Начните с фактической схемы сайта
Требования 152‑ФЗ зависят от того, какие персональные данные сайт собирает, для каких целей, куда они передаются и какие сервисы участвуют в обработке. Формы, регистрация, заказ, аналитика, CRM, чаты, телефония и рассылки нужно рассматривать как связанные элементы одной системы.
Для проверки удобно разделить задачу на пять частей: точки сбора данных, основания обработки, публичные документы, внешние сервисы и обязанности оператора перед Роскомнадзором.
Какие элементы сайта могут участвовать в обработке персональных данных
Персональные данные определяются через связь информации с определённым или определяемым физическим лицом. Важен не только тип поля, но и контекст.
| Элемент | Что может собираться | Что проверить |
|---|---|---|
| Форма заявки | Имя, телефон, email, комментарий | Цель, основание, согласие, маршрут в CRM |
| Регистрация | Email, телефон, профиль, история действий | Срок хранения, доступ, удаление аккаунта |
| Заказ | ФИО, адрес, телефон, состав заказа | Договорная цель, доставка, CRM, маркетинг |
| Аналитика | Cookie, идентификаторы, устройство, поведение | Сервис, настройки, политика, фактическая загрузка |
| Чаты и callback | Контакт, история обращения, запись разговора | Получатель данных, договор, срок хранения |
Что проверить на сайте по 152‑ФЗ
Проверка начинается с публичных страниц и заканчивается внутренними процессами компании.
Все точки сбора
Заявки, квизы, подписки, регистрация, заказ, отзывы и формы в модальных окнах.
Цели обработки
Для каждой точки сбора определите конкретную цель и набор необходимых данных.
Согласия
Проверьте отдельность, конкретность, действие пользователя и возможность подтвердить факт получения.
Политика
Содержание должно совпадать с текущими формами, сервисами, целями и сроками.
Подрядчики и сервисы
CRM, аналитика, телефония, рассылки и чаты нужно включить в фактическую схему обработки.
Внутренние меры
Документы, доступы, сроки хранения, уничтожение и меры защиты проверяются уже внутри компании.
Публичная политика должна соответствовать реальной работе сайта
Статья 18.1 требует принять и опубликовать политику обработки персональных данных и обеспечить к ней доступ. Для сайта важно сверить её с фактическими сценариями.
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иной информации и документов, которые подтверждает или подписывает субъект.
Проверьте уведомление Роскомнадзора и запись в реестре
Статья 22 устанавливает общее правило уведомления до начала обработки с прямо предусмотренными исключениями.
- Опишите процессы.Какие данные, цели, категории субъектов и способы обработки используются.
- Проверьте применимость исключений.Не ориентируйтесь на старые памятки: пункты 1–6 части 2 статьи 22 утратили силу с 1 сентября 2022 года.
- Сверьте запись в реестре.Цели, категории данных и сведения о системах должны соответствовать актуальным процессам.
- Обновляйте сведения.При изменениях проверьте обязанность направить актуальные сведения в установленный законом срок.
CRM, аналитика и подрядчики меняют фактическую схему обработки
Если обработку выполняет внешний сервис, проверьте его роль и договорные условия. Часть 3 статьи 6 устанавливает требования к поручению обработки другому лицу.
| Сервис | Что проверить | Связанный вопрос |
|---|---|---|
| CRM | Какие данные передаются, где хранятся, кто имеет доступ | Поручение обработки, локализация, безопасность |
| Яндекс Метрика | Настройки счётчика, политика, момент запуска | Обработка по поручению, cookie, аналитика |
| Иностранная аналитика | Получатель, страна, категории данных | Локализация и трансграничная передача |
| Рассылки | Контакт, цель, доказательство согласия | 152‑ФЗ и отдельное рекламное согласие |
Чек-лист 152‑ФЗ для сайта
Зафиксируйте ответ по каждому пункту и привяжите его к конкретной странице, форме или сервису.
- Составлен список всех точек сбора данных.
- Для каждой формы определена цель и набор данных.
- Политика соответствует фактической работе сайта.
- Согласия оформлены отдельно и связаны с конкретной целью.
- Сохраняется доказательство согласия, когда оно используется.
- Учтены CRM, аналитика, телефония, чаты и рассылки.
- Проверена локализация баз данных.
- Проверены зарубежные получатели и трансграничные сценарии.
- Проверен статус уведомления РКН.
- Внутренние документы и меры защиты соответствуют фактическим процессам.
Нормативная база
Ключевые обязанности для сайтов закреплены в 152‑ФЗ.
Частые вопросы
Ответ зависит от реальных процессов, поэтому проверяйте не только тексты сайта.
Если на сайте нет формы, 152‑ФЗ не касается сайта?
Отсутствие формы не исключает обработку через личный кабинет, заказ, аналитику, чаты, cookie и другие сервисы.
Достаточно разместить политику в футере?
Нужно проверить доступность документа на страницах сбора и соответствие его содержания текущей работе сайта.
Сканер может подтвердить полное соответствие 152‑ФЗ?
Публичный аудит фиксирует факты на сайте. Для договоров, внутренних мер, сроков хранения и безопасности нужны данные компании.
Проверка сайта на 152‑ФЗ →Политика ПДн →Проверить сайт →
Что проверить дальше
Связанные требования и сценарии, которые обычно нужно сверять вместе.
Проверьте, относится ли этот риск к вашему сайту
Сканирование покажет публичные признаки, а после проверки можно выбрать точечное ТЗ, документы или полное исправление.
Исправить под ключ
Подготовим согласованные тексты, внесём изменения на сайт и повторно проверим результат.
Регулярно контролировать
Повторные проверки после изменений сайта с историей результатов и новыми замечаниями.