2 ноября 2026
Форма заявки на сайте собирает имя, телефон и почту. Это персональные данные, и с этого момента у сайта есть обязанности по 152-ФЗ. За последний год требований стало больше, штрафы выросли, а проблемы на практике чаще всего прячутся не в юридических формулировках, а в мелочах: заранее отмеченная галочка, подключённый шрифт, строка в политике про сервис, которого давно нет.
В «Крупном Деле» мы проверяем сайты по одному принципу: сравниваем, что написано в документах и что сайт делает на самом деле. Ниже наш порядок проверки. Это техническая часть работы. Оценку самих формулировок лучше получить у юриста по персональным данным.
Материал подготовлен по данным КонсультантПлюс и обзоров изменений в 152-ФЗ. Проверено 2 ноября 2026 года. Статья не заменяет юридическую консультацию.
Согласие теперь оформляется отдельно
По обзорам изменений, с 1 сентября 2025 года согласие на обработку персональных данных нельзя прятать внутри других документов: договора, оферты или пользовательского соглашения. Основание названо в обзоре, это Федеральный закон от 24.06.2025 № 156-ФЗ. Для сайта вывод прямой. Если в форме стоит одна галочка «принимаю условия и соглашаюсь на обработку данных», её лучше разделить.
Статья 9 закона требует, чтобы согласие было конкретным, информированным, сознательным и однозначным. Предварительно отмеченный чекбокс плохо сочетается со словом «сознательное». Прямого запрета именно на такую галочку в разобранных нами обзорах нет, но и рисковать незачем. Мы рекомендуем пустой чекбокс, ссылку на самостоятельный текст согласия и кнопку, которая не отправляет форму, пока галочки нет.
Проверить это можно за пять минут. Откройте каждую форму на сайте, включая всплывающую «Заказать звонок», в чистом окне браузера. Модальные формы подключают отдельным компонентом, и настройка «отмечено по умолчанию» в них нередко отличается от основной формы.
Документы должны описывать реальный сайт
Шаблон политики конфиденциальности скачать несложно. Сложнее оставить в нём только то, что соответствует действительности. Типичные расхождения такие: в политике упомянута CRM, которой компания давно не пользуется; сказано, что данные за границу не передаются, а на страницах подключены зарубежные скрипты; указан срок хранения, который никто не соблюдает.
Начните с простого списка: куда попадает заявка после нажатия «Отправить». Запись в базе сайта, письмо на почту, уведомление в мессенджер, CRM, рассылка. Каждый пункт должен быть отражён в политике, а каждый пункт политики должен соответствовать реальности. Лишнее убираем, недостающее добавляем. Дату и перечень проверенных мест лучше записать: при вопросах это сэкономит время.
Что браузер отправляет на чужие серверы
Когда страница подключает шрифты с Google Fonts, капчу reCAPTCHA, виджет карты или видеоплеер, браузер посетителя обращается к чужому серверу. Туда уходят IP-адрес и сведения об устройстве. Считать ли это трансграничной передачей по статье 12 закона и как её описывать в политике, решает юрист. Технически вопрос часто снимается проще: шрифты хранятся на вашем сервере, вместо reCAPTCHA работает капча российского сервиса, а карта заменяется статичным изображением со ссылкой.
Отдельно проверьте, где физически находятся серверы, на которых хранится заявка. Часть 5 статьи 18 требует при первичном сборе данных граждан России использовать базы на территории страны. Это касается не только хостинга сайта, но и сервиса форм, CRM и сервиса рассылок, если заявка уходит в них.
Как найти внешние запросы
- Откройте страницу с формой в браузере и запустите инструменты разработчика (F12).
- Перейдите на вкладку Network и обновите страницу.
- Отсортируйте запросы по домену и выпишите все, кроме вашего.
- Для каждого домена ответьте на два вопроса: зачем он нужен и что в нём можно заменить.
- Повторите проверку на странице контактов, в карточке товара и в разделе с видео.
Cookie и счётчики
Баннер с текстом «оставаясь на сайте, вы соглашаетесь» встречается почти везде, и именно такая формулировка вызывает больше всего споров. Мы советуем описать, какие данные собирают cookie и счётчики, зачем это нужно и как отказаться, а согласие получать явным действием, например кнопкой.
Если на сайте стоит Яндекс Метрика с Вебвизором, откройте несколько записей сессий и убедитесь на практике, что в них не попадают значения полей форм. Настройки скрытия полей есть в самом счётчике, их нужно проверять после каждой доработки форм.
Сколько стоят ошибки
С 30 мая 2025 года действуют изменения в статье 13.11 КоАП РФ, внесённые Федеральным законом от 30.11.2024 № 420-ФЗ. По данным КонсультантПлюс, для организаций размеры такие:
| Нарушение | Штраф |
|---|---|
| Общий состав нарушения (часть 1 статьи 13.11) | 150–300 тыс. руб., при повторном — 300–500 тыс. руб. |
| Не уведомили Роскомнадзор о намерении обрабатывать данные | 100–300 тыс. руб. |
| Не уведомили Роскомнадзор об утечке | 1–3 млн руб. |
| Утечка данных от 1 000 человек | 3–5 млн руб. |
| Утечка данных от 10 000 человек | 5–10 млн руб. |
| Утечка данных более 100 000 человек | 10–15 млн руб. |
| Повторная утечка | 1–3 % годовой выручки, не менее 20 млн и не более 500 млн руб. |
Для отдельных составов нижняя граница оборотного штрафа выше, а скидка за быструю оплату к статье 13.11 не применяется. Точные условия смотрите в тексте закона. Утечки происходят и из-за устаревшего серверного ПО, поэтому обновления нужно держать в порядке: мы писали об этом в материале про уязвимости PHP и обновление сервера.
План проверки на неделю
- Понедельник. Составьте список всех мест сбора данных: формы, подписка, чат, оформление заказа, личный кабинет.
- Вторник. Проверьте чекбоксы и ссылки на согласие в каждой форме, включая модальные окна.
- Среда. Найдите внешние домены через вкладку Network и решите, что убрать, а что описать.
- Четверг. Сверьте политику с реальным списком сервисов и сроками хранения.
- Пятница. Передайте результат юристу и зафиксируйте дату проверки.
Если у вас нет времени разбираться самим, мы можем провести техническую проверку сайта и передать вам список находок в том виде, в каком его удобно показать юристу. Описание работ есть в разделе «Услуги», а написать нам можно через страницу «Контакты».
Частые вопросы
Достаточно ли взять готовый шаблон политики?
Нет. Шаблон нужно привести в соответствие с вашим сайтом: убрать чужие сервисы, указать свои, проверить сроки и цели обработки. Расхождение между текстом и фактической работой сайта проще всего заметить проверяющему.
Можно ли оставить Google Fonts?
Это вопрос оценки рисков, и отвечать на него должен юрист. С технической стороны замена занимает немного времени: файлы шрифтов кладутся на ваш сервер и подключаются оттуда. Внешний запрос исчезает, и обсуждать становится нечего.
Как часто проверять сайт?
После каждого изменения, которое затрагивает данные: новая форма, новый счётчик, новый виджет, смена хостинга или почты. Плюс плановый осмотр раз в полгода.