Проверка сайта на 152-ФЗ

Любой, кто собирает и обрабатывает данные людей: имя, телефон, почта, адрес. Форма обратного звонка на сайте уже делает владельца оператором, и статус не зависит от того, ИП это, ООО или физическое лицо с личным проектом. Отсюда и обязанности: уведомить Роскомнадзор о начале обработки, опубликовать политику, брать согласие и хранить данные в России.

Так требует часть 2 статьи 18.1 закона 152-ФЗ: оператор, который собирает данные через интернет, обязан опубликовать документ со своей политикой обработки и обеспечить к нему доступ. Обе части важны. Документ, который лежит на сервере, но никак не подшит ссылкой, обязанность не закрывает — обеспечить доступ значит дать людям на него попасть.

По статье 13.11 КоАП для юридических лиц: за неопубликованную политику от 30 до 60 тысяч рублей, за непредоставление информации субъекту от 40 до 80 тысяч, за обработку без письменного согласия там, где оно обязательно, от 300 до 700 тысяч, а при повторе от миллиона до полутора. Самый крупный состав — нарушение локализации базы данных в России: от миллиона до шести, при повторе от шести до восемнадцати миллионов. Суммы приведены по редакции, действующей на 29 августа 2026 года.

Однозначное действие человека. Пустая галочка, которую он ставит сам, годится; предзаполненная галочка или строчка мелким шрифтом «отправляя форму, вы соглашаетесь» — сомнительная конструкция, потому что осознанного действия тут нет. Рядом с галочкой должна быть ссылка на политику, чтобы согласие было ещё и информированным. Инструмент проверяет именно связку: галочка плюс текст или ссылка рядом с ней.

Они принимают данные посетителей на серверах за пределами России, и это трансграничная передача персональных данных. По статье 12 её нельзя просто начать: до начала передачи оператор обязан уведомить Роскомнадзор, а ведомство вправе её ограничить. Инструмент показывает, какие зарубежные системы стоят на странице, чтобы вы знали, о чём вообще идёт речь в вашем случае.

Нет, и никакой внешний инструмент этого не может. Показывается только страна сервера, отдающего сайт, по IP-адресу. Требование о локализации из части 5 статьи 18 относится к базе данных, где хранятся записи о гражданах России, и она может стоять совсем в другом месте, чем сам сайт. Строка про размещение — это подсказка, куда посмотреть, и она не является выводом.

Нет. Инструмент видит разметку страницы и не видит документов: приказа о назначении ответственного, модели угроз, договоров поручения с подрядчиками, записи в реестре операторов, сроков хранения. Он закрывает техническую половину — ту, которую проверяющий увидит первой, просто открыв сайт.

Часть сайтов отдаёт почти пустой код, а подвал и формы дорисовывает браузер уже после загрузки. В таких случаях в протоколе стоит серая пометка вместо приговора: отсутствие ссылки в исходном коде не доказывает, что ссылки нет на экране. Обвинять сайт в нарушении по признаку, которого инструмент физически не видит, было бы неправильно.