Почему 152-ФЗ касается любого сайта с формами и аналитикой
Закон обязывает получать согласие на обработку персональных данных и защищать их. Персональные данные — это не только паспорт и адрес, но и email, телефон, IP-адрес, cookie-файлы. Если на сайте есть форма заявки, подписка на рассылку или установлены счётчики аналитики — вы оператор персональных данных.
Роскомнадзор проверяет не только крупные компании. Проверка может начаться по жалобе посетителя, по инициативе регулятора или в рамках плановой кампании. Если на сайте обнаружат, что трекеры стартуют до согласия или данные уходят за рубеж без уведомления — это основание для санкций.
Многие владельцы бизнеса устанавливают cookie-баннер и копируют политику конфиденциальности, считая, что этого достаточно. Но баннер может показываться, а трекеры — запускаться раньше. Политика может быть скопирована с шаблона и не соответствовать тому, что сайт делает на самом деле. Регулятор проверяет реальное поведение сайта, а не текст документа.
Что на сайте создаёт риски по закону о персональных данных
Первый риск — трекеры и cookie-файлы, которые запускаются до согласия посетителя. Счётчики аналитики, рекламные пиксели, виджеты соцсетей часто стартуют в момент загрузки страницы, ещё до того, как человек увидел баннер или нажал кнопку. Это может квалифицироваться как обработка без законного основания.
Второй риск — передача данных иностранным сервисам. Если на сайте установлен Google Analytics, Facebook Pixel, сторонние CDN или авторизация через зарубежные платформы — данные посетителя могут уходить за рубеж. Закон требует уведомлять Роскомнадзор о трансграничной передаче и хранить персональные данные граждан России в базах на территории страны.
Третий риск — формы сбора данных без корректного согласия. Если форма заявки собирает имя, телефон и email, но согласие на обработку не оформлено по требованиям закона (не указаны цели, срок, перечень действий, право отозвать) — это нарушение. Четвёртый — отсутствие или несоответствие политики конфиденциальности: если документ не опубликован или не описывает реальные операции с данными — регулятор зафиксирует эпизод.
Как проверить сайт на соответствие требованиям закона
Проверка начинается с осмотра сайта глазами нового посетителя — с чистой сессии, без cookie и авторизации. Это позволяет увидеть, что происходит до любого согласия: какие трекеры стартуют, какие данные собираются, куда они отправляются. Инструменты браузера фиксируют сетевые запросы, но интерпретировать их нужно осторожно — запрос к внешнему сервису может быть техническим сигналом, а не доказательством передачи персональных данных.
Следующий шаг — проверка cookie-баннера. Важно не только наличие баннера, но и то, даёт ли он равнозначный отказ и возможность настроить категории. Если кнопка «Принять всё» яркая и крупная, а отказ спрятан или требует дополнительных действий — это может создать риск. Проверяется также, блокирует ли баннер трекеры до согласия.
Третий шаг — анализ форм и согласий. Нужно проверить, есть ли чекбокс согласия рядом с формой, что в нём написано, на что ссылается, можно ли отправить форму без согласия. Четвёртый — изучение политики конфиденциальности и других документов: кто указан оператором, какие цели и сроки обработки, какие третьи лица, есть ли информация о трансграничной передаче и правах субъекта.
- Открыть сайт в режиме инкогнито и проверить, какие трекеры запускаются до взаимодействия с баннером
- Зафиксировать снимки экрана cookie-баннера: какие кнопки, какой текст, есть ли настройка категорий
- Проверить формы: текст согласия, обязательность чекбокса, ссылка на политику
- Прочитать политику конфиденциальности и сверить с реальным поведением сайта
- Проверить наличие реквизитов оператора (ИНН, ОГРН, адрес) в футере или документах
Что делать, если на сайте обнаружены риски
Если проверка выявила эпизоды с признаками нарушений — первый шаг: оценить их серьёзность и очерёдность исправлений. Запуск трекеров до согласия, передача данных за рубеж без уведомления, отсутствие политики — каждый эпизод связан с конкретной нормой закона и диапазоном санкций. Исправлять нужно в первую очередь то, что создаёт наибольший риск.
Для технических эпизодов (трекеры, cookie) потребуется работа разработчика: настроить отложенный запуск скриптов до согласия, доработать баннер, проверить интеграции с внешними сервисами. Для документов (политика, согласия, оферта) — работа юриста: адаптировать тексты под реальные операции с данными, добавить необходимые разделы, проверить соответствие требованиям закона.
После исправлений стоит провести повторную проверку — убедиться, что трекеры больше не стартуют до согласия, документы соответствуют поведению сайта, а риски устранены. Это позволяет спокойно работать и быть готовым к возможной проверке регулятора.
Проверьте сайт на базовое соответствие закону
- 01Откройте сайт в режиме инкогнито. Проверьте, показывается ли cookie-баннер и есть ли возможность отказаться от трекеров без дополнительных действий.
- 02Проверьте DevTools → Network. До любого клика на баннере не должно быть запросов к Google Analytics, Facebook, Яндекс.Метрике и другим сторонним сервисам.
- 03Найдите формы заявок и подписок. Убедитесь, что рядом с формой есть чекбокс согласия на обработку данных со ссылкой на политику конфиденциальности.
- 04Откройте политику конфиденциальности. Проверьте, указаны ли цели обработки, срок хранения, перечень третьих лиц, право отозвать согласие и реквизиты оператора.
- 05Проверьте футер и страницу контактов. Должны быть указаны ИНН, ОГРН (или ОГРНИП), юридический адрес и контакты для связи по вопросам персональных данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если на сайте стоит Google Analytics?
Если Google Analytics собирает персональные данные посетителей (IP, cookie) и передаёт их за рубеж — это трансграничная передача, о которой нужно уведомлять регулятор до начала обработки. Отсутствие уведомления создаёт риск санкций.
Достаточно ли установить cookie-баннер, чтобы соответствовать закону?
Баннер — это только интерфейс. Важно, чтобы трекеры реально не запускались до согласия посетителя, а баннер давал равнозначный отказ. Если баннер есть, но трекеры стартуют раньше — это может квалифицироваться как нарушение.
Что будет, если политика конфиденциальности не соответствует тому, что сайт делает?
Регулятор проверяет реальное поведение сайта, а не текст документа. Если политика не описывает фактические операции с данными или не опубликована — это может создать риск санкций.
Как понять, что данные посетителей уходят за рубеж?
Инструменты браузера (DevTools → Network) показывают сетевые запросы к внешним сервисам. Если среди них Google, Facebook, американские CDN или другие иностранные домены — данные могут передаваться за рубеж. Это повод для дополнительной проверки.
Может ли малый бизнес получить штраф за нарушение 152-ФЗ?
Да. Санкции КоАП применяются к юридическим лицам независимо от размера бизнеса. Проверка может начаться по жалобе посетителя или по инициативе регулятора.
Что делать, если проверка выявила нарушения — нужен ли юрист?
Зависит от сложности эпизода. Технические риски (трекеры, баннер) можно исправить с разработчиком. Для документов (политика, согласия) стоит привлечь юриста, чтобы адаптировать тексты под требования закона и реальное поведение сайта.
Как часто нужно проверять сайт на соответствие закону?
После любых изменений: добавления новых форм, интеграции аналитики, редизайна, обновления политики. Регулярная проверка позволяет выявить риски до того, как их обнаружит регулятор или посетитель.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.