Аудит сайта на 152-ФЗ: чек-лист самопроверки перед Роскомнадзором

«Боты Роскомнадзора». В 2025 году эту фразу обсуждали во всех чатах предпринимателей, а вживую видел мало кто. Звучит как очередная страшилка. Но бот настоящий. РКН запустил автоматизированную систему, которая круглосуточно сканирует сайты в зонах .RU, .РФ и .SU: открывает страницу как обычный посетитель, ищет формы ввода данных, проверяет счётчики аналитики и сверяет сайт с реестром операторов. Нашёл подозрительное, передал живому инспектору. Тот подтвердил нарушение и выслал предписание. На исправление дают 10 дней.

Любой сайт, где есть форма обратной связи, подписка или хотя бы счётчик аналитики, уже оператор персональных данных. А значит, попадает под 152-ФЗ и под радар этого бота. Бот тут как тайный покупатель: заходит обычным гостем, ничего не взламывает, просто смотрит. И всё видит.

Что он находит чаще всего (по разбору первых волн проверок, без имён): согласие оформлено просто ссылкой на документ, без подтверждения, что человек с ним ознакомился; предзаполненная галочка «согласен»; веб-аналитика, о которой посетителя не предупредили. Три дыры, видные снаружи за пару секунд. Разберём каждую и закроем.

Хорошая новость: привести сайт в порядок можно за один день, и для этого не нужен юрист на аутсорсе. Дам чек-лист самопроверки, по которому вы сами увидите дыры и закроете их. А если проверить хочется быстро, без ручной работы, тот же набор пунктов прогоняет автоматический аудит сайта на 152-ФЗ. Цель — пройти проверку спокойно, а не жить в страхе перед ней.

Я основатель КиберОснова, 152-ФЗ прошёл и на собственном бизнесе, и помогая клиентам. 12 лет в ИБ, строю SGRC-платформу. Через мои руки прошли десятки аудитов сайтов: от лендинга до маркетплейса. Дальше по делу и на языке бизнеса, без бюрократического запугивания.

Аудит сайта — это две проверки, не одна

Когда говорят «сделать аудит сайта», обычно смешивают две разные вещи. Первая — комплаенс: всё ли в порядке с 152-ФЗ, чтобы не прилетело от РКН. Вторая — безопасность: не взломают ли сайт, не утекут ли через дыру данные клиентов. Это разные риски и разные проверяющие: в первом случае вами интересуется инспектор, во втором — бот-взломщик.

Эта статья — про первую половину, комплаенс-аудит по 152-ФЗ: по ней вы сами пройдёте сайт глазами инспектора РКН. Вторую половину, техническую безопасность (что ищут на сайте боты, как закрыть основные дыры без ИБ-отдела), разобрал отдельно — как нейросети взламывают сайты малого бизнеса и что делать. Полный аудит = пройти оба чек-листа. Начнём с того, что видит РКН.

Что именно проверяет Роскомнадзор на сайте

Дистанционная проверка сайта — это не миф, а рабочий инструмент РКН. Инспектору не нужен доступ к вашим серверам, чтобы найти нарушения. Он смотрит на то, что видно любому посетителю:

1. Есть ли политика обработки персональных данных и доступна ли она.
2. Корректны ли формы сбора данных: есть ли согласие, не предзаполнена ли галочка.
3. Что с cookie и счётчиками: предупреждён ли пользователь.
4. Нет ли трансграничной передачи без уведомления (зарубежная аналитика, хостинг).
5. Подано ли уведомление в РКН о том, что вы вообще обрабатываете данные.

Разберём каждый пункт.

1. Политика обработки персональных данных

Это не «политика конфиденциальности для галочки», а прямое требование части 2 статьи 18.1 152-ФЗ: оператор обязан опубликовать документ, определяющий политику в отношении обработки ПДн, и обеспечить к нему неограниченный доступ.

Что проверить:

• Документ есть и открывается с любой страницы (обычно ссылка в подвале).
• Он называется именно политикой обработки персональных данных (а не пользовательским соглашением, это разные документы). Что в неё писать и где размещать — подробно в статье про политику конфиденциальности для сайта.
• Внутри: кто оператор, какие данные и зачем собираются, права субъекта, контакты для обращений.
• Указаны реальные цели и данные вашего сайта, а не скопированный с чужого сайта текст про интернет-магазин, если у вас юруслуги.

Типовая ошибка: политику скачали из первого попавшегося генератора, не прочитав. В ней фигурируют данные другой компании или сбор данных, которого у вас нет. Чужая политика на вашем сайте похожа на чужой пиджак с биркой на другое имя: вроде надели, а при первой проверке видно, что не ваш. Для инспектора это сигнал, что документ фиктивный.

2. Формы сбора данных и согласие

Любая форма, где пользователь вводит имя, телефон или email, должна сопровождаться согласием на обработку.

Что проверить:

• Рядом с кнопкой стоит непредзаполненный чекбокс согласия.
• Текст согласия и политика оформлены кликабельными ссылками, а не просто словами.
• Без галочки форма не отправляется (проверьте, это частая техническая дыра).
• Рекламная рассылка вынесена в отдельную галочку, не в одном согласии с обработкой.
• На бэкенде фиксируется факт согласия: дата, время, IP, версия текста.
• Текст согласия лежит отдельным документом по ссылке, а не абзацем внутри оферты (требование с 01.09.2025).

