Подготовка сайта к проверке Роскомнадзора 152-ФЗ

Коротко: Чтобы успешно пройти проверку Роскомнадзора по 152-ФЗ в 2026 году, необходимо разделить согласия на обработку данных от других документов, обеспечить хранение персональных данных на серверах в РФ, актуализировать сведения в реестре операторов и иметь четкий регламент реагирования на утечки в течение 24 часов.

Кстати, в AmSales мы делаем внедрение и настройку Битрикс24 и разработку сайтов под ключ под ключ. Если нужна помощь - напишите нам.

Новые правила оформления согласия на обработку ПДн

Многие компании до сих пор используют старую модель, когда клиент ставит одну галочку «Я согласен с условиями оферты и политикой конфиденциальности». С 1 сентября 2025 года такой подход стал юридически дефектным. Согласно новой редакции ч. 1 ст. 9 152-ФЗ, согласие на обработку персональных данных должно быть оформлено отдельно от иных документов. Это значит, что вы не имеете права «зашивать» согласие внутрь договора купли-продажи, правил сервиса или анкеты регистрации. Если проверка Роскомнадзора выявит, что пользователь не давал явного, отдельного согласия именно на обработку ПДн, это станет прямым нарушением.

На практике это означает, что на вашем сайте каждая форма сбора данных - будь то заказ товара, подписка на рассылку или запрос обратного звонка - должна иметь свой механизм подтверждения. Пользователь должен совершить активное действие, подтверждающее его волю. Это не обязательно должна быть отдельная страница, но это должен быть отдельный чек-бокс, который не проставлен по умолчанию. Если пользователь нажал «Заказать», а галочка «Согласен с обработкой» уже стояла за него - вы в зоне риска.

Как правильно реализовать согласие на сайте

Для корректной работы формы на сайте стоит придерживаться следующего порядка:

1. Разместите под кнопкой отправки формы текст: «Нажимая на кнопку, вы даете согласие на обработку персональных данных в соответствии с Политикой конфиденциальности».
2. Сделайте ссылку на саму Политику и на текст Согласия активными и легкодоступными.
3. Используйте отдельный чек-бокс для маркетинговых коммуникаций. Важно понимать: согласие на обработку данных для выполнения договора (например, доставки товара) и согласие на получение рекламных рассылок - это разные цели. Нельзя заставлять клиента подписываться на спам, чтобы он мог купить хлеб.

Особое внимание уделите тому, как вы фиксируете факт получения согласия. В логах сервера или в вашей CRM должна сохраняться информация: какой именно текст согласия был принят, в какой момент (timestamp) и с какого IP-адреса. В случае претензий Роскомнадзора вам придется доказать, что пользователь действительно совершил это действие. Если у вас просто «галочка в базе», которая не привязана к версии документа, доказать что-либо будет крайне сложно.

Требования к локализации данных в РФ 2025

Вопрос локализации персональных данных перестал быть просто формальностью и превратился в жесткий технический регламент. С 1 июля 2025 года вступила в силу новая редакция ч. 5 ст. 18 152-ФЗ, которая существенно ужесточила правила. Теперь старый подход, когда можно было собирать данные в облаке (например, на AWS или Google Cloud) и лишь «зеркалить» их на сервер в России, практически не работает для большинства коммерческих компаний. Основное требование остается неизменным: первичный сбор, запись, систематизация, накопление и хранение ПДн граждан РФ должны осуществляться с использованием баз данных, находящихся на территории России.

Это касается не только ваших основных серверов, но и всех промежуточных звеньев. Если ваш сайт использует зарубежные сервисы аналитики, которые автоматически подтягивают ФИО или email пользователя в свои облака без предварительной обработки на российском сервере, вы нарушаете закон. Локализация персональных данных требования которой актуальны в 2026 году, подразумевают, что «точка входа» данных должна быть внутри страны.

Где могут возникнуть сложности

Чаще всего проблемы возникают при использовании зарубежных CRM-систем или сервисов сквозной аналитики. Например, если вы используете иностранный виджет чата, который сразу записывает имя клиента в облачное хранилище за пределами РФ, это считается нарушением. Чтобы минимизировать риски, рекомендуется:

• Использовать российские облачные платформы (Yandex Cloud, Selectel и др.) в качестве основного хранилища.
• Настраивать архитектуру так, чтобы данные сначала попадали на российский сервер, проходили первичную обработку и только потом (в обезличенном или ограниченном виде) могли передаваться дальше.
• Проверять договоры с подрядчиками, которые имеют доступ к вашим базам данных, на предмет их физического расположения.

Важно помнить, что проверка Роскомнадзора может включать технический аудит инфраструктуры. Регулятор будет смотреть не только на наличие бумажек, но и на то, куда физически «летят» пакеты данных при заполнении формы на сайте. Если вы используете зарубежный хостинг для основного сайта, где собираются данные, это критическая ошибка, которую невозможно исправить простым обновлением политики конфиденциальности.

