Частые вопросы о проверке сайта и требованиях законодательства

Проверка анализирует публично доступные признаки: формы и сбор данных, cookie и подключённые внешние сервисы, наличие ключевых документов и ссылок на них, рекламные и коммерческие сценарии, публичную информацию о владельце сайта. Результат показывает найденные сигналы и зоны риска. Внутренние процессы компании, договоры с подрядчиками, фактические маршруты данных внутри CRM и другие непубличные обстоятельства автоматически подтвердить нельзя.

Для бесплатной проверки и первичного юридического аудита обычно достаточно публичного адреса сайта. Доступ к CMS, коду, CRM или аналитике может понадобиться позже, если нужно проверить внутренние настройки, подтвердить маршрут передачи данных или внедрить исправления. Мы отдельно отмечаем, какие выводы сделаны по публичной части сайта, а какие требуют уточнения.

Автоматическая бесплатная проверка обычно занимает около 30–90 секунд. Время зависит от доступности сайта и количества анализируемых страниц. Ручной юридический аудит занимает больше времени: специалист проверяет найденные сигналы в контексте реальных пользовательских сценариев и отделяет существенные проблемы от ложных срабатываний.

Нет. Автоматический сканер оценивает то, что можно проверить снаружи сайта, и помогает быстро обнаружить типовые риски. Полное соответствие может зависеть от внутренних документов, целей обработки данных, CRM, почтовых сервисов, договоров с подрядчиками и других процессов, которые не видны на публичных страницах. Для таких случаев используется ручной аудит и уточняющая информация от владельца сайта.

Бесплатная проверка быстро собирает публичные сигналы. При юридическом аудите специалист подтверждает существенные находки, проверяет контекст страниц и пользовательских сценариев, сопоставляет интерфейс с документами и формирует приоритетный план исправлений. В результате вы получаете не только список сигналов, но и понятное решение: что действительно требует внимания и что делать дальше.

Найденные проблемы можно исправить своей командой, заказать техническое задание для программиста, получить ТЗ вместе с готовым юридическим пакетом или передать исправление сайта под ключ. Выбор зависит от того, есть ли у вас разработчик и нужны ли готовые юридические формулировки.

Они могут относиться к персональным данным, если позволяют прямо или косвенно определить конкретное физическое лицо или связаны с определяемым человеком. Поэтому форму с телефоном или email нужно оценивать не изолированно, а вместе с назначением формы, другими полями и последующей обработкой заявки.

Если оператор собирает персональные данные через сайт, 152‑ФЗ требует опубликовать документ, определяющий политику в отношении обработки персональных данных, и обеспечить доступ к нему на страницах, где такой сбор происходит. Текст политики должен соответствовать фактическим целям, категориям данных и используемым процессам, а не быть случайным шаблоном.

Не для любой обработки персональных данных единственным основанием является согласие. Но если обработка конкретного сценария строится на согласии пользователя, оператор должен уметь подтвердить факт его получения. Поэтому форма, текст рядом с полями, действие пользователя и ссылка на документ должны быть спроектированы так, чтобы основание обработки было понятным и доказуемым.

Если вы используете именно согласие на обработку персональных данных как правовое основание, оно должно быть конкретным, информированным и однозначным. Действующая редакция 152‑ФЗ также требует оформлять такое согласие отдельно от иной информации и документов, которые подтверждает или подписывает человек. Поэтому объединение разных волеизъявлений в один неясный текст создаёт риск.

Общее правило статьи 22 152‑ФЗ — оператор до начала обработки уведомляет уполномоченный орган, если конкретный случай не относится к предусмотренным законом исключениям. Поэтому отсутствие записи в реестре само по себе ещё не даёт окончательного вывода: сначала нужно определить, является ли организация оператором в конкретном сценарии и применяется ли исключение.

При сборе персональных данных граждан России через интернет действующая часть 5 статьи 18 152‑ФЗ ограничивает использование баз данных, находящихся за пределами Российской Федерации, для записи, систематизации, накопления, хранения, уточнения и извлечения таких данных, кроме предусмотренных законом случаев. Поэтому при аудите важно понимать, где физически находятся базы CRM, форм, хостинга и других систем, которые участвуют в первичном сборе и хранении данных.

