Чек-лист сайта по 152-ФЗ на 2026 год: формы, согласия и уведомление Роскомнадзора

Что проверяет этот чек-лист

Здесь собрана техническая проверка публичного сайта: формы, согласия, политика, подключённые сервисы, маршрут заявки, хранение и удаление. Отдельный чек-лист документов по 152-ФЗ помогает проверить внутренний комплект компании, а материал о полном аудите сайта охватывает более широкий объём.

Проверка начинается с фактов. Сначала находят все точки сбора и прослеживают тестовую заявку, затем сопоставляют результат с целями, правовыми основаниями, политикой и сведениями в реестре операторов.

Составьте карту сбора данных

Главная форма обычно очевидна. Больше сюрпризов дают старые посадочные страницы, всплывающие окна, виджеты, калькуляторы и служебные разделы. Просмотрите сайт как новый посетитель и как зарегистрированный клиент.

• обратная связь, заказ звонка и расчёт стоимости;
• корзина, быстрый заказ, доставка и возврат;
• регистрация, личный кабинет и восстановление пароля;
• резюме, загрузка файлов, заявки партнёров и поставщиков;
• подписка, запись на мероприятие и запрос материалов;
• чат, коллтрекинг, онлайн-запись, отзывы и комментарии;
• формы на поддоменах, старых лендингах и мобильной версии.

Для каждой точки заведите строку с полями: URL, назначение формы, состав данных, обязательные поля, основание обработки, получатели, место хранения, срок и способ удаления. Добавьте владельца процесса — отдел или сотрудника, который отвечает за результат.

Дополните карту источником формы. Одинаково выглядящие формы могут работать по разным схемам: одна отправляет запрос в собственный PHP-обработчик, другая загружается из конструктора, третья вызывает API через менеджер тегов. Для проверки важен фактический обработчик, а не подпись на кнопке.

Отдельно просмотрите страницы, которые редко открывают сотрудники: результат поиска, страница ошибки, старые рекламные адреса, поддомены, тестовые кабинеты и сохранённые версии лендингов. Полезно выгрузить список URL из sitemap и аналитики, а затем сопоставить его с перечнем форм. Такой проход обнаруживает точки сбора, о которых уже забыли владельцы основного сайта.

Определите цель и основание обработки

Статья 5 закона требует конкретных и заранее определённых целей, соответствующего им состава данных и ограниченного срока хранения [1]. Формулировка «для деятельности компании» слишком широка. Для сайта понятнее: ответ на обращение, оформление заказа, создание аккаунта, подбор кандидата, отправка рекламных сообщений.

Согласие — один из вариантов основания. Для действий, необходимых по инициативе человека для заключения договора или его исполнения, может применяться пункт 5 части 1 статьи 6. Для каждой формы основание выбирают отдельно и фиксируют в реестре. Такой подход избавляет от автоматической установки одинакового чекбокса на все сценарии.

Таблица служит рабочей заготовкой, а не универсальным выбором основания. У одной компании обращение сразу запускает подготовку договора, у другой попадает в маркетинговую квалификацию. Описание должно соответствовать реальному процессу после нажатия кнопки.

Проверьте каждую форму

1. Название и назначение. Пользователь понимает, что произойдёт после отправки.
2. Состав полей. Обязательными остаются данные, без которых сценарий действительно не работает.
3. Подсказки. Поля с адресом, документами и свободным комментарием объясняют ожидаемый формат.
4. Ссылка на политику. Доступ к политике есть непосредственно со страницы сбора, как предусматривает часть 2 статьи 18.1.
5. Согласие, когда оно выбрано основанием. Текст открывается отдельно, содержит конкретную цель и позволяет установить версию.
6. Результат отправки. Заявка попадает только в согласованные системы, а пользователь получает понятное подтверждение.
7. Ошибки. Техническая диагностика не выводит персональные данные, токены, пути сервера и служебные подробности.
8. Вложения. Тип, размер и доступ к файлам ограничены; опасные форматы проходят проверку.

HTML-чекбокс — удобный способ зафиксировать однозначное действие, но закон не устанавливает универсальный вид элемента для любой формы. Важно доказать выбранное основание и связать запись с действовавшим текстом.

Отдельное согласие с 1 сентября 2025 года

Если обработка основана на согласии, с 1 сентября 2025 года оно оформляется отдельно от иной информации и документов, которые подтверждает или подписывает человек. Изменение внесено Федеральным законом № 156-ФЗ [2].

Для сайта это означает самостоятельный текст согласия и подтверждаемое действие, ясно связанное именно с ним. Абзац внутри оферты или общее подтверждение сразу нескольких документов создают риск смешения целей. В записи о согласии полезно сохранять:

• идентификатор формы и URL;
• версию текста согласия или неизменяемую ссылку на версию;
• дату и время действия;
• идентификатор заявки или пользователя;
• технические сведения, которые компания обоснованно использует для подтверждения факта;
• событие отзыва и результат его выполнения.

Подписка на рекламу представляет самостоятельную цель. Удобно отделить её от ответа на заявку или оформления заказа, чтобы выбор рассылки оставался добровольным и воспроизводимым.