Обезличивание персональных данных по ст. 13.1 152-ФЗ

До недавнего времени термин «обезличивание» использовался в контексте защиты данных довольно размыто. Однако с 1 сентября 2025 года в закон была введена ст. 13.1 152-ФЗ, которая устанавливает четкие требования к процедуре обезличивания. Теперь это не просто «удаление фамилии из таблицы», а строго регламентированный процесс, который должен делать данные невозможными для соотнесения с конкретным человеком без использования дополнительной информации.

Для бизнеса это открывает новые возможности, но и накладывает ответственность. Обезличивание позволяет использовать массивы данных для обучения нейросетей, построения маркетинговых моделей или передачи данных аналитическим подрядчикам без необходимости получать отдельное согласие на передачу ПДн (в определенных случаях). Но если вы решите, что «обезличили» данные, просто заменив «Иванов» на «Клиент 1», а в соседней колонке оставили дату рождения и точный адрес - вы не выполнили требования ст. 13.1. Регулятор посчитает это попыткой обхода закона.

Методы и риски

При внедрении процессов обезличивания стоит учитывать, что Роскомнадзор будет оценивать качество проведенной процедуры. Если из «обезличенного» датасета можно восстановить личность (например, через сопоставление с другими открытыми источниками), данные считаются персональными, и к вам будут применены все санкции за их нецелевую обработку. В 2026 году стандарты обезличивания стали выше, и компании обязаны иметь внутренний регламент, описывающий: какие именно методы используются (например, метод декомпозиции или рандомизации) и как обеспечивается безопасность ключей дешифрования.

На практике это выглядит так: отдел маркетинга просит выгрузку из CRM для настройки таргета. Вместо того чтобы дать им файл с именами и телефонами, системный администратор или автоматизированный скрипт должен выдать файл, где вместо идентификаторов используются хэш-функции, а чувствительные атрибуты заменены на диапазоны (например, не «15.05.1985», а «возраст 40-45 лет»). Только такой подход соответствует букве закона и защищает компанию от штрафов при случайной утечке таких выгрузок.

Порядок уведомления Роскомнадзора о трансграничной передаче

Если ваш бизнес работает с иностранными партнерами, подрядчиками или использует зарубежные сервисы, вы сталкиваетесь с вопросом трансграничной передачи данных. С 26 июля 2026 года, после вступления в силу изменений, внесенных Федеральным законом № 265-ФЗ, порядок уведомления Роскомнадзора стал значительно сложнее. Раньше существовал принцип «безусловного экспорта»: если вы уведомили о начале обработки, вы могли передавать данные куда угодно. Теперь этот механизм устарел.

Согласно актуальным правилам, перед началом трансграничной передачи вы обязаны направить в Роскомнадзор специальное уведомление. Регулятор теперь не просто принимает это к сведению, а проводит оценку: обеспечивает ли принимающая страна адекватную защиту прав субъектов ПДн. Если страна не входит в список «безопасных» (согласно перечню РКН) или если передача может нанести вред интересам РФ, Роскомнадзор имеет право запретить или ограничить такую передачу.

Алгоритм работы с трансграничной передачей

Чтобы не нарушить закон, следуйте этой логике:

1. Проведите аудит всех сторонних сервисов. Кто из них хранит данные за пределами РФ? (Это могут быть CRM, почтовые сервисы, системы аналитики, облачные хранилища).
2. Определите страну получателя для каждого сервиса.
3. Сформируйте уведомление Роскомнадзора о трансграничной передаче. В нем нужно четко указать категории передаваемых данных, цели передачи и перечень стран.
4. Дождитесь реакции ведомства. Если вы начали передачу до того, как ведомство получило уведомление, это нарушение. Если вы передаете данные в страну, которую РКН признал «необеспечивающей защиту», вы рискуете получить предписание о немедленной остановке процесса.

Важный нюанс: если вы изменили состав передаваемых данных или перешли на новый зарубежный сервис, вы обязаны подать новое уведомление. Не стоит полагаться на старые отчеты, если ваша IT-инфраструктура обновилась. В 2026 году контроль за информационными потоками стал приоритетной задачей регулятора, и автоматизированные системы монитража трафика позволяют выявлять несанкционированные трансграничные потоки данных довольно быстро.

Алгоритм действий при инцидентах и утечках данных

Утечка данных - это не вопрос «случится или нет», это вопрос «когда». И когда это произойдет, у вас не будет времени на раздумья или на то, чтобы пытаться «замести следы». В 2026 году правила реагирования на инциденты стали предельно жесткими. Главное правило: время работает против вас. Согласно актуальным нормам, вы обязаны соблюдать два критических срока.

