Как Роскомнадзор проверяет сайты в 2026 году: что регулятор видит онлайн

Коротко: как начинается контроль сайта

Визит инспектора — далеко не единственная точка входа. Публичный сайт уже содержит достаточно сведений для первичной оценки: название оператора, политика, формы, набор полей, тексты согласий, контакты, подключённые виджеты и технические запросы браузера. Эти данные можно сопоставить с записью в реестре операторов персональных данных и с информацией, которую компания ранее сообщала Роскомнадзору.

Законодательство предусматривает наблюдение за соблюдением обязательных требований без взаимодействия с оператором. Регулятор изучает размещённую в интернете информацию и доступные ему сведения. Основанием для такой работы могут стать обращения, публикации, информация государственных органов либо плановое задание. Владелец сайта в этот момент продолжает обычную работу и может узнать о вопросах позже — например, из запроса, предостережения или решения о контрольном мероприятии.

Поэтому эта статья посвящена тому, как Роскомнадзор видит публичный сайт и какие связи способен проверить. Для пошаговой внутренней подготовки есть отдельный чек-лист сайта по 152-ФЗ: там разобраны инвентаризация форм, тестовые заявки, хранение и исправления.

Какие правила определяют порядок контроля

Государственный контроль за обработкой персональных данных строится на Федеральном законе № 248-ФЗ и специальном Положении, утверждённом Постановлением Правительства № 1046 [1]. В актуальной редакции Положения описаны контрольные мероприятия, сроки, профилактика, дистанционное взаимодействие, фиксация результатов и действия после выявления нарушений [2].

Предмет контроля шире одной веб-страницы. Роскомнадзор оценивает соблюдение обязательных требований к обработке персональных данных оператором. Сайт выступает публичным и технически доступным фрагментом процесса. Он показывает, какие сведения компания предлагает передать, кому пользователь их сообщает и как этот сценарий объяснён.

Перечень обязательных требований охватывает принципы и основания обработки, конфиденциальность, согласия, специальные категории данных, обязанности оператора, меры защиты, ответы субъектам, устранение нарушений, уведомления и работу ответственного лица [12]. Отсюда важный практический вывод: красивой политики в подвале недостаточно. Публичный интерфейс, внутренняя схема и официальные сведения должны описывать один и тот же процесс.

Наблюдение без взаимодействия с оператором

Наблюдение за соблюдением обязательных требований проводится без обращения к компании. Роскомнадзор анализирует информацию, размещённую в интернете, сведения, поступившие в ведомство, и данные межведомственного обмена. Это самостоятельная форма контрольной работы, а не сокращённая выездная проверка.

На практике публичный просмотр позволяет ответить на несколько базовых вопросов:

• какое лицо называет себя владельцем и оператором сайта;
• есть ли действующая политика и можно ли открыть её со страницы сбора данных;
• какие формы, поля, загрузки файлов и пользовательские сценарии доступны;
• как оформлено согласие, если компания выбрала его правовым основанием;
• какие домены и сервисы получают запросы при открытии страницы и отправке формы;
• совпадают ли публичные сведения с реестром операторов;
• нет ли в открытом доступе данных клиентов, сотрудников или заявителей.

Результат наблюдения оформляется внутри ведомства. В зависимости от выявленных обстоятельств возможны предостережение, предложение устранить расхождение, требование уточнить сведения, решение о проведении контрольного мероприятия либо другие меры в пределах полномочий. Положение № 1046 также предусматривает требование исправить, заблокировать или уничтожить незаконно обрабатываемые либо неточные данные в установленный срок.

Три вида контрольных мероприятий

Положение № 1046 предусматривает инспекционный визит, документарную и выездную проверки. У каждого формата свой набор действий и предельный срок.

Изменения 2025 года закрепили дистанционные сценарии: профилактический визит и отдельные контрольные действия могут проводиться по видеосвязи или через мобильное приложение «Инспектор» [3]. Фото- и видеофиксация также может выполняться средствами приложения.