Предзаполненная галочка «согласен» — самая частая находка при аудите. По закону согласие должно быть сознательным и однозначным действием, а галочка по умолчанию ему не отвечает. Снимите её, это правка на пять минут.

Был случай: компания почти год собирала заявки через красивую форму вообще без чекбокса согласия. Узнали об этом, только когда пришёл запрос РКН по жалобе одного клиента. Сам чекбокс добавили за день, но протокол к тому моменту уже составили. Мораль простая: дешевле проверить форму заранее, чем объясняться задним числом.

Что именно должно быть в тексте согласия (цель, состав данных, срок, отзыв) и как сформулировать его без воды, разобрал в отдельной статье «Согласие на обработку персональных данных: как составить, чтобы спать спокойно».

3. Cookie и счётчики аналитики

Cookie и счётчики (Яндекс.Метрика, и тем более зарубежные) собирают данные о посетителе. Пользователь должен быть об этом уведомлён. И важный момент, который многих успокаивает зря: «у меня только счётчик, я не оператор» — это миф. Метрика с вебвизором, картой кликов или передачей User-ID и IP де-факто обрабатывает персональные данные, а не «обезличенную статистику». Счётчик на сайте = вы оператор.

Что проверить:

• На сайте есть cookie-баннер с информированием об использовании файлов cookie.
• В политике описано, какие счётчики стоят и какие данные они собирают.
• Пользователь может понять, как отказаться (хотя бы через настройки браузера).

Cookie-баннер в России пока не обязан быть таким же строгим, как европейский GDPR-баннер с предварительным согласием на каждую категорию. Но информировать пользователя нужно, и тренд идёт в сторону ужесточения. Лучше поставить аккуратный баннер сейчас, чем переделывать под новые требования в спешке.

4. Трансграничная передача и хостинг

Здесь прячется самое неочевидное нарушение. Если на сайте стоит зарубежная аналитика (Google Analytics), зарубежный хостинг или CDN, или формы уходят в иностранный сервис, это уже трансграничная передача персональных данных. Данные, ушедшие на зарубежный сервер, похожи на посылку, отправленную за границу без декларации: вы можете не подозревать, что пересекли границу, но ответственность уже наступила.

С 1 марта 2023 года перед началом такой передачи нужно уведомить Роскомнадзор (статья 12 152-ФЗ). А ещё есть требование локализации (часть 5 статьи 18): первичный сбор и хранение данных россиян идут на серверах в России.

Что проверить:

• Хостинг и база данных размещены в России (требование локализации) — риски зарубежных сервисов разобрал в статье про трансграничную передачу данных.
• Нет зарубежных сервисов, которым уходят ПДн без уведомления РКН.
• Если трансграничка нужна по делу, подано уведомление в РКН.

Практический совет защитника: для российского сайта проще всего убрать зарубежные сервисы и встать на российский хостинг с российской аналитикой. Тогда вопрос трансгранички закрывается сам собой.

5. Уведомление в Роскомнадзор

Финальный пункт, который забывают чаще всего. После поправок Федерального закона № 266-ФЗ (с 1 сентября 2022 года из статьи 22 152-ФЗ убрали почти все исключения) практически любой оператор обязан уведомить РКН о намерении обрабатывать персональные данные, даже если у вас просто форма обратной связи. Раньше такая форма пряталась под исключение «обработка для исполнения договора», теперь нет.

Что проверить:

• Уведомление подано (проверяется в реестре операторов на сайте РКН).
• Сведения в уведомлении соответствуют тому, что реально происходит на сайте.

Кто вообще обязан подавать это уведомление и что ещё требует закон от оператора — разобрал в статье про оператора персональных данных.

Если вы в реестре, а на сайте всё аккуратно, дистанционная проверка вам не страшна. Если уведомления нет, а данные собираете, это первое, что найдёт инспектор.

И контекст, который стоит держать в голове: плановых проверок сейчас нет, но смотреть ваш сайт со стороны регулятору закон разрешает. Как это устроено — в статье про проверки Роскомнадзора.

Итоговый чек-лист аудита сайта

• Политика обработки ПДн опубликована и доступна с любой страницы
• Политика описывает ваши реальные данные и цели
• У всех форм стоит непредзаполненный чекбокс согласия со ссылками
• Без согласия форма не отправляется
• Рекламная рассылка вынесена в отдельное согласие
• Факт согласия фиксируется (дата, IP, версия)
• Стоит cookie-баннер, счётчики описаны в политике
• Хостинг и хранение данных размещены в России (локализация)
• Нет трансграничной передачи без уведомления РКН
• Подано уведомление об обработке ПДн, сведения актуальны

Прошли по списку, закрыли пункты, и дистанционная проверка РКН перестаёт быть угрозой. Это не разовый героизм, а гигиена: раз в полгода пробежать чек-лист, когда меняли формы или ставили новый счётчик. Полчаса раз в полгода. Дешевле любого штрафа.

Документы для сайта (политику обработки ПДн, согласие, уведомление в РКН) можно собрать руками по разделам выше. Если хочется быстрее и без юриста, типовой комплект под ваш случай генерирует наш сервис КиберОснова Документы. Но и без него по этому чек-листу вы закроете сайт сами.

Частые вопросы