Какие меры защиты требует 152-ФЗ для сайта
Закон требует от оператора персональных данных обеспечить защиту при сборе, хранении и передаче информации. Для сайта это означает три группы мер: организационные (политика, согласия, назначение ответственных), технические (шифрование, контроль доступа, защита от утечек) и правовые (уведомление Роскомнадзора, если требуется, соблюдение требований к трансграничной передаче).
Конкретный набор зависит от того, какие данные вы собираете и куда они передаются. Если сайт запрашивает только имя и email для обратной связи, требования одни. Если собираются специальные категории данных или информация уходит за рубеж — требования жёстче.
Проблема в том, что меры можно внедрить формально: опубликовать политику, поставить баннер, подключить SSL — но при этом трекеры будут стартовать до согласия, данные утекать иностранным сервисам, а согласие не содержать обязательных элементов. Внешне всё выглядит правильно, но риск штрафа остаётся.
Что происходит на сайте на самом деле: трекеры, передача данных и согласия
Владелец сайта видит страницу не так, как новый посетитель. Браузер помнит ваш выбор в cookie-баннере, аналитика уже настроена, формы знакомы. Чтобы понять, что происходит на самом деле, нужно открыть сайт с чистой сессии и зафиксировать порядок событий: когда появился баннер, когда стартовали скрипты, какие запросы ушли в сеть до любого действия пользователя.
Типичная картина: баннер показывается, но трекеры Google Analytics или Яндекс Метрики запускаются сразу при загрузке страницы, до клика на «Принять». Данные посетителя — IP-адрес, информация об устройстве, поведение на сайте — уходят на серверы аналитики ещё до получения согласия. Формально это может квалифицироваться как обработка без законного основания.
Второй сценарий: сайт использует авторизацию через иностранные сервисы или подключает сторонние виджеты — чаты, формы, карты. Каждый такой элемент может передавать данные за рубеж. Если передача не описана в политике и на неё нет отдельного согласия, это создаёт риск.
Как проверить меры защиты: фиксация фактов, а не предположений
Проверка начинается с осмотра публичных страниц сайта глазами нового пользователя. Фиксируются снимки экрана, дословные цитаты из политики и согласий, порядок загрузки скриптов. Сетевой обмен браузера записывается как технический сигнал: какие запросы ушли, в какой момент, на какие домены.
Каждый установленный факт связывается с нормой закона. Если трекер стартовал до согласия — это один эпизод. Если данные передаются иностранному сервису, а в политике об этом не сказано — второй. Если cookie-баннер не даёт равнозначного отказа — третий. Эпизоды получают оценку серьёзности и приоритет исправления.
Важно: проверка не заходит в закрытые разделы сайта, не отправляет формы и не вводит реальные данные. Осматриваются только публичные страницы. Сетевые запросы фиксируются как обстоятельство, требующее дополнительной проверки, а не как готовое доказательство нарушения — окончательную квалификацию даёт юрист.
Что должно быть в отчёте по мерам защиты
Полезный отчёт содержит не общие рекомендации, а установленные обстоятельства с фактурой. В резюме — эпизоды с признаками нарушений, их серьёзность и ориентировочный диапазон санкций. Далее — сведения об операторе из документов сайта, снимки экрана с временем фиксации, правовая квалификация каждого эпизода со ссылкой на нормы.
Если эпизодов не найдено, отчёт подтверждает: на осмотренных публичных страницах признаков нарушений нет. Это не означает полное соответствие закону — серверная часть, внутренние процессы и закрытые разделы остаются за рамками проверки. Но вы получаете фактуру, которая показывает состояние публичной части сайта.
К каждому эпизоду прилагается рекомендация, что исправить: настроить отложенный запуск трекеров, дополнить политику, изменить логику баннера. Если выбран тариф с планом действий, вы получаете готовые решения для кода, настроек и документов.
