Если на сайте есть Метрика, форма заявки или cookie - это уже подпадает под 152-ФЗ. С 2025 года штрафы выросли: для ИП до 800 000 ₽, для юрлиц до 6 млн ₽ за повторное нарушение. Роскомнадзор реагирует даже на одну жалобу.
152 фз чек лист сайта - результат работы Сайты2.рф над 550+ проектами с 2008 года. Внутри 22 пункта в 5 группах. Под каждым - что должно быть и где проверить. Время чтения - 12 минут.
В Сайты2.рф сайт по 152-ФЗ делаем из коробки: политика, согласия, cookie-баннер и хостинг в РФ в базовом тарифе. Для уже работающего сайта - инструмент проверки 152-ФЗ или чек-лист ниже.
Зачем нужен чек-лист 152-ФЗ
Задача проверки сайта на 152-фз - закрыть требования закона до прихода Роскомнадзора. С 2025 года ведомство работает по жалобам: достаточно одного обращения пользователя, дальше идёт запрос документов и акт.
Сколько стоит ошибка
- ИП: статья 13.11 КоАП - до 300 000 ₽, при отказе от локализации серверов в РФ - до 800 000 ₽.
- Юрлица: до 1,5 млн ₽ за повторное нарушение по сбору без согласия, до 6 млн ₽ за утечку.
- Должностные лица: до 200 000 ₽ персонально на директора или ответственного.
Цифры обновлены поправками 2024 года и применяются в 2025-2026. Раньше потолок был в 10 раз ниже, поэтому старые статьи устарели.
Кому нужен этот чек-лист
- Владельцу сайта, который не проверял 152-ФЗ.
- Маркетологу, добавляющему новые формы.
- Руководителю компании в СПб или Ленобласти перед проверкой.
- Подрядчику, принимающему сайт от прошлой студии.
При закрытых 22 пунктах сайт соответствует 152-ФЗ.
Группа 1. Документы на сайте - 5 пунктов
Без документов остальные меры не имеют силы. Первое, что смотрит Роскомнадзор при дистанционной проверке.
Пункт 1. Политика обработки персональных данных опубликована
Документ должен лежать по постоянному URL, обычно /legal/privacy/ или /politika/. В политике указаны цели обработки, перечень данных, сроки хранения, права субъектов. Шаблон без адаптации под бизнес не подходит - инспектор отличает за минуту. Где проверить: открыть сайт в режиме инкогнито и найти политику не дольше чем за 10 секунд.
Пункт 2. Ссылка на политику доступна с любой страницы
Стандартное место - подвал сайта, отдельная колонка "Документы" или строка под копирайтом. Ссылка должна работать на главной, во внутренних разделах, на странице 404. Где проверить: пройтись по 5 случайным страницам и в каждом подвале найти активную ссылку.
Пункт 3. Согласие на обработку ПДн опубликовано и доступно у форм
Согласие - отдельный документ или раздел политики, в котором описаны конкретные операции по конкретным данным. Ссылка на него располагается рядом с чекбоксом формы, а не только в подвале. Где проверить: на странице с формой контактов клик по ссылке "согласие" должен открыть документ.
Пункт 4. Отдельное согласие на маркетинговые рассылки
Если на сайте есть подписка на новости или промо-письма - нужно второе согласие, отделённое от основного. Закон требует, чтобы пользователь мог отдельно согласиться на обработку и отдельно на рекламу. Где проверить: в форме подписки - отдельный чекбокс именно про рассылки, не общий "согласен с политикой".
Пункт 5. Информация об операторе ПДн опубликована
В подвале или на отдельной странице "Реквизиты" указаны полное наименование оператора, ИНН, адрес, контакты ответственного за обработку. Эти данные должны совпадать с записью в реестре Роскомнадзора. Где проверить: открыть реестр операторов и сравнить ИНН и название с тем, что на сайте.
Группа 2. Формы и сбор данных - 5 пунктов
Любая форма, принимающая имя, телефон или email, попадает под закон. Даже форма обратного звонка.
