Что на сайте может нарушать 152-ФЗ
Закон о персональных данных регулирует любой сбор, хранение и передачу информации о посетителях: имена, телефоны, email, IP-адреса, cookie-файлы. Нарушение возникает не из-за самого факта сбора, а из-за того, как это происходит.
Типичные эпизоды: трекеры и аналитика стартуют до согласия посетителя, данные передаются иностранным сервисам без уведомления Роскомнадзора, cookie-баннер не даёт возможности отказаться, в веб-формах нет согласия на обработку данных. Политика конфиденциальности может быть устаревшей или не соответствовать тому, что сайт делает на самом деле.
Владелец часто не видит проблему: визуально баннер есть, форма работает, а под капотом скрипты уже отправили данные за рубеж. Регулятор проверяет не дизайн, а фактическое поведение сайта — что происходит в браузере посетителя до любого согласия.
Как проверить, нарушает ли сайт закон
Проверка начинается с чистой сессии: сайт открывается как у нового посетителя, без cookie и авторизации. Фиксируется, какие скрипты запускаются до клика на баннере, какие сетевые запросы уходят к внешним сервисам, какие данные собирают формы и виджеты.
Ключевой момент — последовательность событий. Если трекер стартовал до согласия, это технический факт, который может квалифицироваться как нарушение. Если данные ушли к иностранному сервису, а уведомление Роскомнадзору не подано, это создаёт риск санкций.
Снимки экрана, временные метки, дословные цитаты из политики и согласий — всё это материалы фиксации. Каждый эпизод сопоставляется с нормой закона: какое требование не выполнено, какая санкция может последовать, что нужно исправить.
На что обратить внимание в первую очередь
Первый риск — трекеры и аналитика до согласия. Если счётчики, пиксели или скрипты запускаются при загрузке страницы, это может квалифицироваться как обработка без законного основания. Cookie-баннер должен блокировать скрипты до активного согласия, а не просто информировать.
Второй риск — передача данных за рубеж. Авторизация через иностранные соцсети, подключённые CDN, аналитические сервисы и виджеты могут отправлять данные посетителей на серверы за пределами России. Если оператор не уведомил Роскомнадзор о трансграничной передаче, это самостоятельное нарушение.
Третий риск — расхождение между политикой и практикой. Если в политике указан один перечень обрабатываемых данных и целей, а сайт фактически собирает больше или передаёт данные не тем сервисам, что заявлены, это создаёт правовую неопределённость и повод для претензий.
Что показывает проверка сайта
Проверка фиксирует, что сайт делает на самом деле, и сопоставляет это с требованиями закона. В заключении — эпизоды с признаками нарушений, их серьёзность, ориентировочный диапазон санкций и рекомендации по исправлению.
Каждый эпизод подтверждается снимком экрана и временной меткой. Указывается, какие данные собираются, какие сервисы их получают, на каком этапе происходит передача. Правовая квалификация объясняет, какая норма может быть нарушена и почему.
Если эпизодов не найдено, это значит: на проверенных публичных страницах признаков нарушений нет. Это не гарантия соответствия закону — серверная часть, закрытые разделы и внутренние процессы остаются за пределами осмотра. Но для публичной части сайта риск снят.
Как исправить нарушения и снизить риск
Исправление начинается с приоритетных эпизодов: те, что влекут серьёзные санкции или создают непосредственный риск блокировки. Обычно это трансграничная передача без уведомления, запуск трекеров до согласия, отсутствие политики или грубые расхождения между документами и практикой.
Технические исправления: настроить cookie-баннер так, чтобы скрипты блокировались до согласия, добавить согласия в веб-формы, актуализировать политику конфиденциальности. Юридические: подать уведомление Роскомнадзору, если данные передаются за рубеж, убедиться, что оператор указан корректно и контакты актуальны.
После исправлений — повторная проверка. Она подтверждает, что эпизоды закрыты, сайт ведёт себя как задумано, документы соответствуют практике. Это позволяет работать спокойно и не бояться внезапной претензии от регулятора.
Что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, какие скрипты и счётчики загружаются до клика на cookie-баннере. Если трекеры стартуют сразу — это риск.
- 02Проверьте cookie-баннер. Убедитесь, что есть кнопка отказа, а не только согласие, и что можно настроить категории cookie. Баннер должен блокировать скрипты, а не просто информировать.
- 03Посмотрите веб-формы. Проверьте, есть ли в формах заявок и подписок чекбокс с согласием на обработку персональных данных и ссылка на политику конфиденциальности.
- 04Откройте политику конфиденциальности. Сверьте, указаны ли все сервисы, которые используются на сайте, и соответствует ли перечень данных тому, что собирают формы и трекеры.
- 05Проверьте авторизацию через соцсети. Если на сайте есть вход через иностранные платформы, это может означать передачу данных за рубеж. Убедитесь, что об этом сказано в политике.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Как понять, что трекеры запускаются до согласия?
Откройте сайт в режиме инкогнито, не кликайте на баннер и посмотрите в инструментах разработчика (F12), какие скрипты и сетевые запросы ушли. Если счётчики и аналитика уже работают — это сигнал о риске.
Достаточно ли cookie-баннера для соответствия закону?
Баннер покрывает только cookie и трекеры. Для форм, которые собирают имена, телефоны, email, нужно отдельное согласие на обработку персональных данных. Политика конфиденциальности обязательна в любом случае.
Как узнать, уходят ли данные за рубеж?
Посмотрите в инструментах разработчика, к каким доменам идут запросы при загрузке страницы и при отправке форм. Иностранные домены (например, google.com или домены зарубежных рекламных пикселей) могут означать трансграничную передачу.
Что делать, если политика конфиденциальности устарела?
Актуализируйте её: внесите все сервисы, которые используются сейчас, укажите цели обработки, добавьте информацию о трансграничной передаче, если она есть. После — повторно проверьте сайт.
Может ли проверка заменить консультацию юриста?
Нет. Проверка фиксирует технические обстоятельства и показывает правовые риски, но не заменяет юридическую консультацию. Для сложных случаев нужен анализ договоров, внутренних процессов и истории обработки данных.
Что значит, если эпизодов не найдено?
Это значит, что на проверенных публичных страницах признаков нарушений нет. Но проверка не охватывает закрытые разделы, серверную часть и внутренние процессы — полное соответствие закону не гарантировано.
Как понять, какие нарушения исправлять в первую очередь?
В отчёте каждый эпизод получает оценку серьёзности и указание на норму закона. Приоритет — эпизоды с высокими санкциями: трансграничная передача без уведомления, запуск трекеров до согласия, отсутствие обязательных документов.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.