Проверка сайта на 152-ФЗ: чек-лист 2026

Коротко: Чтобы пройти проверку на соответствие 152-ФЗ в 2026 году, необходимо обновить политику конфиденциальности с учетом изменений от 26.07.2026, проверить список стран для трансграничной передачи согласно приказу № 253 от 16.09.2026 и подать актуальное уведомление Роскомнадзора по форме приказа № 180. Важно настроить формы сбора данных так, чтобы согласие было явным, а сроки обработки и исправления данных соблюдались строго в рамках закона.

Кстати, в AmSales мы делаем внедрение и настройку Битрикс24 и разработку сайтов под ключ под ключ. Если нужна помощь - напишите нам.

Актуальные требования 152-ФЗ в редакции 2026 года

Законодательство в области персональных данных (ПД) к середине 2026 года стало значительно жестче. Если раньше регулятор смотрел на отсутствие «галочки» под формой как на мелкое недоразумение, то сегодня это прямой путь к проверке. Главное изменение, которое нужно учитывать прямо сейчас - это редакция закона, вступившая в силу 26 июля 2026 года (Федеральный закон № 265-ФЗ). Она пересмотрела ключевые формулировки, касающиеся того, как именно компании могут передавать данные за рубеж и как классифицировать страны-партнеры.

Теперь требования к персональным данным на сайте 2026 года включают не только наличие юридического документа, но и техническую прозрачность процессов. Вы обязаны четко понимать, какие именно поля в формах (имя, телефон, email, cookie, IP-адрес) являются персональными, и на каком основании вы их обрабатываете. Регулятор больше не принимает размытые формулировки вроде «для улучшения качества сервиса». Каждая точка сбора данных должна быть привязана к конкретной цели, указанной в вашем внутреннем регламенте.

Особое внимание уделено прозрачности. Если ваш сайт использует аналитические системы, которые отправляют данные на сервера за пределы РФ, это уже не просто «технический процесс», а полноценная обработка. Проверка сайта на соответствие 152-ФЗ начинается с аудита всех скриптов, которые работают на странице. Если на сайте стоит сторонний виджет чата или пиксель социальной сети, вы становитесь оператором, который передает данные третьим лицам, и это должно быть зафиксировано.

Еще один важный аспект - это право субъекта данных на быстрое реагирование. В актуальной редакции закона закреплены жесткие сроки. Если пользователь требует исправить или удалить его данные, у вас есть на это ограниченное время. Несоблюдение этих сроков или попытка «затянуть» процесс через бесконечные уточняющие вопросы - это нарушение, которое легко фиксируется при обращении гражданина в Роскомнадзор.

Что изменилось в структуре ответственности

Раньше компании часто пытались откупиться минимальным набором документов. В 2026 году подход изменился: регулятор смотрит на связку «документ - техническая реализация». Если в политике написано, что вы не передаете данные третьим лицам, а в коде сайта стоит скрипт Google Analytics, который шлет данные в США - это нарушение, даже если документ составлен идеальным юридическим языком.

Как проверить политику конфиденциальности на сайте

Политика конфиденциальности - это ваш главный щит, но только если она живая, а не скопированная у конкурентов. Первое, что нужно сделать - проверить доступность документа. Ссылка на него должна быть видна на каждой странице, где есть формы сбора данных, обычно это футер (подвал) сайта или непосредственно под кнопкой «Отправить». Если пользователю нужно совершить три клика, чтобы найти правила обработки, такая политика считается ненадлежащим образом доведенной до сведения информации.

Второй шаг - проверка содержания. В 2026 году политика не может быть «обо всем и ни о чем». Она должна содержать:

• Полное наименование вашей организации или ФИО ИП.
• Конкретный перечень собираемых данных (не пишите «любые данные», пишите «номер телефона, адрес электронной почты»).
• Цели обработки (например, «для оформления заказа» или «для рассылки новостей»).
• Срок хранения данных и порядок их уничтожения.
• Способы защиты данных, которые вы применяете.