Пункт 6. Чекбокс согласия рядом с каждой формой
Каждая форма содержит чекбокс с формулировкой "Согласен на обработку персональных данных". Без чекбокса заявка считается отправленной без согласия - это нарушение части 1 статьи 9 закона. Где проверить: попробовать отправить любую форму с пустым чекбоксом и убедиться, что отправка блокируется.
Пункт 7. Чекбокс не предзаполнен по умолчанию
Галочка должна стоять пустой, пользователь сам её ставит. Предзаполненная галочка приравнивается к отсутствию согласия - закон требует активного действия. Где проверить: открыть форму, не трогать чекбокс, попробовать отправить - кнопка не должна срабатывать.
Пункт 8. Ссылка на политику рядом с чекбоксом, не в подвале
Текст чекбокса содержит активную ссылку прямо на политику обработки или на согласие. "Согласен с политикой" без ссылки не считается - пользователь должен иметь возможность открыть документ в один клик. Где проверить: текст у чекбокса содержит подчёркнутую кликабельную ссылку.
Пункт 9. Минимизация полей - собираем только нужное
Если для звонка достаточно имени и телефона - не запрашивайте паспорт, адрес и дату рождения. Закон требует, чтобы перечень данных соответствовал цели. Лишние поля - повод для штрафа по статье 5. Где проверить: открыть все формы и убедиться, что обязательных полей не больше 3-4.
Пункт 10. Уведомление о цели сбора рядом с формой
У каждой формы есть короткая подпись: "Используем телефон для связи по заявке". Без указания цели сбор считается непрозрачным. Где проверить: рядом с формами есть фраза о том, зачем нужны данные.
Группа 3. Технические требования - 5 пунктов
Документы могут быть в порядке, но если сайт работает по HTTP, а база на сервере в Германии - штраф прилетит.
Пункт 11. HTTPS на всём сайте, без смешанного контента
Все страницы открываются по https://, замочек в адресной строке зелёный, нет предупреждений браузера. Передача персональных данных по HTTP - нарушение требований к защите. Где проверить: в Chrome открыть DevTools, вкладка Security, на каждой странице с формой - статус Secure.
Пункт 12. Серверы баз данных в РФ - локализация по 242-ФЗ
Хостинг и БД физически в России. Подходят Timeweb, Beget, Selectel, REG.RU, Yandex Cloud. Если сайт на иностранном хостинге - первичный сбор должен идти в российскую БД, а не за рубеж. Где проверить: запросить у хостера справку о локализации серверов или проверить IP-адрес через сервис whois.
Пункт 13. Журналирование действий с персональными данными
Сервер логирует, кто и когда получал доступ к базе с ПДн, какие записи изменялись. Логи хранятся минимум 6 месяцев. Это требования приказа ФСТЭК и ФСБ к защите. Где проверить: у админа сайта спросить, как настроено логирование и где хранятся журналы.
Пункт 14. Защита от утечек - права доступа и пароли
Доступ к админке сайта только по уникальным учётным записям сотрудников, не общий пароль. Двухфакторная авторизация для администраторов. Пароли не хранятся в открытом виде. Где проверить: список пользователей в админке, у каждого свой логин, общих "admin/admin" нет.
Пункт 15. Регулярное резервное копирование
Бэкапы базы делаются ежедневно, хранятся минимум 30 дней, лежат отдельно от основного сервера. Без бэкапов утечка превращается в потерю данных - двойное нарушение. Где проверить: у хостера или администратора уточнить расписание бэкапов и тестовое восстановление.
Группа 4. Cookie и трекинг - 4 пункта
Cookie - тоже персональные данные, если они идентифицируют пользователя. С 2023 года Роскомнадзор разъяснил позицию: cookie-баннер обязателен.
Пункт 16. Cookie-баннер при первом заходе
При первом открытии сайта снизу или сбоку появляется панель с информацией о cookie и кнопками "Принять" / "Настроить". Без действия пользователя необязательные cookie не подключаются. Где проверить: открыть сайт в режиме инкогнито, баннер появляется до того, как Метрика сработает.
