Аудит сайта на соответствие 152-ФЗ - это проверка того, как сайт собирает, хранит и передаёт персональные данные посетителей. В 2026 году внимание к обработке персональных данных через сайт выросло: проверяют формы, cookie-файлы, аналитику и рекламные трекеры. Ниже - что именно смотреть и в каком порядке.
Коротко
- Аудит сайта персональных данных охватывает формы сбора данных, cookie-баннер, политику конфиденциальности и трекеры аналитики.
- Нарушения фиксируются по ст. 13.11 КоАП: для должностных и юридических лиц суммы разные по частям статьи.
- Обязательные документы связаны с нормами 152-ФЗ - ст. 9, 12, 18 ч.5, 18.1, 19, 20 и 22.
- Часть проблем видна без специалиста - достаточно пройти по сайту с чек-листом.
- Итог аудита - список несоответствий и приоритет их устранения, а не просто отчёт.
Зачем нужен аудит сайта
Сайт - один из основных каналов сбора персональных данных: формы обратной связи, регистрация, заказ звонка, подписка на рассылку, аналитика поведения. Каждый такой канал подпадает под требования 152-ФЗ. Аудит показывает разрыв между тем, что закон требует, и тем, что реально сделано на сайте - и позволяет закрыть его до того, как несоответствие заметит кто-то другой.
Отдельно стоит обработка cookie и данных, передаваемых сервисам аналитики и рекламы. По ст. 18.1 152-ФЗ оператор обязан подтвердить, что меры защиты данных приняты, а не просто заявить об этом на словах.
Что проверяет аудит
| Рекомендация | Зачем нужна | Что проверить |
|---|---|---|
| Политика обработки персональных данных на сайте | Требование ст. 18.1 152-ФЗ - документ должен быть доступен для ознакомления | Есть ли ссылка на политику в футере, актуальна ли редакция |
| Согласие на обработку данных при отправке формы | Ст. 9 152-ФЗ - обработка данных требует согласия субъекта | Стоит ли чекбокс согласия рядом с каждой формой сбора данных |
| Cookie-баннер с возможностью отказа | Cookie-файлы также относятся к обрабатываемым данным | Можно ли отклонить необязательные cookie до начала обработки |
| Уведомление в Роскомнадзор | Ст. 22 152-ФЗ - обязанность уведомить об обработке данных | Подано ли уведомление, актуальны ли указанные в нём сведения |
| Проверка целей обработки данных | Ст. 5 и 20 152-ФЗ - данные обрабатываются только для заявленных целей | Совпадают ли поля форм с реально заявленными целями сбора |
Порядок проведения аудита
- Составить перечень всех форм и точек сбора данных на сайте - от контактной формы до виджетов чатов.
- Проверить наличие и содержание политики конфиденциальности, сверить её с реальной практикой сайта.
- Проверить механизм получения согласия на обработку - отдельно от согласия на рассылку.
- Изучить работу cookie-баннера и списки используемых трекеров, включая рекламные и аналитические сервисы.
- Сверить сведения, поданные в Роскомнадзор, с фактическим состоянием сайта.
- Зафиксировать найденные несоответствия и приоритизировать их по риску и трудозатратам на устранение.
Ответственность за нарушения
Ст. 13.11 КоАП РФ предусматривает штрафы за нарушение порядка обработки персональных данных. По ч.1 - обработка без согласия или с превышением заявленных целей - для должностных лиц штраф составляет от 10 000 до 30 000 ₽, для юридических лиц суммы выше. По ч.2 - невыполнение обязанности по опубликованию политики обработки данных - штраф от 60 000 до 100 000 ₽. Размер штрафа зависит от статуса нарушителя и тяжести нарушения, но для сайта компании риск затрагивает именно юридическое лицо.
Штраф - не единственное последствие. Повторные проверки и жалобы пользователей увеличивают вероятность повторной проверки того же сайта.
Типичные ошибки на сайтах
Чаще всего проблема не в отсутствии документов, а в разрыве между тем, что написано в политике конфиденциальности, и тем, как сайт устроен на самом деле. Форма могла обновиться, а согласие под ней - остаться старым. Добавился новый виджет аналитики, а список трекеров в cookie-баннере не изменился. Такие расхождения накапливаются постепенно и редко попадают в поле зрения, пока их не начинают целенаправленно искать.
| Ошибка | Чем грозит | Как обнаружить |
|---|---|---|
| Согласие объединено с подпиской на рассылку | Формально согласие на обработку данных не считается отдельно выраженным | Открыть форму и посмотреть текст рядом с чекбоксом |
| Cookie-баннер без реального выбора | Пользователь не может отказаться от необязательных cookie | Проверить, блокируются ли скрипты аналитики до согласия |
| Устаревшая редакция политики конфиденциальности | Документ не соответствует текущему набору форм и сервисов на сайте | Сверить дату документа с последними изменениями сайта |
Что проверить у себя на сайте
- Есть ли на сайте отдельная страница с политикой обработки персональных данных.
- Указана ли ссылка на политику в футере и рядом с каждой формой.
- Стоит ли согласие на обработку данных отдельным чекбоксом, не объединённым с другими условиями.
- Можно ли отказаться от необязательных cookie до начала их обработки.
- Актуальны ли данные, поданные в уведомлении в Роскомнадзор.
- Не собираются ли лишние поля в формах - сверх заявленных целей обработки.
- Есть ли на сайте формы, которые вообще не упомянуты в политике конфиденциальности.
- Как долго хранятся данные и прописан ли срок хранения в документах.
- Передаются ли данные третьим лицам - аналитике, CRM, рекламным сетям - и указано ли это.
Частые вопросы
Обязательно ли согласие на обработку данных, если форма простая - только имя и телефон
Да, согласие требуется независимо от объёма собираемых полей. Ст. 9 152-ФЗ не делает исключений по количеству данных.
Нужен ли cookie-баннер, если сайт не использует рекламные трекеры
Если сайт использует счётчики аналитики или технические cookie, связанные с идентификацией пользователя, баннер необходим. Проверка должна включать полный список используемых на сайте скриптов.
Что делать, если уведомление в Роскомнадзор не подавалось
Нужно оценить, подпадает ли деятельность под исключения ст. 22, и при необходимости подать уведомление до дальнейших проверок сайта.
Сколько времени занимает аудит сайта
Зависит от количества форм и трекеров на сайте - от точечной проверки одной страницы до полного разбора всех точек сбора данных.
Можно ли провести аудит самостоятельно
Чек-лист выше покрывает основные пункты. Для более детальной проверки и подбора нужных документов удобнее использовать структурированный разбор сайта.
Если хочется не гадать, а увидеть конкретный список несоответствий по своему сайту - можно пройти форму аудита и получить разбор по факту, без лишних шагов.