Частая ошибка - использование устаревших шаблонов. Если в вашей политике до сих пор упоминаются требования 2022 или 2023 годов, не учитывающие изменения 26.07.2026, вы подставляетесь под штрафы. Проверьте, чтобы терминология соответствовала актуальной редакции закона. Например, описание трансграничной передачи должно опираться на новые критерии оценки стран, а не на старые списки Конвенции Совета Европы, которые были частично пересмотрены.

Третий момент - это соответствие политики реальности. Если вы запрашиваете у пользователя дату рождения, но в политике она не указана как собираемый параметр, это несоответствие. Проведите «контрольную закупку»: заполните форму на своем сайте и посмотрите, какие данные ушли в вашу CRM. Все, что попало в базу, должно быть легализовано в тексте политики. Если вы используете куки (cookies) для трекинга поведения, информация об этом также должна быть в отдельном разделе или в самой политике.

Чек-лист для быстрой проверки текста

Возьмите вашу политику и проверьте три вопроса. Первый: указан ли в ней адрес для связи по вопросам ПД (email или почтовый адрес)? Второй: разделены ли цели обработки (вы не можете собирать телефон для доставки и тут же использовать его для спам-рассылки без отдельного согласия)? Третий: прописан ли порядок отзыва согласия? Если хотя бы на один вопрос ответ «нет» - документ нужно переписывать.

Правила трансграничной передачи данных по приказу 253

Трансграничная передача персональных данных - это самая «тонкая» зона в 2026 году. Если ваш сайт использует зарубежные облачные сервисы, CRM, системы рассылок или даже простые счетчики метрики, которые хранят данные на серверах вне РФ, вы осуществляете трансграничную передачу. С 16 сентября 2026 года правила игры изменились с выходом приказа Роскомнадзора № 253.

Этот приказ утвердил новый перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Это критически важно. Если вы передаете данные в страну из этого списка, процедуры упрощены. Если же страна не входит в перечень (например, некоторые государства, не являющиеся участниками Конвенции Совета Европы в новой редакции закона), вы обязаны соблюдать гораздо более строгие условия. С 26 июля 2026 года, после вступления в силу закона № 265-ФЗ, логика определения таких стран стала более специфичной, и старые списки использовать нельзя.

Как это работает на практике? Допустим, вы используете сервис для рассылок, серверы которого находятся в стране, не входящей в список «адекватных» по приказу № 253. В этом случае вы не можете просто отправить данные. Вам нужно:

1. Убедиться, что вы уведомили Роскомнадзор о намерении осуществлять трансграничную передачу.
2. Проверить, не наложен ли регулятором запрет на передачу данных в это конкретное государство.
3. Обеспечить выполнение требований по защите данных на стороне принимающего сервиса.

Важно понимать, что трансграничная передача персональных данных правила которой вы нарушите, ведут к серьезным последствиям. Регулятор теперь активно отслеживает не только факт передачи, но и то, как вы обосновали выбор страны. Если вы используете зарубежный хостинг, проверьте его локацию. Если данные россиян физически не попадают на сервер в РФ при первичном сборе (в соответствии с законом о локализации), это уже нарушение, которое перекрывает любые вопросы трансграничности.

Обязательные формы уведомлений Роскомнадзора по приказу 180

Многие компании ошибочно полагают, что если они просто написали политику на сайте, то их обязательства перед государством выполнены. Это не так. Вы обязаны подать уведомление Роскомнадзора об обработке ПД. На текущий момент, 13 ноября 2026 года, процедура регулируется приказом № 180, который определяет формы уведомлений об обработке, об изменении сведений и о прекращении обработки.

Уведомление - это ваш официальный статус перед регулятором. Если вы начали собирать данные (даже если это просто email для подписки), вы должны уведомить об этом РКН. Причем делать это нужно не «когда-нибудь потом», а в установленные законом сроки. Если в вашей деятельности что-то изменилось (например, вы добавили на сайт сбор паспортных данных для верификации), вы обязаны подать уведомление об изменении сведений по той же форме приказа № 180.