Формат влияет на процедуру, однако содержание вопросов часто возвращается к одним и тем же фактам: какие данные получает компания, на каком основании, кто участвует в обработке, где закреплены сроки и меры защиты, как исполняются обращения людей и насколько официальные документы соответствуют работающим системам.

Что видно на публичном сайте

Регулятору доступна та же версия сайта, которую видят клиент, кандидат или партнёр. Разница заключается в цели просмотра: отдельные элементы складываются в карту обработки данных.

1. Реквизиты оператора. Название организации или предпринимателя, адрес, контакты, сведения в оферте и политике должны согласовываться между собой.
2. Точки сбора. Обратный звонок, заказ, регистрация, подписка, вакансия, комментарий, чат, калькулятор и загрузка документов показывают разные цели и категории субъектов.
3. Объём полей. Статья 5 закона связывает содержание и объём данных с заявленной целью. Дополнительные обязательные поля требуют понятного объяснения.
4. Публичные документы. По ссылкам видно дату, оператора, цели, категории данных, порядок обращений и круг получателей.
5. Сценарий действия. Текст кнопки, подпись под формой, состояние переключателей и подтверждение отправки показывают, какое действие совершает человек.
6. Техническая сторона. Код страницы и сетевые запросы позволяют увидеть подключённые домены, виджеты и точки приёма данных.
7. Открытая выдача. Поиск, кэш, каталоги файлов и публичные профили иногда раскрывают сведения, которые компания считала внутренними.

Сама по себе загрузка внешнего скрипта ещё не доказывает нарушение. Значение имеет фактический набор сведений, цель, роль получателя, выбранное основание и отражение процесса в документах. Аналогично длинная политика не подтверждает соответствие, когда формы и интеграции работают иначе.

Как сайт сопоставляют с реестром операторов

До начала обработки оператор обычно направляет уведомление Роскомнадзору. Узкие исключения перечислены в статье 22 закона № 152-ФЗ. Сведения попадают в публичный реестр операторов персональных данных, поэтому их можно проверить по названию или ИНН.

Для каждой заявленной цели уведомление содержит категории субъектов и данных, правовое основание, перечень действий, способы обработки, меры защиты, сведения об ответственном, дату начала, условие прекращения и место базы. Официальные формы уведомления, сообщения об изменениях и прекращении обработки утверждены приказом Роскомнадзора № 180 [7].

Изменившиеся сведения передаются не позднее пятнадцатого числа месяца, следующего за месяцем изменения. О прекращении обработки сообщают в течение десяти рабочих дней. Для регулятора актуальность реестра — самостоятельный проверяемый факт, а несоответствие сайта и уведомления входит в систему индикаторов риска.

Политика обработки персональных данных

Часть 2 статьи 18.1 требует публиковать политику и сведения о реализуемых требованиях к защите данных. Когда сбор идёт через сайт, доступ к документам обеспечивают на страницах, где человек передаёт сведения [6].

Регулятор может проверить доступность ссылки и содержание документа без обращения к компании. В политике важны конкретные процессы: цели, правовые основания, категории субъектов и данных, способы, сроки обработки и хранения, порядок уничтожения, обращения людей и меры по выполнению обязанностей оператора. Рекомендации Роскомнадзора помогают собрать логичную структуру документа [13].

Самые заметные расхождения возникают после развития сайта. Компания добавляет личный кабинет, подбор персонала, онлайн-запись или новый отдел продаж, а политика продолжает описывать только обратную связь. Иногда документ перечисляет множество возможных сервисов и целей «на всякий случай», хотя фактическую схему из него восстановить невозможно.

Рабочая политика отвечает на вопросы обычным языком: кто оператор, что получает, зачем, кому поручает обработку, как долго хранит и куда направить обращение. Юридическая точность при этом сохраняется. Для регулятора ценна связь документа с реальными действиями, а для посетителя — возможность понять последствия отправки формы.

Формы и согласия

Форма показывает цель обработки лучше многих внутренних документов. Название, состав полей и кнопка создают понятный сценарий: заказать звонок, оформить покупку, зарегистрироваться или отправить резюме. Роскомнадзор может сопоставить этот сценарий с принципами статьи 5, основаниями статьи 6, требованиями к согласию и публичной политикой.

