дальше — как проверить каждое требование своими руками.

Шаг 1. Какие счётчики стоят на сайте?

Откройте главную страницу, нажмите Ctrl+U (на Mac — Cmd+Option+U). Откроется код страницы. Нажмите Ctrl+F и по очереди ищите:

Если нашли Google Analytics — это главный кандидат на исправление. Подробно о том, что изменилось летом 2025 года, мы разбирали в статье про штраф за Google Analytics на сайте.

Код главной показывает не всё: счётчики иногда подключают только на отдельных страницах или через Tag Manager. Поэтому повторите поиск на странице с формой заявки и на странице контактов.

Шаг 2. Не грузятся ли шрифты и капча из-за рубежа?

В том же коде поищите fonts.googleapis.com, fonts.gstatic.com и recaptcha. Шрифт Google выглядит безобидно, но при каждой загрузке страницы браузер посетителя отправляет на серверы Google свой IP-адрес и данные браузера. С капчей Google то же самое, только данных больше.

Надёжнее посмотреть вживую: нажмите F12, откройте вкладку «Сеть» (Network) и обновите страницу. В списке запросов будут все адреса, к которым обращается сайт. Отсортируйте по домену и пробегитесь глазами: всё, что заканчивается не на .ru и не на ваш домен, стоит проверить. Почему шрифты и капча — это передача данных, разобрано в статье о Google Fonts и reCAPTCHA.

Шаг 3. Как устроены формы на сайте?

Пройдите по всем формам: заявка, обратный звонок, запись, подписка, всплывающие окна, квизы. Для каждой ответьте на вопросы:

1. Есть ли отдельная галочка согласия на обработку персональных данных?
2. Не стоит ли она заранее? Галочка, поставленная за посетителя, согласием не считается.
3. Можно ли отправить форму без галочки? Если да — согласия по сути нет.
4. Ведёт ли ссылка рядом с галочкой на текст согласия или политику, и открывается ли она?
5. Не склеено ли согласие с офертой или рассылкой в одну фразу «Я принимаю условия…»?

Чаще всего ломается пятый пункт. Фраза «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности» под кнопкой была нормой много лет. С сентября 2025 года этого мало. Что должно быть в самом тексте согласия, мы подробно расписали в статье о согласии на обработку данных в форме сайта.

Шаг 4. Куда уходят заявки с формы?

Этот пункт снаружи виден не всегда, но владелец знает ответ сам. Если заявки с формы приходят прямо на почту gmail.com, в зарубежную CRM или в зарубежный конструктор форм, первая запись данных происходит за пределами России. Это прямой риск по ч. 5 ст. 18.

Проверьте и мелочи. Онлайн-чат в углу сайта: чей он и где хранит переписку? Виджет WhatsApp: номер телефона посетителя уходит в мессенджер иностранной компании. Если подрядчик когда-то подключил «модный» сервис отзывов или бронирования, его тоже стоит найти в списке запросов из шага 2.

Шаг 5. Есть ли политика и про что она?

Найдите ссылку на политику обработки персональных данных — обычно она в подвале сайта и рядом с формами. Откройте и прочитайте первые абзацы. Типичные проблемы:

• в политике чужие реквизиты или название другой компании — её скопировали;
• нет ИНН и адреса оператора;
• не перечислены сервисы, которые реально стоят на сайте (Метрика, CRM, рассылка);
• политика открывается только из подвала, а со страницы с формой до неё не добраться.

Что обязательно должно быть в документе — в статье про политику обработки персональных данных.

Шаг 6. Есть ли вопрос о cookie?

Если на сайте стоит хоть один счётчик, при первом заходе посетителя лучше спрашивать о cookie и подключать аналитику только после согласия. Для Яндекс Метрики это вопрос осторожности, а не прямого запрета, но баннер «Мы используем cookie» без кнопки отказа ничего не решает. Подробнее — в статье нужен ли cookie-баннер на сайте в России.

Чем грозят найденные нарушения?

Размер штрафа зависит от того, что именно нашли. Для ориентира — суммы для юрлиц по ст. 13.11 КоАП:

Полная таблица с повторными нарушениями и суммами для ИП — в статье о штрафах по 152-ФЗ. Обычно всё начинается с жалобы: посетитель недоволен звонком, пишет в Роскомнадзор, и проверка идёт уже по конкретному сайту.

Как проверить сайт на 152-ФЗ онлайн, без ручного поиска?

Шаги 1–3, 5 и 6 можно поручить автоматической проверке. На странице проверки и исправления сайта по 152-ФЗ работает наш бот Секретарь: вы отправляете адрес сайта, он открывает главную и до 6 внутренних страниц и через пару минут присылает отчёт — какие сервисы подключены, где формы без отдельного согласия, есть ли политика и вопрос о cookie.

Логины и пароли для этого не нужны: бот смотрит только то, что видит любой посетитель. О границах честно: это техническая проверка, а не юридическое заключение. Уведомление в Роскомнадзор, внутренние документы и то, как данные хранятся внутри компании, снаружи не видно.

Если по отчёту набралось несколько пунктов, их можно исправить самостоятельно. Или поручить нам: исправление лендинга стоит от 9 900 ₽ и обычно занимает один рабочий день, цена фиксируется до начала работ. Все тарифы — на странице цен.

Частые вопросы

Можно ли проверить сайт на соответствие 152-ФЗ самостоятельно и без доступа к нему?

Да. Внешние сервисы, формы, политику и cookie-баннер видно в браузере: через код страницы и вкладку «Сеть». Онлайн-проверка на нашем сайте тоже не требует логинов — нужен только адрес.

Что чаще всего находят при проверке сайтов малого бизнеса?

Зарубежные счётчики и шрифты, формы без отдельной галочки согласия и политику без реквизитов владельца. В нашем исследовании 45 сайтов салонов и клиник Москвы проблемы нашлись у 82%.

Если на сайте только одна форма с телефоном, закон тоже действует?

Да. Имя и телефон — персональные данные, и одной формы достаточно, чтобы владелец сайта стал оператором персональных данных.

Заменяет ли онлайн-проверка юридический аудит?

Нет. Она показывает то, что видно снаружи сайта. Уведомление в Роскомнадзор, договоры с подрядчиками и порядок работы с данными внутри компании проверяются отдельно.

Как часто проверять сайт?

После каждой заметной правки: новый подрядчик, новая форма, новый виджет или счётчик. Чаще всего нарушения появляются именно так — кто-то «просто добавил чат».

Итог

Проверка сайта на соответствие 152-ФЗ не требует юриста на первом шаге. За 20 минут в браузере видно главное: зарубежные счётчики и шрифты, формы без отдельного согласия, политику с чужими реквизитами. Найдёте что-то из этого — исправляйте в первую очередь. Не хотите искать вручную — отправьте адрес сайта Секретарю на странице проверки по 152-ФЗ, отчёт придёт в чат.

*Студия AIStudioDimkoFF*