Форма уведомления довольно объемная. Вам потребуется указать:

• Категории обрабатываемых данных.
• Цели обработки (каждая цель - отдельный пункт).
• Правовое основание (согласие пользователя, исполнение договора и т.д.).
• Перечень лиц, которым вы передаете данные (включая подрядчиков).
• Сведения о месте нахождения баз данных.

Критический момент: если вы начали трансграничную передачу, это должно быть отражено в уведомлении. Ошибка в форме или пропуск цели обработки в уведомлении делает ваше взаимодействие с регулятором уязвимым. Если при проверке выяснится, что вы обрабатываете данные, не указанные в поданном уведомлении, это будет расценено как обработка без уведомления, что влечет за собой штрафы. Поэтому перед запуском любого нового маркетингового инструмента на сайте (нового квиза, формы записи или лид-магнита) сначала проверьте, соответствует ли это вашему текущему уведомлению в РКН.

Как правильно настроить формы сбора данных

Техническая реализация сбора данных на сайте - это то, на чем «срезается» большинство маркетологов. Главное правило 2026 года: согласие должно быть активным и осознанным. Это значит, что пользователь должен совершить действие, подтверждающее его волю. Никаких предустановленных «галочек» (pre-ticked boxes). Если пользователь просто нажал кнопку «Заказать», он не дал автоматического согласия на обработку ПД и, тем более, на получение рекламной рассылки.

Правильная архитектура формы выглядит так:

1. Пользователь вводит данные (например, имя и телефон).
2. Рядом с кнопкой отправки или под ней стоит текст: «Нажимая на кнопку, вы даете согласие на [ссылка на политику] и [ссылка на согласие на рассылку]».
3. В идеале - отдельный чекбокс для маркетинговых коммуникаций. Это позволяет разделить техническую необходимость (обработка для доставки товара) и маркетинговую (рассылка акций).

Не забывайте про куки (cookies). Если ваш сайт использует аналитику, при первом посещении должен появляться баннер (cookie notice). Он не должен просто говорить «мы используем куки». Он должен давать пользователю выбор: принять все, принять только необходимые (технические) или настроить категории самостоятельно. Это стандарт, который в 2026 году стал де-факто обязательным для прохождения проверок на соответствие требованиям к персональным данным на сайте 2026 года.

Еще один нюанс - минимизация данных. Не просите у пользователя дату рождения, если вы продаете доставку пиццы. С точки зрения 152-ФЗ, сбор избыточных данных - это нарушение принципа целесообразности. Чем меньше данных вы собираете, тем меньше у вас ответственности и рисков в случае утечки. Если форма слишком длинная и требует много лишней информации, это не только снижает конверсию, но и создает юридическую нагрузку, которую сложно обосновать перед регулятором.

Типичные ошибки при обработке персональных данных

Анализируя практику проверок, можно выделить несколько «классических» ошибок, которые совершают компании. Первая и самая частая - это смешивание целей. Например, человек оставляет телефон, чтобы получить консультацию, а через два дня получает SMS с акцией. Юридически это разные цели. Для первой нужно согласие на обработку для исполнения договора, для второй - отдельное согласие на получение рекламы. Если вы не разделили эти процессы в формах, вы нарушаете закон.

Вторая ошибка - «мертвые» документы. Это когда политика конфиденциальности висит на сайте, но она не обновлялась два года. В 2026 году, когда законодательство меняется так часто (как в случае с изменениями от 26.07.2026), использование старых формулировок - это автоматический провал. Регулятор видит, что компания не следит за актуальностью своих правовых актов, и это признак халатного отношения к защите данных.

Третья ошибка - игнорирование передачи данных подрядчикам. Вы наняли агентство для настройки сквозной аналитики или CRM-маркетинга. Вы передали им базу клиентов. Если в вашем уведомлении Роскомнадзора и в вашей политике не указано, что вы привлекаете третьих лиц для обработки данных, - вы нарушаете закон. С подрядчиками обязательно должны быть подписаны договоры (DPA - Data Processing Agreement), где прописаны их обязанности по защите данных.

