Почему текста закона недостаточно, чтобы понять, нарушает ли сайт 152-ФЗ
Владелец сайта читает 152-ФЗ и видит требования к обработке персональных данных, но не может связать их с тем, что происходит в браузере посетителя. Закон не описывает, как ведут себя трекеры, куда уходят запросы, когда cookie считается установленным с согласия, а когда — нет.
Сайт собирает данные через десятки скриптов: аналитика, реклама, виджеты соцсетей, формы обратной связи. Часть из них запускается автоматически при открытии страницы, часть — после действий пользователя. Какие из этих сценариев создают риск штрафа, определяется не текстом баннера, а реальным моментом запуска и направлением передачи данных.
Чтобы установить факт нарушения, нужно зафиксировать, что сайт делает на самом деле: открыть его с чистой сессии, записать сетевой обмен, сопоставить поведение с требованиями закона. Без этой фактуры остаются только предположения.
Трекеры и cookie запускаются до согласия — самый частый эпизод
Сайт показывает cookie-баннер, но Google Analytics, Яндекс.Метрика или пиксель рекламной сети уже отправили запрос и получили идентификатор посетителя. Технически скрипт стартовал раньше, чем человек нажал «Принять» — это создаёт риск квалификации как обработка без согласия.
Проверка фиксирует момент запуска каждого трекера: время, URL запроса, данные в заголовках. Если запрос ушёл до взаимодействия с баннером, это фиксируется снимком экрана с временной меткой. В отчёте такой эпизод получает правовую квалификацию и рекомендацию: перенести инициализацию скрипта после явного согласия.
Владелец видит не абстрактное «может быть нарушение», а конкретный список скриптов, которые нужно перенастроить, с указанием, какой именно запрос зафиксирован и в какой момент.
Данные уходят за рубеж и политика не соответствует фактам
Сайт подключает сервисы, которые физически находятся за пределами России: американские CDN, европейские платформы email-рассылок, азиатские облачные хранилища. Если эти сервисы получают персональные данные посетителей, возникает вопрос трансграничной передачи. Закон требует, чтобы данные граждан России записывались в базы на территории страны. Уведомление Роскомнадзора до начала передачи обязательно.
Проверка показывает, какие иностранные сервисы получают данные: домены, IP-адреса, тип передаваемой информации. В отчёте каждый такой эпизод связывается с нормой закона и получает оценку риска. Сценарий оценивается с точки зрения требований к обработке и передаче данных.
Политика конфиденциальности часто скопирована с шаблона и не называет конкретные сервисы, которые подключены на сайте. Отчёт сопоставляет текст политики с реальным поведением: если в политике не упомянут Google Analytics, но скрипт работает — это фиксируется как расхождение. Рекомендация показывает, какие пункты нужно дописать или исправить.
Cookie-баннер не соответствует требованиям закона
Баннер есть, но кнопка отказа оформлена мелким шрифтом в углу, или отказаться можно только через настройки браузера. Закон требует равнозначного отказа: он должен быть таким же заметным и простым, как согласие. Если отказ спрятан, это создаёт риск.
Другая частая ошибка — баннер не даёт настроить категории cookie. Человек не может разрешить только необходимые для работы сайта и отказаться от аналитики и рекламы. Отсутствие настроек категорий фиксируется в отчёте как эпизод, требующий исправления.
Проверка фиксирует внешний вид баннера, наличие кнопок согласия и отказа, доступность настроек. В отчёте — снимок экрана и рекомендация, что изменить в интерфейсе, чтобы баннер соответствовал требованиям.
Как проверить сайт и получить план исправлений
Автоматизированная проверка открывает сайт с чистой сессии — как новый посетитель, без истории и cookie. Фиксируется, какие скрипты запустились, какие данные собраны, куда отправлены запросы. Каждый факт связывается с нормой закона и получает оценку серьёзности.
Результат — заключение в PDF с перечнем эпизодов, снимками экрана и правовой квалификацией. Тариф с планом действий даёт готовые решения для кода, настроек и документов, показывает очерёдность исправлений.
Тариф с юристом включает составление документов под ваш сайт и сопровождение правок до итоговой проверки.
Что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, какие скрипты и запросы уходят до того, как вы нажали на cookie-баннер. Если в консоли разработчика (F12, вкладка Network) уже видны запросы к Google, Яндексу или рекламным сетям — трекеры запустились преждевременно.
- 02Проверьте кнопку отказа на баннере. Оцените, можно ли отказаться от cookie так же легко, как согласиться. Если отказ спрятан в настройках или оформлен мелким текстом — это риск.
- 03Прочитайте политику конфиденциальности. Сопоставьте текст с тем, какие сервисы реально подключены: аналитика, CRM, email-рассылки, чаты. Если в политике их нет — нужно дополнить документ.
- 04Найдите упоминание трансграничной передачи. Если сайт использует иностранные сервисы (Google, зарубежные рекламные пиксели, Mailchimp), в политике должно быть указано, что данные передаются за рубеж и на каком основании.
- 05Проверьте формы сбора данных. Посмотрите, есть ли под формой обратной связи или подписки ссылка на политику и чекбокс согласия. Если формы собирают email, телефон или имя без явного согласия — это эпизод.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие нарушения 152-ФЗ встречаются на сайтах чаще всего?
Запуск трекеров и cookie до согласия посетителя, передача данных за рубеж без уведомления Роскомнадзора, отсутствие равнозначного отказа на cookie-баннере, расхождение между политикой конфиденциальности и реальным поведением сайта.
Как понять, запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито, нажмите F12, перейдите на вкладку Network и посмотрите, какие запросы ушли до взаимодействия с баннером. Если видны запросы к аналитике или рекламным сетям — трекеры стартовали преждевременно.
Всегда ли передача данных за рубеж — это нарушение?
Закон требует уведомить Роскомнадзор до начала трансграничной передачи. Критерии стран уточнены законом, конкретная оценка зависит от получателя и характера данных. Сценарий оценивается с точки зрения требований к обработке и передаче данных.
Достаточно ли скопировать шаблон политики конфиденциальности?
Нет. Политика должна описывать, что сайт делает на самом деле: какие данные собирает, какие сервисы подключены, куда передаются данные. Если текст не соответствует практике, это фиксируется как расхождение между документом и поведением сайта.
Что делать, если проверка выявила нарушения?
В отчёте для каждого эпизода указана серьёзность и правовая квалификация. Тариф с планом действий даёт готовые решения для кода, настроек и документов, показывает очерёдность исправлений.
Проверяет ли автоматизированная проверка закрытые разделы сайта?
Нет. Проверяются только публичные страницы без входа в аккаунт и отправки форм. Серверная часть, внутренние процессы и закрытые разделы не попадают в отчёт.
Можно ли использовать отчёт как доказательство соответствия закону?
Нет. Если эпизодов не найдено, это значит, что на осмотренных публичных страницах признаков нарушений нет. Это не гарантия соответствия закону. Отчёт не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.