Соответствие сайта 152-ФЗ проверяют не юристы, а робот Роскомнадзора: он открывает страницу, ищет галочку у формы, ссылку на политику и номер в реестре операторов. С конца сентября 2026 года мы прогнали через свою проверку 11 сайтов малого бизнеса, и у 10 из них нашлось хотя бы одно нарушение. Я Константин Конюшкин, делаю Рефсейлс и сам веду магазин на Тильде. В статье разберу, что проверить в пяти типичных ситуациях, сколько стоит каждая ошибка для самозанятого, ИП и ООО и что автоматическая проверка увидеть не может.
Что нашли на 11 реальных сайтах
Чаще всего сайт малого бизнеса нарушает 152-ФЗ в формах заявок, а не в документах. Мы проверили 11 сайтов магазинов и сервисов с 28 сентября по 3 октября 2026 года. Средняя оценка вышла 41 балл из 100. Выборка маленькая, но картина повторяется от сайта к сайту:
6 из 11: форма собирает имя или телефон без галочки согласия.
5 из 11: согласие спрятано в политику или оферту, а не оформлено отдельным документом.
4 из 11: владельца сайта нет в реестре операторов персональных данных.
7 из 11: на сайте стоят иностранные сервисы вроде Google Analytics или Google Fonts. У четырёх это прямое нарушение, у трёх риск.
8 из 10: политика не называет сервисы, которым сайт передаёт данные посетителей.
6 из 10: счётчики запускаются до того, как посетитель согласился на cookie.
При этом служебные файлы, вход через Google и цены в иностранной валюте не нашлись ни на одном сайте. Типичные ошибки скучные: забытая галочка, общий чекбокс «принимаю условия», неподанное уведомление.
Я запускаю сайт с формой заявки. Что сделать до первой заявки?
Минимальный набор для сайта с формой: политика, отдельное согласие, пустая галочка у каждой формы и уведомление в Роскомнадзор. Этот набор нужен любому сайту, где посетитель оставляет имя, телефон или почту, даже если заявки приходят вам просто в Telegram.
Политика обработки персональных данных на отдельной странице. Ссылка на неё стоит в подвале сайта и рядом с каждой формой (152-ФЗ, ст. 18.1 ч. 2).
Согласие на обработку отдельным документом. С 1 сентября 2025 года согласие нельзя вписать в оферту или политику (152-ФЗ, ст. 9 ч. 1 в редакции 156-ФЗ). В согласии указаны оператор и его адрес, цель, перечень данных, срок и порядок отзыва.
Галочка у каждой формы, не отмеченная заранее. Предустановленная галочка закон не устраивает: согласие должно быть активным действием посетителя.
Отдельная галочка для рассылки. Если по телефону из заявки вы потом шлёте акции, на рекламу нужно своё согласие, необязательное для отправки формы.
Уведомление в Роскомнадзор до начала обработки (152-ФЗ, ст. 22). Подаётся на pd.rkn.gov.ru, после этого оператор появляется в реестре.
Пятый пункт пропускают чаще остальных. Владельцу кажется, что уведомление нужно банкам и большим компаниям, а магазину с формой обратного звонка нет. Исключения в ст. 22 узкие, и магазин с формой заявки под них почти никогда не попадает.
Мне пришло письмо от Роскомнадзора. Что он увидел?
Роскомнадзор видит ваш сайт снаружи, ровно так же, как его видит автоматическая проверка. По разбору на vc.ru робот ведомства ищет формы без галочки или с галочкой, отмеченной заранее, оператора без записи в реестре, дефекты в документах и Google-сервисы. После автоматической проверки сотрудник смотрит сайт вручную и выдаёт предписание, обычно с коротким сроком на исправление.
Что делать с письмом:
Прочитайте, какие пункты перечислены. Робот не придумывает нарушения, он фиксирует то, что есть в коде страницы.
Пройдите сайт по тем же пунктам: все формы, включая всплывающие окна и корзину, ссылки на документы, подключённые скрипты.
Если оператора нет в реестре, подайте уведомление сразу. Остальное исправляется на сайте за вечер.
Сохраните скриншоты до и после правок: они пригодятся для ответа ведомству.