Согласие — один из возможных правовых механизмов. Для действий, необходимых по инициативе человека для заключения или исполнения договора, закон предусматривает отдельное основание. Поэтому одинаковый чекбокс под всеми формами часто маскирует разную природу процессов.

Когда компания использует согласие, статья 9 требует, чтобы оно было свободным, конкретным, предметным, информированным, сознательным и однозначным. Доказать факт получения и содержание действовавшего текста обязан оператор. С 1 сентября 2025 года согласие оформляется отдельно от других документов и информации, которые подтверждает человек; изменение внесено Федеральным законом № 156-ФЗ [9].

На публичной странице можно увидеть только интерфейс. Полная проверка затрагивает и запись: дату, форму, версию текста, идентификатор заявки, действие пользователя и исполнение отзыва. Хорошо настроенная система позволяет связать каждое подтверждение с конкретной целью, а не хранит общий признак «согласен».

Cookie, аналитика и сторонние скрипты

В этой теме встречается много категоричных советов. Закон не относит автоматически каждый cookie к персональным данным и не задаёт один обязательный вид баннера для всех сайтов. Оценка зависит от конкретного идентификатора, связанных с ним сведений и возможности прямо или косвенно определить человека.

Поэтому при просмотре сайта важнее фактическая инвентаризация:

• какие cookie, идентификаторы браузера и записи localStorage создаются;
• какие запросы уходят при первом открытии и после действий посетителя;
• какие параметры получают аналитика, чат, коллтрекинг, капча и другие компоненты;
• кто выступает получателем или обработчиком и для какой цели;
• какое основание использует оператор и как процесс описан в политике;
• сколько хранятся сведения и как меняется набор подключений через менеджер тегов.

Файл cookie или внешний домен сами по себе не дают окончательного правового вывода. Сначала фиксируют технические факты, затем определяют роль данных в конкретном процессе. Если основанием выбрано согласие, применяются требования статьи 9 и оператору потребуется подтвердить действие человека. В остальных случаях важно точно описать основание и информирование.

Такой подход полезен и для общения с регулятором: вместо общей фразы «на сайте есть аналитика» компания показывает перечень компонентов, цели, настройки, получателей, сроки и принятую модель обработки.

Какие документы могут запросить

Публичный сайт даёт отправную точку, а документы объясняют, как оператор управляет процессом. Статья 18.1 прямо предусматривает предоставление Роскомнадзору документов и иных подтверждений принятых мер по запросу.

Состав зависит от вопроса и деятельности компании. Обычно полезно заранее поддерживать в актуальном состоянии:

• политику и локальные акты по отдельным целям обработки;
• реестр процессов с категориями данных, субъектами, основаниями, сроками и системами;
• приказ о назначении ответственного и описание его полномочий;
• формы согласий и доказательства их получения, когда используется это основание;
• договоры и поручения лицам, которые обрабатывают данные для оператора;
• порядок обработки обращений субъектов и журнал их исполнения;
• правила хранения, прекращения обработки и подтверждения уничтожения;
• результаты внутреннего контроля, оценки вреда и ознакомления сотрудников;
• описание организационных и технических мер защиты;
• план реагирования на инциденты и материалы проведённых разборов;
• копию актуального уведомления Роскомнадзора и историю изменений.

По статье 20 оператор предоставляет запрошенную уполномоченным органом информацию в течение десяти рабочих дней. При мотивированном уведомлении срок может быть продлён максимум на пять рабочих дней [6]. Быстро собрать качественный ответ получается у компаний, где документы связаны с владельцами процессов и версиями систем.

Индикаторы риска

Индикатор риска — это установленный признак, при котором Роскомнадзор может принять решение о внеплановом контрольном мероприятии. Действующий перечень утверждён приказом Минцифры № 1187 [5].