Да. Ответственность зависит от конкретного состава нарушения: например, от отсутствия требуемого основания обработки, нарушений уведомительного порядка, требований к локализации или иных обязанностей оператора. Одной универсальной суммы «штрафа за сайт» нет, поэтому корректно сначала определить фактическое нарушение, а уже затем смотреть применимую норму ответственности и актуальную редакцию КоАП.

Такое согласие относится к ситуациям, когда персональные данные разрешаются субъектом для распространения, то есть становятся доступными неопределённому кругу лиц. 152‑ФЗ устанавливает для него отдельный порядок: оно оформляется отдельно от других согласий и позволяет человеку определить, какие категории данных можно распространять и на каких условиях. Обычное согласие формы заявки не следует автоматически считать согласием на распространение.

Да. Юридическая оценка не заканчивается на форме сайта. Важно понимать, куда отправляются данные после нажатия кнопки: в CRM, почтовый сервис, коллтрекинг, мессенджер, аналитику или подрядчику. Публичный сканер может увидеть часть таких интеграций, но фактический маршрут данных и роли участников иногда приходится уточнять отдельно.

Трансграничная передача возникает, когда персональные данные передаются на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. Для таких сценариев 152‑ФЗ устанавливает отдельный порядок, включая уведомление Роскомнадзора до начала такой деятельности. На сайте риск чаще всего связан с зарубежными сервисами, виджетами, аналитикой, CRM или другими внешними получателями данных.

Не каждую cookie можно автоматически считать персональными данными. Значение имеет то, какую информацию хранит идентификатор, с чем он связывается и позволяет ли прямо или косвенно определить человека. Поэтому на практике проверяют не само наличие cookie, а конкретные технологии, идентификаторы, цели и последующую передачу данных.

Универсального ответа «одинаковый баннер обязателен всем» нет. Нужно смотреть, какие cookie и сервисы используются, для каких целей они запускаются, на каком основании обрабатываются данные и есть ли у пользователя реальный выбор. Поэтому мы проверяем фактический сценарий загрузки счётчиков и виджетов, а затем сопоставляем его с интерфейсом и документами.

Это зависит от конкретного сервиса, состава данных, цели обработки и выбранного правового основания. Если интерфейс обещает пользователю возможность отказаться от необязательных технологий, но такие технологии уже запущены до его действия, сценарий нужно отдельно проверять. В аудите мы смотрим фактическую загрузку сервисов, а не только текст баннера.

Нужно учитывать реальные настройки счётчика, используемые функции и идентификаторы, цели обработки, сведения в политике и cookie-документах, а также то, когда именно счётчик начинает работу. Одна фраза «мы используем Метрику» в политике сама по себе не подтверждает корректность всего сценария.

Да, если они загружают сторонние ресурсы, устанавливают идентификаторы или передают данные пользователя внешнему сервису. Карта, онлайн-чат, callback, встроенное видео или кнопка мессенджера могут иметь разный сценарий работы, поэтому их оценивают по фактической загрузке и маршруту данных.

Да, для распространения рекламы по сетям электросвязи действует требование предварительного согласия адресата. Это касается рекламных сообщений по соответствующим каналам связи. При споре рекламораспространитель должен уметь доказать, что согласие было получено, а после требования прекратить рекламу — прекратить её направление.

Такой подход требует особой осторожности: это разные цели и разные требования к доказательству волеизъявления пользователя. На практике безопаснее не прятать рекламное согласие внутри общей формулировки о персональных данных и явно отделять согласие на получение рекламы от действий, необходимых для основной заявки.

Сначала нужно определить, является ли конкретный материал интернет-рекламой в смысле закона и распространяются ли на него требования учёта и маркировки. Не любой информационный блок о собственных товарах автоматически оценивается одинаково. Поэтому проверяют содержание, способ выделения материала, цель размещения, участников рекламной цепочки и применимые исключения.

Если для конкретной интернет-рекламы требуется идентификатор, он должен быть связан с рекламным материалом так, чтобы можно было определить, к какой рекламе он относится. Точный способ размещения зависит от формата рекламы. В рамках проверки мы смотрим сам материал, маркировку и связь идентификатора с рекламным размещением.

Решение зависит не от названия блока, а от содержания, контекста, способа подачи и того, формирует ли материал интерес к объекту рекламирования. Один и тот же элемент интерфейса в разных сценариях может оцениваться по-разному. Поэтому при аудите мы не ставим метку «реклама» только по наличию баннера или кнопки.

