Проверить сайт на соответствие 152-ФЗ можно самому: большая часть требований видна прямо в браузере. Ниже — восемь пунктов, которые проходятся за 15–30 минут. В каждом — что открыть на сайте, какая норма это требует и где прочитать подробнее. Нормы 152-ФЗ сверены с редакцией от 26.07.2026.
Чек-лист не заменяет аудит процессов внутри компании: он проверяет то, что видит посетитель и Роскомнадзор, когда открывает сайт. Что снаружи не увидеть, сказано в последнем разделе.
1. Политика обработки персональных данных
Если сайт собирает хотя бы имя и телефон, на нём должна быть опубликована политика обработки персональных данных, и она должна открываться с тех страниц, где идёт сбор.
Часть 2 статьи 18.1 152-ФЗ требует от оператора, который собирает данные через интернет, опубликовать документ о политике «на страницах принадлежащего оператору сайта», с которых идёт сбор, вместе со сведениями о реализуемых требованиях к защите данных.
Что посмотреть:
- в подвале есть ссылка на политику, и она открывается, а не ведёт на ошибку 404;
- по ссылке — именно политика оператора, а не текст согласия и не текст закона;
- рядом с каждой формой есть ссылка на политику;
- в политике названы цели, состав данных, сроки хранения и меры защиты, а порядок отзыва согласия желательно описать там же, чтобы посетитель знал, куда обращаться.
Закониум проверяет, опубликована ли политика и открывается ли она, правилом NC-152-01, состав разделов — правилом NC-152-03, ссылку у формы — правилом NC-152-12, порядок отзыва согласия — правилом NC-152-16. Что писать в документе — в статье «Политика обработки персональных данных на сайте».
2. Согласие в формах
Каждая форма, которая собирает данные, должна получать согласие отдельным действием посетителя: чекбокс, который он ставит сам. Галочка, поставленная заранее, и фраза «нажимая кнопку, вы соглашаетесь» этого не заменяют.
Часть 1 статьи 9 152-ФЗ требует, чтобы согласие было «конкретным, предметным, информированным, сознательным и однозначным» и было «оформлено отдельно от иных информации и (или) документов».
Пройдите все формы сайта: заявку, обратный звонок, подписку, отзыв, регистрацию, оформление заказа. В каждой проверьте:
- есть ли чекбокс согласия и пуст ли он при открытии страницы;
- не объединено ли согласие на обработку данных с согласием на рассылку или с принятием оферты одной отметкой;
- ведёт ли ссылка рядом с чекбоксом на текст согласия или политику.
Отсутствие согласия и согласие нажатием кнопки Закониум находит правилом NC-152-04, отмеченный заранее чекбокс — правилом NC-152-05, одну отметку на несколько целей — правилом NC-152-06. Подробнее — в статье «Согласие на обработку персональных данных в форме на сайте».
3. Cookie и счётчики до согласия
По распространённому толкованию, счётчики и рекламные пиксели не должны запускаться, пока посетитель не дал согласие. Прямо баннер закон не называет. Проверяется это в браузере за минуту, и именно здесь ошибаются чаще всего: баннер есть, а Метрика уже работает.
Пункт 1 статьи 3 152-ФЗ определяет: «персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». Идентификатор cookie вместе с IP-адресом и историей посещений позволяет выделить человека, поэтому их считают персональными данными, а для аналитики и рекламы требуют согласие.
Как проверить:
- Откройте сайт в окне инкогнито и ничего не нажимайте в баннере.
- Откройте инструменты разработчика (F12), вкладку с cookie сайта.
- Если там уже есть файлы счётчиков (например,
_ym_uidЯндекс Метрики) или рекламных систем — согласие не работает, даже если баннер на экране. - Хорошая практика — отказ в баннере, такой же заметный, как согласие: та же часть 1 статьи 9 из раздела 2 требует, чтобы согласие давалось «свободно, своей волей».
Нет баннера при работающей аналитике — правило NC-152-07, счётчики и пиксели до согласия — правило NC-152-08, cookie, которые ставятся при первом заходе, — правило NC-152-15. Подробно о баннере — в статье «Cookie и счётчики на сайте».
4. Зарубежные сервисы и трансграничная передача
Если страницы сайта отправляют данные посетителей зарубежным сервисам — аналитике, чатам, капче, — это трансграничная передача. О ней нужно отдельно уведомить Роскомнадзор; сказать о ней и в политике тоже стоит.
Шрифты и библиотеки с зарубежных сетей доставки — случай спорный, трансграничной передачей их считают не всегда; подробнее — в статье «Трансграничная передача персональных данных».
Часть 3 статьи 12 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении осуществлять трансграничную передачу «до начала осуществления деятельности», и это уведомление «направляется отдельно» от общего уведомления об обработке.
Что посмотреть: в инструментах разработчика на вкладке сети — к каким внешним адресам обращаются страницы при открытии; в коде форм — чья капча; в политике — что написано о трансграничной передаче. Политика, где сказано «передачи за рубеж нет», при подключённом зарубежном сервисе вводит посетителя в заблуждение, и такое расхождение лучше устранить. В самом уведомлении об обработке нужны «сведения о наличии или об отсутствии трансграничной передачи» (п. 10 ч. 3 ст. 22 152-ФЗ).
Зарубежные сервисы из каталога Закониума со страной получателя находит правило NC-152-09, неопознанные сторонние сервисы за пределами России — правило NC-152-20. Как подать уведомление — в статье «Уведомление Роскомнадзора об обработке персональных данных».