У меня стоит Google Analytics. Его нужно удалить?
Google Analytics на сайте не запрещён, но он передаёт данные посетителей за границу, а о такой передаче нужно отдельно уведомить Роскомнадзор (152-ФЗ, ст. 12 ч. 3). То же касается Google Fonts, reCAPTCHA, пикселей зарубежных рекламных сетей, Hotjar и Microsoft Clarity. Шрифт, подгруженный с серверов Google, тоже передаёт IP-адрес посетителя.
У владельца два пути:
Убрать иностранные сервисы. Яндекс Метрика вместо Google Analytics, шрифты с собственного сервера, российская капча. Для большинства магазинов это проще.
Оставить и оформить. Подать уведомление о трансграничной передаче, назвать сервисы в политике и спрашивать согласие на cookie до запуска счётчиков.
Второй путь спотыкается о мелочи. В нашей выборке 8 политик из 10 не называли сервисы, которым сайт передаёт данные, и на 6 сайтах из 10 счётчики стартовали раньше, чем посетитель нажимал кнопку в баннере cookie.
Я продаю товары. Что проверить кроме персональных данных?
Интернет-магазин отвечает ещё и по закону о защите прав потребителей, и эти пункты проверяет Роспотребнадзор, а не Роскомнадзор. На сайте должны быть:
наименование продавца, ИНН или ОГРН, адрес и почта (ЗоЗПП, ст. 9; 149-ФЗ, ст. 10 ч. 2);
условия доставки, оплаты и возврата, включая право вернуть товар в течение 7 дней (ЗоЗПП, ст. 26.1);
цены в рублях и публичная оферта (Правила продажи товаров, ПП № 2463).
И отдельный пункт для сайтов с личным кабинетом: вход через Google, Apple, Facebook или Telegram запрещён с 1 декабря 2023 года (149-ФЗ, ст. 10 ч. 2.1). Разрешены российский номер телефона, Госуслуги, VK ID, Яндекс ID, Сбер ID и T-ID. С 7 июля 2026 года за это нарушение юрлицу грозит до 700 тысяч рублей.
Сколько стоит ошибка для самозанятого, ИП и ООО
Штраф за одно и то же нарушение отличается в десятки раз в зависимости от того, кто владеет сайтом. Суммы по КоАП в редакции от 26 июля 2026 года, мы сверили их на consultant.ru 29 сентября 2026 года.
Форма без согласия, галочка отмечена заранее, согласие не отдельным документом (КоАП 13.11 ч. 1):
самозанятый: 10–15 тысяч рублей;
ИП: 50–100 тысяч;
ООО: 150–300 тысяч.
Оператора нет в реестре (КоАП 13.11 ч. 10): самозанятый 5–10 тысяч, ИП и ООО 100–300 тысяч. ИП по этой статье платит как юрлицо.
Нет политики обработки данных (КоАП 13.11 ч. 3): самозанятый 1,5–3 тысячи, ИП 10–20 тысяч, ООО 30–60 тысяч.
Данные хранятся за пределами России (КоАП 13.11 ч. 8): самозанятый 30–50 тысяч, ИП и ООО от 1 до 6 миллионов.
Вход через иностранные сервисы (КоАП 13.55): самозанятый 10–20 тысяч, ИП 30–50 тысяч, ООО 500–700 тысяч.
Неполные условия доставки и возврата, цены не в рублях (КоАП 14.15): ИП 1–3 тысячи, ООО 10–30 тысяч, возможно предупреждение.
Штрафы считаются за каждое нарушение отдельно. Форма без галочки и отсутствие в реестре у ИП дают от 150 тысяч рублей в сумме.
Сайт делала студия. Как принять работу?
Принять сайт от студии или фрилансера по 152-ФЗ можно тем же списком, которым пользуется Роскомнадзор. Подрядчик часто ставит политику из шаблона с чужими реквизитами и одну галочку «согласен с офертой и политикой», которая с сентября 2025 года уже не годится.
Перед подписанием акта проверьте:
В политике и согласии стоят ваши ИНН, адрес и почта, а не данные студии или шаблона.
Телефон в политике совпадает с телефоном на сайте.
У каждой формы своя пустая галочка со ссылкой на документ «Согласие».