Как проверить интерфейс согласия

Откройте форму в новом браузере и пройдите сценарий как посетитель. Название оператора, цель и ссылка на полный текст должны быть доступны до отправки. Подтверждение связывается с одной понятной целью; дополнительные сценарии, например рекламная подписка, получают собственный выбор. После теста выгрузите запись из системы и проверьте, можно ли по ней восстановить текст, действовавший в этот момент.

Заранее отмеченный элемент ослабляет доказательство осознанного выбора. Практичнее использовать активное действие посетителя и понятную ошибку при его отсутствии. IP-адрес и технический отпечаток добавляют в журнал только при обоснованной необходимости: накопление лишних идентификаторов противоречит принципу минимизации.

Политика и публичные документы

Политика должна совпадать с работающим сайтом. Сверьте наименование и контакты оператора, цели, категории субъектов и данных, способы обработки, сроки, порядок обращений и уничтожения. Если на сайте указана одна компания, а форма отправляет заявку другой организации, этот разрыв требует отдельного решения.

Проверьте доступность документа:

• ссылка открывается без авторизации и ошибок;
• рядом с каждой точкой сбора есть путь к актуальной версии;
• старые формы и лендинги не ведут на удалённый файл;
• мобильная версия показывает ссылку до отправки;
• история версий позволяет определить текст на дату конкретного действия.

Для проверки внутреннего комплекта используйте отдельный материал: «Чек-лист документов по 152-ФЗ». Здесь важна связь публичного текста с интерфейсом и реальным движением данных.

Уведомление Роскомнадзора

Статья 22 предусматривает уведомление Роскомнадзора до начала обработки, кроме узких исключений. Обычная форма сайта выполняет автоматизированную обработку, поэтому большинству компаний следует проверить наличие и актуальность записи в реестре.

Сопоставьте с сайтом цели, категории субъектов и данных, действия, способы обработки, меры защиты, ответственного и место базы. Изменения сообщаются не позднее 15-го числа следующего месяца, прекращение обработки — в течение десяти рабочих дней. Формы утверждены приказом Роскомнадзора № 180 [3].

Проверка через публичный реестр операторов занимает несколько минут. Затем сравните найденную запись с новой CRM, формами, целями и адресом базы.

Сначала корректируют фактический реестр процессов, затем на его основе заполняют уведомление. Обратная последовательность часто приводит к красивому перечню целей, который расходится с формами и системами.

Локализация и фактический маршрут заявки

С 1 июля 2025 года часть 5 статьи 18 прямо перечисляет операции, которые при сборе данных граждан России должны выполняться с использованием баз данных в России: запись, систематизация, накопление, хранение, уточнение и извлечение [4].

Проверьте цепочку браузер → обработчик формы → база сайта → CRM → почта → очередь → архив и резервная копия. Российское размещение веб-сервера описывает только один элемент. Подробная методика приведена в материале о локализации персональных данных в 2026 году.

1. Отправьте тестовую заявку с уникальным маркером.
2. Сохраните сетевые запросы браузера.
3. Найдите запись в базе, CRM, почте и журналах.
4. Проверьте регионы основной базы, реплик и копий.
5. Сверьте результат с договорами и уведомлением.

Cookie, аналитика и сторонние скрипты

В российском законодательстве нет универсальной нормы, которая объявляет любой cookie персональными данными или задаёт один обязательный вид баннера для всех сайтов. Оценка зависит от состава идентификаторов и возможности связать сведения с определённым человеком.

Поэтому полезна инвентаризация, а не формальная проверка наличия плашки:

• какие cookie, localStorage и идентификаторы создаются;
• какие внешние домены загружаются до и после действий пользователя;
• какие параметры передаются в аналитике, коллтрекинге, чате и капче;
• кто получает сведения и сколько их хранит;
• какое основание выбрано и как оно отражено в политике;
• как меняется состав тегов через менеджер тегов.

Если конкретная обработка основана на согласии, к нему применяются требования статьи 9. Решение о запуске конкретного счётчика принимают после оценки его данных, целей и настроек, а не по одному названию инструмента.

Практическая проверка скриптов

Откройте сайт в чистом профиле браузера, сохраните запросы при первом просмотре, затем повторите тест после действий с плашкой. Для каждого внешнего домена зафиксируйте владельца, назначение, параметры запроса и срок хранения. Отдельно проверьте менеджер тегов: его настройки способны изменить состав получателей без выпуска новой версии сайта.

Сессионный идентификатор корзины, аналитический идентификатор и телефон из коллтрекинга выполняют разные задачи. Их правовой и технический режим оценивают раздельно. Формулировка «сайт использует cookie» сама по себе не объясняет цели и состав обработки.

Договоры с обработчиками

CRM, хостер, служба поддержки, сервис рассылки и подрядчик могут обрабатывать данные по поручению оператора. В договоре или приложении фиксируют перечень данных и действий, цели, конфиденциальность, требования локализации, меры защиты, обязанность подтверждать их и сообщать об инцидентах.

Для каждого поставщика соберите карточку: юридическое лицо, роль в обработке, системы, набор данных, место баз, субподрядчики, срок и порядок удаления. Затем сравните карточку с фактическими запросами сайта.