Пункт 17. Разделение cookie на категории
Баннер делит cookie на essential (нужны для работы сайта), analytics (Метрика, GA) и marketing (ретаргетинг, реклама). Пользователь может включить только нужные категории. Где проверить: кнопка "Настроить" в баннере открывает список из 3 категорий с переключателями.
Пункт 18. Возможность отказа от части cookie
Если пользователь отключил analytics - Метрика не запускается, скрипт не подгружается. Это проверяется в DevTools на вкладке Network: запрос к mc.yandex.ru должен отсутствовать. Где проверить: в баннере отключить analytics, перезагрузить страницу, в DevTools убедиться, что скрипт счётчика не загружен.
Пункт 19. Повторное предложение через 6-12 месяцев
Согласие на cookie не вечное. Через 6-12 месяцев баннер должен показаться снова, чтобы пользователь подтвердил выбор. Технически - срок жизни cookie с записью согласия. Где проверить: в браузере у cookie от вашего сайта поле Expires в пределах 6-12 месяцев.
Группа 5. Организационные меры - 3 пункта
Без бумажной части на стороне компании сайт уязвим даже при идеальной технике.
Пункт 20. Уведомление Роскомнадзору о начале обработки
С 2022 года все операторы ПДн подают уведомление в Роскомнадзор перед первым сбором. Процедура бесплатная, делается через портал РКН, занимает 1-2 месяца. После одобрения компания попадает в публичный реестр. Где проверить: ввести ИНН в реестре операторов и найти свою запись.
Пункт 21. Назначен ответственный за обработку ПДн
Внутренним приказом назначен сотрудник, отвечающий за соответствие сайта и компании 152-ФЗ. Его контакты публикуются на сайте, обычно в разделе с реквизитами. У ответственного есть должностная инструкция. Где проверить: на сайте есть имя и email ответственного, в компании - подписанный приказ.
Пункт 22. Политика реагирования на запросы субъектов ПДн
Закон даёт пользователю право узнать, что о нём собрали, удалить или исправить данные. Запрос обрабатывается за 10 рабочих дней. В компании прописан регламент: кто принимает запросы, кто проверяет личность, кто отвечает. Где проверить: в политике есть раздел "Права субъектов" с email для запросов, у сотрудников есть инструкция.
Что грозит при нарушении
Поправки 2024 года повысили штрафы в 5-10 раз. Ниже актуальная таблица на 2026 год.
| Нарушение | ИП и должностные лица | Юрлица |
|---|---|---|
| Обработка без согласия | до 300 000 ₽ | до 700 000 ₽ |
| Отказ от локализации БД в РФ | до 800 000 ₽ | до 6 000 000 ₽ |
| Отсутствие политики на сайте | до 60 000 ₽ | до 300 000 ₽ |
| Утечка данных до 10 000 субъектов | до 400 000 ₽ | до 5 000 000 ₽ |
| Утечка свыше 100 000 субъектов | до 800 000 ₽ | до 15 000 000 ₽ |
| Повторное нарушение | до 1 200 000 ₽ | оборотный штраф до 3% |
Примеры дел 2024-2025: ретейлер получил 13 млн ₽ за утечку клиентов, медицинская клиника в СПб - 600 000 ₽ за работу без уведомления РКН, интернет-магазин - 300 000 ₽ за отсутствие cookie-баннера. Дополнительный риск - блокировка сайта до устранения нарушений и потеря трафика на 2-4 недели.
Как проверить сайт по чек-листу за 1 час
Алгоритм последовательно проверяет требования 152-фз к сайту без специальных инструментов. Нужен браузер Chrome или Яндекс.
Шаг 1. Документы - 10 минут
Откройте сайт в режиме инкогнито. Найдите в подвале политику, согласие, реквизиты оператора. Откройте каждую ссылку и убедитесь, что текст адаптирован под бизнес, а реквизиты совпадают с реальными.
Шаг 2. Формы - 15 минут
Пройдите по всем формам: контакты, обратный звонок, расчёт, подписка. Проверьте чекбокс (не предзаполнен), ссылку на политику, цель сбора, количество полей. Отправка с пустым чекбоксом должна блокироваться.