Что исправить в первую очередь: приоритет рисков
Не все эпизоды одинаково опасны. Трекер, стартующий до согласия, создаёт риск претензий, но это технически легко исправить — настроить отложенный запуск через диспетчер тегов. Передача данных за рубеж без уведомления Роскомнадзора — серьёзнее, может потребовать пересмотра архитектуры сайта или отказа от отдельных сервисов.
Отчёт даёт очерёдность исправлений: сначала эпизоды с высокой серьёзностью, затем обстоятельства, требующие дополнительной проверки, затем риски с низким приоритетом. Вы видите, что требует немедленного внимания, а что можно отложить.
Самостоятельная проверка помогает устранить риски до того, как они станут предметом жалоб или проверки регулятора. Заключение не передаётся третьим лицам и не является поводом для претензий — это внутренний инструмент для управления рисками.
Что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Убедитесь, что cookie-баннер показывается новому посетителю и даёт возможность отказаться от необязательных cookie без потери функциональности сайта.
- 02Проверьте порядок загрузки скриптов. Откройте консоль браузера (F12) и посмотрите, какие запросы уходят до взаимодействия с баннером. Если видите домены аналитики или рекламы — трекеры могут стартовать раньше согласия.
- 03Прочитайте политику обработки персональных данных. Убедитесь, что в ней перечислены все сервисы, которым передаются данные (аналитика, CRM, виджеты), цели обработки и права субъекта данных.
- 04Проверьте текст согласий в веб-формах. Каждая форма, собирающая персональные данные, должна содержать согласие с описанием цели и возможностью отказаться. Общего согласия в политике недостаточно.
- 05Найдите реквизиты оператора. На сайте должны быть указаны ИНН, ОГРН (для юрлиц) или ФИО и адрес (для ИП), контакты для обращений по вопросам персональных данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие меры защиты по 152-ФЗ обязательны для обычного сайта с формами?
Обязательны политика обработки персональных данных, согласие субъекта на обработку, организационные меры (назначение ответственного, внутренние документы) и технические меры (шифрование при передаче, контроль доступа). Конкретный набор зависит от того, какие данные вы собираете и куда передаёте.
Как понять, что трекеры запускаются раньше согласия?
Откройте сайт в режиме инкогнито, откройте консоль браузера и посмотрите вкладку Network. Если до клика на баннер уходят запросы на домены Google Analytics, Яндекс Метрики или других сервисов — трекеры стартуют раньше согласия.
Нужно ли уведомлять Роскомнадзор, если на сайте стоит Google Analytics?
Если данные россиян передаются за рубеж, может потребоваться уведомление Роскомнадзора до начала передачи. Это зависит от того, какие данные собираются и в какую страну передаются. Проверка покажет, создаёт ли конкретный сценарий риск.
Достаточно ли опубликовать политику и поставить баннер, чтобы соблюсти 152-ФЗ?
Недостаточно. Важно, чтобы меры работали: трекеры стартовали после согласия, политика описывала реальные сценарии обработки, баннер давал равнозначный отказ. Формальное наличие документов не защищает от претензий, если фактическая обработка нарушает закон.
Что будет, если проверка найдёт нарушения — придёт штраф?
Нет. Проверка не является обращением в Роскомнадзор и не передаётся третьим лицам. Вы получаете фактуру и рекомендации, чтобы исправить риски до того, как они станут предметом претензий или проверки регулятора.
Можно ли проверить сайт самостоятельно или нужен юрист?
Можно зафиксировать факты: как работает баннер, какие запросы уходят, что написано в политике. Но правовую квалификацию — создаёт ли конкретный сценарий риск и какая норма нарушена — лучше доверить специалисту. Проверка даёт фактуру и связывает её с нормами закона.
Что делать, если на сайте несколько форм — нужно ли для каждой отдельное согласие?
Да, если формы собирают данные для разных целей (подписка, заказ, обратная связь). Каждое согласие должно описывать цель обработки и давать возможность отказаться. Общего согласия в политике недостаточно.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.