5. Где хранятся данные: локализация
Данные граждан России, собранные через сайт, должны записываться и храниться в базах на территории России. Снаружи это видно лишь отчасти: по стране, где находится сервер сайта.
Часть 5 статьи 18 152-ФЗ запрещает при сборе данных, в том числе через интернет, запись, систематизацию, накопление и хранение данных граждан России «с использованием баз данных, находящихся за пределами территории Российской Федерации», кроме случаев, названных в законе.
Узнайте у хостинга, в какой стране стоит сервер сайта и база данных, и сохраните подтверждение. Отдельно проверьте, куда уходят заявки с форм: CRM, почта и сервисы рассылок тоже хранят данные.
Страну сервера, с которого отвечает сайт, Закониум определяет правилом NC-152-17. Подробнее — в статье «Локализация баз данных».
6. Уведомление Роскомнадзора и реестр операторов
Компания или предприниматель, которые собирают данные через сайт, должны до начала обработки уведомить Роскомнадзор. В течение тридцати дней с даты поступления уведомления Роскомнадзор вносит оператора в реестр операторов (ч. 4 ст. 22 152-ФЗ), и запись можно найти по ИНН.
Часть 1 статьи 22 152-ФЗ обязывает оператора «до начала обработки персональных данных» уведомить уполномоченный орган о намерении её осуществлять, за исключением случаев из части 2 той же статьи.
Найдите свою организацию в реестре операторов на портале персональных данных Роскомнадзора по ИНН. Проверьте, что в записи перечислены цели и данные, которые реально собирает сайт, и что отмечена трансграничная передача, если она есть.
Есть ли в реестре запись по ИНН, указанному на сайте, Закониум проверяет правилом NC-152-24. Кто подаёт уведомление и что будет, если не подать, — в статье «Уведомление Роскомнадзора».
7. Кто оператор: реквизиты и контакты
Посетитель должен понять, кто получает его данные и куда обращаться. Проще всего, когда в политике и на сайте написаны наименование оператора, ИНН, адрес и контакт для обращений, а у продавца и исполнителя — ещё и сведения из закона о защите прав потребителей.
П. 4 ч. 7 ст. 14 152-ФЗ даёт человеку право получить сведения об обработке его данных, в том числе «наименование и место нахождения оператора». Если сайт продаёт товары или услуги, п. 1 ст. 9 Закона № 2300-1 (ред. от 28.12.2025, с изм. от 17.02.2026) обязывает довести до потребителя «фирменное наименование (наименование) своей организации, место ее нахождения (адрес) и режим ее работы», а предпринимателя — ещё и «информацию о государственной регистрации и наименовании зарегистрировавшего его органа».
Что посмотреть: подвал и страница «Контакты» — полное наименование, ИНН, адрес, у продавца и исполнителя — режим работы, у предпринимателя — сведения о государственной регистрации; в политике — наименование, адрес и адрес электронной почты для запросов и отзыва согласия.
Сведения об операторе среди разделов политики учитывает правило NC-152-03, ОГРН продавца или исполнителя на сайте — правило NC-152-14. Полный перечень для магазина — в статье «Какие сведения о продавце обязательны на сайте».
8. HTTPS для форм
Данные из форм стоит отправлять по защищённому соединению. Сайт без HTTPS или форма, отправляющая заявку по HTTP, передают имя и телефон в открытом виде.
Часть 1 статьи 19 152-ФЗ обязывает оператора принимать технические меры для защиты данных «от неправомерного или случайного доступа к ним». Защищённое соединение — самая простая из таких мер.
Что посмотреть: адрес сайта открывается по https://, браузер не предупреждает о сертификате, адрес без www. и с ним работают одинаково, а в коде форм адрес отправки тоже начинается с https://.
Отсутствие HTTPS, недействительный сертификат и форму, которая отправляет данные по HTTP, Закониум находит правилом NC-152-11.
Что грозит, если пункт не выполнен
За большинство пунктов чек-листа отвечают по статье 13.11 КоАП РФ: обработка без согласия, неопубликованная политика, базы за рубежом, неподанное уведомление — у каждого нарушения своя часть статьи и свой размер штрафа.
Составы и суммы для организаций, предпринимателей и должностных лиц собраны в статье «Штрафы для сайтов: сколько грозит по КоАП за нарушения на сайте». Если хочется пройти пункты 1–8 не вручную, бесплатная проверка Закониума проходит их по адресу сайта и показывает балл и число находок; одна находка открыта целиком.
Что автоматическая проверка не оценит
Проверка снаружи видит сайт так же, как посетитель и проверяющий: страницы, формы, cookie, внешние подключения, реестр. Всё, что происходит внутри компании, она не видит, и это остаётся на вас.
- Где на самом деле лежит база. Страна сервера сайта видна, а где хранятся копии в CRM, почте и бухгалтерии — нет.
- Соответствует ли политика реальной обработке. Проверка находит недостающие разделы, но не знает, какие данные компания собирает вне сайта.
- Внутренние документы и ответственный. Пункты 1 и 2 части 1 статьи 18.1 152-ФЗ требуют от организации назначить ответственного за организацию обработки данных и издать локальные акты; на сайте их не видно.
- Формы, которые открываются по кнопке или после входа. Виджеты записи, личный кабинет и оформление заказа за авторизацией обход не заполняет; такие формы стоит пройти руками по пункту 2.
- Состав уведомления. Реестр показывает, что запись есть, но совпадают ли цели и перечень данных с работой сайта, решает только человек.
Материал подготовила редакция Закониума и сверила с текстами норм на дату обновления. Как мы готовим материалы.