Первое - это 24 часа. С момента обнаружения факта утечки (не с момента, когда вы поняли, кто виноват, а именно с момента фиксации инцидента), вы обязаны направить первичное уведомление в Роскомнадзор. В этом сообщении вы должны сообщить о самом факте произошедшего, о предполагаемых причинах и о мерах, которые вы начали принимать для минимизации ущерба. Это короткий, сухой отчет, цель которого - информировать регулятора о том, что вы контролируете ситуацию.

Второе - это 72 часа. В течение этого времени вы должны провести внутреннее расследование и направить в Роскомнадзор результаты. В этом отчете уже должна быть конкретика: что именно утекло, какой объем данных пострадал, какие технические уязвимости были использованы и, самое главное, какие системные изменения вы внесли, чтобы это не повторилось. Если вы пропустите эти сроки, штрафы будут значительно выше, чем если бы вы сообщили об инциденте вовремя.

Что должно быть в плане реагирования (Incident Response Plan)

Чтобы не паниковать в момент атаки, у вас должен быть заранее подготовленный документ, включающий:

• Список ответственных лиц: кто принимает решение об уведомлении, кто готовит технический отчет, кто общается с юристами.
• Технический протокол: как изолировать скомпрометированные сегменты сети, как сохранить логи для расследования, как восстановить данные из бэкапов.
• Шаблоны уведомлений: заготовленные формы для Роскомнадзора, чтобы не тратить драгоценные часы на составление текста с нуля.
• Протокол коммуникации с клиентами: как и когда вы сообщите пострадавшим пользователям о том, что их данные попали в сеть.

Помните, что попытка скрыть утечку в 2026 году - это путь к максимальным санкциям и репутационной катастрофе. Регулятор сегодня имеет инструменты для выявления аномальной активности в сетях и часто узнает об инцидентах от самих пострадавших или из даркнета раньше, чем от оператора. Честность и скорость реакции - ваши лучшие союзники.

Обновление сведений в реестре операторов ПДн

Многие компании совершают ошибку, считая, что если они один раз подали уведомление о начале обработки ПДн, то на этом их обязательства закончены. Это не так. Уведомление Роскомнадзора о начале обработки - это живой документ, который должен соответствовать реальности. Если ваша компания расширила ассортимент услуг, начала собирать новые типы данных (например, добавила биометрию или геолокацию) или сменила юридический адрес, вы обязаны обновить сведения в реестре операторов.

Правила обновления строго регламентированы. При изменении любых значимых сведений из уведомления, оператор обязан направить обновление в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений. Например, если вы внедрили новую систему аналитики, которая собирает данные, отличные от ранее заявленных, в октябре, то обновить сведения в реестре вы должны до 15 ноября. Несоблюдение этого срока является административным правонарушением.

Типичные ошибки при ведении реестра

Чаще всего компании спотыкаются на следующих моментах:

1. Несоответствие фактических процессов заявленным. В уведомлении написано, что вы собираете только email, а по факту в CRM лежат адреса, телефоны и паспортные данные. При проверке это вскрывается мгновенно.
2. Забытые подрядчики. Вы указали в уведомлении, что данные хранятся только у вас, но на деле используете облачный сервис или аутсорс-колл-центр.
3. Отсутствие актуальности при смене структуры компании. Если изменилось наименование юридического лица или его реквизиты, уведомление должно быть обновлено.

Рекомендуется проводить внутренний аудит соответствия реестра фактическим процессам обработки данных не реже одного раза в квартал. Это позволит вовремя заметить "разрыв" между тем, что вы пообещали государству, и тем, что делает ваш маркетинг или IT-отдел. Помните, что актуальный реестр - это ваша первая линия защиты при плановых или внеплановых проверках.

Чек-лист проверки сайта по актуальным приказам РКН

Чтобы подготовиться к проверке Роскомнадзора по 152-ФЗ, не нужно ждать визита инспектора. Вы можете провести самоаудит, опираясь на актуальные ведомственные акты, такие как приказ РКН № 256 и приказ РКН № 253, опубликованные в конце 2026 года. Эти документы определяют текущие требования к документации и методам контроля.

Ниже приведен практический чек-лист, который поможет вам оценить состояние вашего сайта прямо сейчас. Пройдите по каждому пункту и зафиксируйте результат.

Если по какому-то пункту у вас стоит "Нет" - это ваша зона приоритетного внимания. Начинайте исправления с форм сбора данных и локализации, так как это самые простые и одновременно самые часто проверяемые элементы. Работа с трансграничной передачей и внутренними регламентами инцидентов требует более глубокой юридической и технической проработки, но именно они определяют вашу устойчивость к серьезным проверкам.

Что запомнить

• Согласие на обработку ПДн должно быть отдельным от оферты и других документов.
• Первичный сбор данных должен происходить строго на территории РФ.
• При утечке данных: 24 часа на первое уведомление, 72 часа на полный отчет.
• Трансграничная передача требует предварительного уведомления и оценки страны получателя.
• Обновление данных в реестре операторов должно происходить до 15-го числа следующего месяца.