Требования 152-ФЗ к сайту: чек-лист и штрафы
Актуально на 09.11.2026. Материал носит справочный характер и не является юридической консультацией.
Если сайт собирает имена, телефоны или e-mail через формы, его владелец — оператор персональных данных, и на него распространяется Федеральный закон № 152-ФЗ «О персональных данных». Ниже — что конкретно должно быть на сайте и вокруг него, со ссылками на нормы и штрафами по статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года.
Автоматическая проверка за несколько секунд: ссылка на политику, чекбоксы согласия, счётчики и cookie-баннер, зарубежные сервисы.
Чек-лист
1. Политика обработки персональных данных опубликована
Документ, определяющий политику оператора, и сведения о реализуемых требованиях к защите данных публикуются на страницах сайта, через которые собираются данные (часть 2 статьи 18.1). На практике — отдельная страница, например /privacy, и ссылка на неё в подвале и рядом с каждой формой. Текст можно собрать в бесплатном образце политики.
Штраф (часть 3 статьи 13.11 КоАП): гражданам — 1 500–3 000 ₽, ИП — 10 000–20 000 ₽, организациям — 30 000–60 000 ₽.
2. Согласие — отдельным документом и отдельным чекбоксом
С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов (часть 1 статьи 9). Одна галочка «согласен с политикой и офертой» не подходит. Нужна отдельная страница с текстом согласия и неотмеченный чекбокс со ссылкой на неё в каждой форме, где согласие требуется. Для заказа, когда данные нужны для исполнения договора, согласие не требуется (пункт 5 части 1 статьи 6). Подробнее — в статье о согласии отдельным документом, текст можно собрать в генераторе.
Штраф за обработку без согласия, когда оно нужно, или за согласие без обязательных сведений (часть 2 статьи 13.11): гражданам — 10 000–15 000 ₽, ИП и должностным лицам — 100 000–300 000 ₽, организациям — 300 000–700 000 ₽. ИП отвечают как должностные лица по общему правилу статьи 2.4 КоАП.
3. Уведомление Роскомнадзора подано
До начала обработки оператор уведомляет Роскомнадзор (часть 1 статьи 22), а при изменении сведений — не позднее 15-го числа следующего месяца (часть 7). Проверить себя можно в реестре операторов на pd.rkn.gov.ru по ИНН. Как подать — в пошаговой инструкции.
Штраф за неподачу или несвоевременную подачу (часть 10 статьи 13.11): гражданам — 5 000–10 000 ₽, ИП и организациям — 100 000–300 000 ₽ (ИП по этой части отвечают как юридические лица).
4. Данные хранятся в базах данных в России
При сборе персональных данных граждан России, в том числе через интернет, записывать, систематизировать, накапливать и хранить их с использованием баз данных за пределами России нельзя (часть 5 статьи 18). Проверьте, где находятся хостинг сайта, CRM и сервис, куда приходят заявки.
Штраф (часть 8 статьи 13.11): гражданам — 30 000–50 000 ₽, ИП и организациям — от 1 до 6 млн ₽.
5. Счётчики статистики — после согласия в cookie-баннере
Яндекс Метрика и другие счётчики собирают идентификаторы cookie и IP-адреса. Надёжный вариант — запускать их только после нажатия «Принять» в баннере и описать это в политике. Как это сделать — в статье про Метрику и cookie.
6. Зарубежные сервисы — отдельная процедура
Google Analytics, зарубежные CRM, формы и рассылки — трансграничная передача. До её начала нужно отдельное уведомление (часть 3 статьи 12), а сведения о мерах защиты получатель должен предоставить заранее (часть 5 статьи 12). Обычно проще заменить такие сервисы российскими.
7. Рассылка — только с отдельным согласием на рекламу
Для рекламной рассылки нужно предварительное согласие абонента (часть 1 статьи 18 Федерального закона № 38-ФЗ «О рекламе»). Это отдельный необязательный чекбокс в форме подписки, не совмещённый с согласием на обработку заявки.
8. Отзывы с именами — согласие на распространение
Публикация имени автора отзыва — распространение персональных данных. Для неё нужно отдельное согласие по статье 10.1. Подробнее — в статье об отзывах.
Что проверить в первую очередь
Самые частые проблемы, которые видно прямо на странице: нет ссылки на политику рядом с формой, нет отдельного чекбокса согласия или галочка стоит заранее, счётчики запускаются до согласия. Их показывает бесплатная проверка — форма в начале статьи.