Четвертая ошибка - отсутствие контроля за удалением данных. Пользователь отозвал согласие через форму на сайте или по email, а его данные продолжают висеть в вашей CRM и рассыльщике. Это прямое нарушение. Процесс удаления или обезличивания данных должен быть регламентирован и автоматизирован, чтобы исключить человеческий фактор.

Сроки исправления данных и риски штрафов

Работа с запросами пользователей - это не только вопрос лояльности, но и вопрос жесткого соблюдения сроков. Согласно действующей редакции 152-ФЗ, если пользователь обращается с требованием исправить свои персональные данные (например, он сменил фамилию или почту), у вас есть не более 7 рабочих дней со дня предоставления подтверждающих сведений. Это очень короткий срок для крупных компаний с разветвленной структурой данных.

Если вы не успеваете обработать запрос в этот срок, вы становитесь объектом внимания. Важно понимать, что сроки касаются не только исправления, но и отзыва согласия или требования об удалении данных. Если пользователь просит удалить его профиль, вы должны сделать это в установленный законом срок, а не «в следующем квартале при чистке базы».

Что касается штрафов, то в 2026 году они остаются существенными. Регулятор использует прогрессивную шкалу. За мелкие недочеты (например, отсутствие ссылки на политику) штрафы могут быть относительно небольшими, но за системные нарушения или несоблюдение правил трансграничной передачи персональных данных правила которых вы нарушили, суммы могут исчисляться сотнями тысяч и даже миллионами рублей (для юридических лиц).

Особый риск связан с утечками. В последние годы законодательство движется в сторону введения оборотных штрафов за утечки ПД. Это значит, что если из-за плохой настройки безопасности на сайте произойдет слив базы клиентов, штраф может быть привязан к годовой выручке компании. Поэтому проверка сайта на соответствие 152-ФЗ - это не просто формальность для юриста, а вопрос финансовой выживаемости бизнеса.

Автоматизация контроля за соблюдением законодательства

Пытаться контролировать всё вручную в 2026 году - это верный способ совершить ошибку. Объем данных, количество форм на сайте, использование десятков разных сервисов делают ручной аудит невозможным. Единственный эффективный путь - это внедрение процессов автоматизации. Это касается как технического контроля, так и юридического.

Во-первых, используйте инструменты для автоматического сканирования сайта на наличие незадекларированных скриптов. Существуют сервисы, которые могут отслеживать, какие именно данные уходят на внешние домены при взаимодействии пользователя с формами. Это позволяет вовремя заметить, что маркетологи внедрили новый виджет, который «утекает» за рубеж, и оперативно внести изменения в уведомление Роскомнадзора.

Во-вторых, автоматизируйте работу с запросами субъектов данных. Вместо того чтобы пересылать письма от клиентов в отдел IT, настройте в CRM автоматический процесс: запрос на удаление или изменение данных должен запускать workflow, который помечает запись на удаление и уведомляет все связанные сервисы (рассылки, аналитику, телефонию). Это гарантирует соблюдение того самого 7-дневного срока.

В-третьих, интегрируйте управление согласиями (Consent Management Platforms) непосредственно в архитектуру сайта. Это позволяет централизованно управлять тем, какие куки и какие скрипты разрешены пользователю, и хранить историю его согласий (лог) в неизменном виде. Если придет проверка, вы сможете за секунды выгрузить отчет: кто, когда и на что именно дал согласие. Это лучший способ доказать регулятору, что вы действуете в правовом поле.

Что запомнить

• Проверьте политику на соответствие редакции от 26.07.2026 и приказ № 253 (страны).
• Убедитесь, что уведомление Роскомнадзора подано по форме приказа № 180.
• Никаких предустановленных галочек - только активное действие пользователя.
• Срок на исправление данных по запросу - не более 7 рабочих дней.
• Автоматизируйте сбор логов согласий и процесс удаления данных.