Шаг 3. Cookie - 10 минут
Очистите cookie, обновите страницу. Проверьте баннер, настройки категорий, возможность отказа от analytics. В DevTools на вкладке Network убедитесь, что Метрика не грузится до согласия.
Шаг 4. Техника - 15 минут
На всех страницах - https и зелёный замочек. У хостера запросите справку о локализации серверов в РФ или проверьте IP через whois. Уточните у администратора логи доступа и бэкапы.
Шаг 5. Организация - 10 минут
Проверьте запись в реестре операторов ПДн по ИНН. Найдите на сайте email ответственного. Уточните в компании приказ о назначении и регламент по запросам субъектов.
Выпишите пункты, которые не закрыты. Это список приоритетов для исправления.
Что делать, если нашли нарушения
Закрывать сразу всё не нужно. Порядок по убыванию риска штрафа.
- Документы и формы. Отсутствие политики или предзаполненный чекбокс видны при проверке за 30 секунд. Закрывается за 1-2 дня вёрсткой и копирайтером.
- Cookie-баннер. Второе по частоте нарушение в актах РКН. Готовое решение ставится за день.
- Локализация серверов. Перенос с иностранного хостинга на российский. Срок 3-7 дней, бюджет от 30 000 ₽. Делается через услугу поддержки.
- Документы оператора. Уведомление РКН, назначение ответственного, регламент по запросам. Срок 1-2 месяца, параллельно с техникой.
Для большого сайта удобнее аудит силами подрядчика. В Сайты2.рф аудит стоит от 15 000 ₽ и делается за 3 рабочих дня. На выходе - отчёт со списком нарушений и сметой на исправление с фиксированной ценой.
FAQ - 6 вопросов
Нужен ли cookie-баннер, если на сайте только Метрика?
Да, нужен. Метрика собирает идентификаторы пользователей, что подпадает под определение персональных данных в трактовке Роскомнадзора с 2023 года. Без баннера и согласия счётчик считается работающим без оснований. Подробнее в статье про cookie-баннер.
Достаточно ли политики обработки ПДн без отдельного согласия?
Нет, документы разные. Политика - общий документ оператора с правилами обработки. Согласие - подтверждение конкретного пользователя на конкретные операции. На формах нужны оба. Шаблоны - в статье про политику.
Можно ли использовать шаблон политики из интернета?
Шаблон как основа - можно, но без адаптации под бизнес он не работает. Роскомнадзор требует, чтобы цели обработки, перечень данных и сроки хранения соответствовали реальной деятельности. Универсальный шаблон выдаёт ошибку при первой же проверке.
Что делать, если сайт работает 10 лет без 152-ФЗ?
Закрывать пробелы поэтапно: сначала документы и cookie-баннер, потом регистрация в реестре операторов, потом локализация и техника. Срок жалобы или проверки никогда не предсказуем, поэтому начинать стоит до прихода Роскомнадзора.
Как часто менять политику обработки ПДн?
При изменении состава собираемых данных, добавлении новых форм, смене подрядчиков по обработке. Минимум раз в год документ стоит пересматривать. Дата последнего обновления указывается в шапке политики.
Сколько стоит сделать сайт по 152-ФЗ?
В Сайты2.рф все базовые требования закона входят в стоимость разработки без доплат: политика, согласие, cookie-баннер, локализация хостинга, чекбоксы на формах. Расчёт под конкретный проект - в калькуляторе за минуту.
Что в итоге
152 фз чек лист сайта - 22 пункта в 5 группах: документы, формы, техника, cookie, организация. Если закрыты все - сайт выдержит дистанционную проверку Роскомнадзора. Если есть пробелы - риск штрафа от 60 000 до 6 000 000 ₽.
Сайты2.рф работает с 2008 года, на счету 550+ проектов в СПб и Ленинградской области. NPS 9,2, средний рост заявок ×2,4. Сайт по 152-ФЗ делаем из коробки на 1С-Битрикс и WordPress, хостинг в РФ (Timeweb, Beget, Selectel, REG.RU). Цена в договоре, штраф 1% за день просрочки.
Заказать аудит по 152-ФЗ · SEO с учётом 152-ФЗ · Telegram: @t9424744