Хранение, удаление и защита

Срок хранения связывают с целью и основанием. Фраза «храним бессрочно» редко объясняет рабочую потребность. Определите момент начала срока, событие завершения и систему, которая запускает удаление.

Подтверждение уничтожения регулируется приказом Роскомнадзора № 179 [6]. Для сайта заранее проверьте, как удалить запись из CRM, почты, файлового хранилища, поискового индекса и предусмотренных копий.

Базовый технический контроль включает HTTPS, актуальные компоненты, разграничение прав, многофакторную защиту административных аккаунтов, журналирование, резервное копирование с восстановлением и план действий при инциденте. Конкретный набор мер определяют по системам, угрозам и характеру данных.

Проверьте готовность к инциденту

Назначьте канал, по которому сотрудник или подрядчик сообщает об утечке, ошибочной публикации либо открытом доступе. В карточке инцидента полезны время обнаружения, затронутая система, предполагаемый состав данных, принятые меры и ответственный за связь с Роскомнадзором. Часть 3.1 статьи 21 устанавливает этап уведомления уполномоченного органа в течение 24 часов и направление результатов внутреннего расследования в течение 72 часов [1].

Тест плана проводят без реальных данных: создают учебную запись, имитируют ошибочный доступ, проверяют оповещение и собирают хронологию. Такой сценарий показывает, где отсутствуют журналы, контакты владельца системы или возможность быстро ограничить доступ.

Итоговый самотест

Результатом проверки становится реестр форм, схема движения данных, список расхождений с приоритетами и протокол повторного теста после исправлений. Такой комплект помогает поддерживать сайт при следующих релизах.

Перед завершением соберите короткую встречу владельца сайта, специалиста по документам и администратора систем. Владелец подтверждает назначение формы, специалист сверяет цель и основание, администратор показывает фактические получатели и удаление тестовой записи. Расхождение фиксируют как конкретную задачу: URL, ожидаемое поведение, найденный маршрут, ответственное лицо и срок повторной проверки. Такой формат полезнее отметки «соответствует», потому что сохраняет проверяемую связь между интерфейсом, документами и настройками.

Для последующих релизов добавьте в чек-лист приёмки два вопроса: появляется ли новая точка сбора и меняется ли получатель уже собираемых данных. Положительный ответ запускает обновление карты и тестовую отправку до публикации.

Частые вопросы

Нужно ли согласие под каждой формой?

Сначала определяется основание конкретной обработки. Согласие подходит для одних целей, обработка для заключения или исполнения договора — для других. Одинаковая механика для всех форм часто скрывает реальную логику.

Можно ли объединить согласие с офертой?

С 1 сентября 2025 года согласие на обработку персональных данных, когда оно используется, оформляется отдельно от иной подтверждаемой информации и документов.

Обязателен ли чекбокс?

Закон требует конкретного, информированного, сознательного и однозначного согласия и возлагает доказательство его получения на оператора. Чекбокс — распространённый технический способ, но итог оценивается по всему сценарию и записи о действии.

Нужно ли уведомление при одной форме обратной связи?

Форма выполняет автоматизированную обработку. Проверьте применимость узких исключений статьи 22; для типичного коммерческого сайта уведомление обычно требуется.

Где разместить политику?

На сайте в свободном доступе и непосредственно на страницах, через которые собираются данные. Ссылка должна работать на десктопе и мобильном устройстве.

Что хранить как доказательство согласия?

Идентификатор формы и заявки, дату и время, версию самостоятельного текста, зафиксированное действие пользователя и последующие события отзыва. Набор технических идентификаторов выбирают соразмерно цели подтверждения.

Можно ли запросить в комментарии любые сведения?

Свободное поле лучше сопровождать подсказкой о содержании. Для первичного обращения обычно достаточно описания задачи; документы и чувствительные сведения запрашивают через подготовленный защищённый канал, когда понятны цель, доступ и срок хранения.

Что делать после подключения новой CRM?

Провести тестовую отправку, проверить место базы, роли, журналы и копии, оформить отношения с обработчиком, затем актуализировать внутренний реестр, уведомление Роскомнадзора и публичные документы. Проверка охватывает также старую CRM и предусмотренное удаление записей из неё.

Когда обновлять проверку?

После подключения новой формы, CRM, виджета, аналитики, хостинга, почты или хранилища, а также при изменении целей и состава данных. Плановая ежегодная сверка помогает обнаружить накопившиеся изменения.

Официальные источники

1. Федеральный закон № 152-ФЗ «О персональных данных», официальный консолидированный текст. Проверено 10.08.2026.
2. Федеральный закон от 24.06.2025 № 156-ФЗ, отдельное оформление согласия с 01.09.2025.
3. Приказ Роскомнадзора от 28.10.2022 № 180, формы уведомлений.
4. Федеральный закон от 28.02.2025 № 23-ФЗ, изменения требований локализации.
5. Федеральный закон от 30.11.2024 № 420-ФЗ, изменения ответственности с 30.05.2025.
6. Приказ Роскомнадзора от 28.10.2022 № 179, подтверждение уничтожения персональных данных.