Подрядчик не подключил Google Fonts и Google Analytics «по привычке».
Сайт открывается по HTTPS, а сертификат действует.
Как проверить сайт на соответствие 152-ФЗ самостоятельно
Проверить сайт на соответствие 152-ФЗ вручную можно за час, если идти по формам и коду страниц. Откройте каждую страницу с формой и посмотрите, есть ли галочка и куда ведёт ссылка рядом с ней. Найдите свой ИНН в реестре операторов. Список подключённых сервисов покажет вкладка «Сеть» в инструментах разработчика браузера: ищите домены google, facebook, hotjar, clarity.
Быстрее запустить проверку сайта на 152-ФЗ в Рефсейлс. Проверка открывает главную и до 15 страниц сайта: политику, контакты, оферту, страницы с формами. Она смотрит код страниц, подключённые сервисы, сервер и открытые реестры Роскомнадзора и ФНС. Регистрация не нужна.
Бесплатно вы получите оценку от 0 до 100, число нарушений и рисков и три самые серьёзные проблемы. Полный отчёт за 1000 рублей покажет каждую находку: на какой странице и в какой форме, статью закона, штраф для вашей формы бизнеса и что поправить. Для сайтов на Тильде отчёт подсказывает, в каком разделе редактора это исправить.
Что автоматическая проверка не увидит
Автоматическая проверка видит сайт снаружи и не заменяет юриста. По страницам сайта не проверить договоры с подрядчиками, которые получают данные, внутренние приказы, порядок действий при утечке и то, где на самом деле лежит выгрузка заказов. Страницы за логином и паролем проверка тоже не открывает.
Для малого бизнеса с сайтом и формой заявок внешняя часть важнее всего, потому что именно её видит робот Роскомнадзора. Исправьте формы, подайте уведомление и разберитесь с иностранными сервисами, а с документами для внутреннего пользования идите к юристу, когда бизнес вырастет до сотрудников и CRM.
Начните с того, что видит робот: проверьте сайт бесплатно и закройте три главные проблемы из отчёта.
Источники
Частые вопросы
Что должно быть на сайте по 152-ФЗ?
Политика обработки персональных данных на отдельной странице, согласие на обработку отдельным документом, пустая галочка согласия у каждой формы и запись владельца сайта в реестре операторов Роскомнадзора. Если на сайте стоят Google Analytics, Google Fonts или другие иностранные сервисы, нужно ещё уведомление о трансграничной передаче и баннер cookie, который спрашивает согласия до запуска счётчиков.
Как проверить сайт на соответствие 152-ФЗ бесплатно?
Вручную: откройте каждую страницу с формой, проверьте галочку и ссылку на согласие, найдите свой ИНН в реестре операторов на pd.rkn.gov.ru и посмотрите во вкладке «Сеть» браузера, какие сервисы подключены. Автоматически: введите адрес сайта в проверку Рефсейлс без регистрации. Бесплатный отчёт покажет оценку от 0 до 100, число нарушений и три самые серьёзные проблемы.
Нужно ли подавать уведомление в Роскомнадзор, если у меня только форма заявки?
Да, почти всегда. Форма с именем, телефоном или почтой означает обработку персональных данных, и по 152-ФЗ, ст. 22 уведомление подаётся до её начала. Исключения узкие, магазин или сервис с формой заявки под них обычно не попадает. Штраф за отсутствие в реестре для ИП и ООО составляет 100–300 тысяч рублей.
Можно ли оставить Google Analytics на сайте?
Можно, Google Analytics не запрещён. Но он передаёт данные посетителей за границу, поэтому нужно уведомить Роскомнадзор о трансграничной передаче, назвать сервис в политике и запускать счётчик только после согласия посетителя на cookie. Если оформлять это не хочется, замените Google Analytics на Яндекс Метрику.
Какой штраф грозит ИП за форму без согласия на обработку данных?
По КоАП 13.11 ч. 1 ИП платит 50–100 тысяч рублей, ООО 150–300 тысяч, самозанятый 10–15 тысяч. Та же статья применяется, если галочка согласия отмечена заранее или согласие вписано в оферту или политику вместо отдельного документа. Каждое нарушение штрафуют отдельно.