Набор зависит от фактической работы сайта. Для сайта со сбором персональных данных обычно важны политика и корректно оформленные основания обработки; для аналитики и cookie — описание соответствующих сценариев; для рекламных коммуникаций — рекламное согласие, когда оно требуется; для продажи товаров или услуг — договорные условия, сведения о продавце или исполнителе и другие применимые документы. Универсального пакета для всех сайтов нет.

Политика описывает обработку персональных данных оператором. Пользовательское соглашение регулирует правила использования сайта или сервиса. Оферта содержит условия заключения договора и приобретения товара или услуги. Эти документы решают разные задачи, поэтому один текст не следует автоматически использовать вместо всех остальных.

Нет. Общие требования могут пересекаться, но реквизиты, роль лица, модель продажи, состав услуг, способы оплаты и фактические процессы различаются. Поэтому документы лучше готовить под конкретного владельца сайта и реальную схему работы, а не менять в готовом шаблоне только название организации.

Проверяют сведения о продавце, описание товара, цену и условия приобретения, оплату и доставку, порядок оформления заказа, информацию о возврате и другие сведения, которые должны быть доступны покупателю при дистанционной продаже. Конкретный набор зависит от товара, модели продаж и применимых требований.

По общему правилу статьи 26.1 Закона о защите прав потребителей покупатель может отказаться от товара до его передачи, а после передачи — в течение семи дней. Если письменная информация о порядке и сроках возврата товара надлежащего качества не была предоставлена при доставке, срок увеличивается до трёх месяцев. Для конкретной ситуации нужно учитывать вид товара и актуальное регулирование; в 2026 году также действует позиция Конституционного Суда о возможности дистанционного способа возврата.

Шаблон может быть только отправной точкой. Документ должен соответствовать фактическому владельцу сайта, формам, целям обработки, аналитике, CRM, рекламе, способам оплаты и другим реальным сценариям. Если интерфейс работает одним образом, а документ описывает другой, наличие самого файла не решает проблему.

Нужно найти запись оператора и сверить не только сам факт наличия, но и сведения, которые относятся к вашей обработке данных. На «Сайте в норме» для этого используется отдельная проверка реестра. Результат полезно сопоставлять с тем, что реально происходит на сайте: формы, цели, категории данных и используемые сервисы.

Не автоматически. Сначала нужно определить, возникает ли у конкретного оператора обязанность направлять уведомление и не применяется ли предусмотренное законом исключение. Но если обязанность есть, отсутствие корректной записи становится значимым риском и требует отдельной проверки.

Да, 152‑ФЗ предусматривает отдельное уведомление о намерении осуществлять трансграничную передачу персональных данных. Оно направляется отдельно от общего уведомления об обработке персональных данных. До такого шага важно сначала установить сам факт трансграничной передачи и определить иностранные государства и получателей данных.

Да. Наличие записи в реестре — только часть картины. Если сайт начал собирать новые данные, подключил новые сервисы или изменил цели и маршруты обработки, фактическая работа может перестать соответствовать ранее заявленным сведениям. Поэтому при аудите реестр рассматривается вместе с формами, документами и интеграциями сайта.

В базовом ТЗ мы фиксируем, что найдено, на какой странице или в каком сценарии возникает проблема, что требуется изменить, приоритет задачи и критерий приёмки. Это рабочий документ для разработчика. Готовые юридические тексты в базовое ТЗ не входят.

В расширенном варианте к техническим задачам добавляются готовые юридические формулировки и документы под реквизиты и фактическую работу сайта: применимые политики, согласия, cookie-тексты, рекламные согласия и другие документы. Разработчику остаётся внедрить их в указанные места и проверить результат по критериям.

Да. Если у вас есть разработчик и специалист, который понимает юридическую часть, отчёт можно использовать как карту проблем и исправлять их своей командой. Если нужен более прикладной формат, можно заказать только ТЗ или передать нам документы и внедрение.

Да. В этом сценарии после аудита согласовывается объём работ, затем вносятся необходимые изменения в интерфейс и документы, проверяются формы и согласия, а после внедрения проводится контрольная проверка. Сделка создаётся уже после коммерческого обращения, а не автоматически после бесплатного отчёта.

Сайт меняется: появляются новые формы, виджеты, аналитика, рекламные сценарии и страницы. Одновременно меняются требования и практика их применения. Регулярный мониторинг помогает обнаружить новые риски после изменений и хранить историю повторных проверок, вместо того чтобы начинать аудит заново только после проблемы.