Для владельца обычного сайта особенно показательны три группы обстоятельств:

• десять и более несоответствий между информацией в ответах оператора и сведениями в обращениях граждан за календарный год;
• десять и более фактов открытого доступа или распространения баз, сведения в которых указывают на их принадлежность оператору;
• три и более факта несоответствия данных в уведомлении Роскомнадзора информации, которую оператор публикует на сайте во исполнение статьи 18.1.

Эти формулировки объясняют, почему важны согласованность ответов и регулярное обновление официальных сведений. Один отдел пишет политику, другой меняет форму, третий отвечает на обращение — для регулятора всё это действия одного оператора.

Сильная профилактика строится вокруг единого реестра: у каждой цели есть владелец, формы и системы, правовое основание, документы, срок хранения и дата последней проверки. Тогда обновление сайта автоматически превращается в задачу проверить уведомление и публичные тексты.

Что происходит после обнаружения расхождений

Реакция зависит от характера факта, риска и процедуры, в которой он установлен. После наблюдения регулятор может оформить докладную записку, выдать предостережение либо принять решение о дальнейшем контроле. В предусмотренных случаях оператор получает требование исправить, заблокировать или уничтожить незаконно обрабатываемые или неточные данные.

Контрольное мероприятие завершается актом. Когда нарушение сохраняется к его окончанию, выдаётся предписание с конкретным сроком. Отдельные обстоятельства могут стать основанием для производства по делу об административном правонарушении.

Статья 21 закона № 152-ФЗ задаёт сроки реакции самого оператора: неточные сведения исправляют в течение семи рабочих дней после подтверждения; неправомерную обработку прекращают в течение трёх рабочих дней; если обеспечить правомерность невозможно, данные уничтожают в течение десяти рабочих дней. Об инциденте, повлёкшем нарушение прав субъектов, сообщают Роскомнадзору в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов.

С 30 мая 2025 года КоАП отдельно предусматривает ответственность за отсутствие или просрочку уведомления о начале обработки, а также за нарушение срока сообщения об инциденте. Изменения внесены Федеральным законом № 420-ФЗ [8]. Текущие составы и размеры санкций собраны в статье 13.11 КоАП [11].

Что изменилось в 2025–2026 годах

Изменения 2026 года по Постановлению № 833 относятся к процедуре обжалования: заявитель вправе приложить документы, а сведения, уже имеющиеся у государственных органов, контролирующий орган получает самостоятельно [4]. Для повседневной работы сайта важнее накопительный эффект изменений 2025 года: актуальное уведомление, отдельное согласие там, где оно служит основанием, управляемая схема данных и готовность к дистанционному контролю.

Как увидеть сайт глазами регулятора

Быстрая проверка начинается с публичных фактов и занимает меньше времени, чем разбор всей системы. Она не заменяет юридический и технический аудит, зато показывает самые заметные расхождения.

1. Найдите оператора в реестре. Сохраните запись и выпишите цели, категории субъектов, способы обработки и дату обновления.
2. Откройте сайт как новый посетитель. Соберите URL всех форм, личных кабинетов, подписок, вакансий, калькуляторов, чатов и файловых загрузок.
3. Сравните реквизиты. Политика, оферта, контакты, форма и реестр должны называть правильного оператора.
4. Разберите каждую форму. Зафиксируйте цель, поля, обязательность, ссылку на политику и действие пользователя.
5. Посмотрите сетевые запросы. Составьте перечень доменов и компонентов, которые получают сведения при загрузке и отправке.
6. Сопоставьте факты с уведомлением. Отметьте новые цели, категории данных, системы и изменившиеся реквизиты.
7. Проверьте открытый доступ. Поиск по домену, каталоги файлов и публичные карточки помогают увидеть случайно опубликованные сведения.
8. Назначьте владельцев исправлений. Для каждого расхождения нужны ответственное лицо, срок, подтверждение результата и решение об обновлении уведомления.

Подробную практическую работу удобно продолжить по материалам «Чек-лист сайта по 152-ФЗ» и «Чек-лист документов по 152-ФЗ». Первая страница посвящена технической цепочке сайта, вторая — внутреннему комплекту оператора. Текущий материал отвечает на другой вопрос: какие сведения регулятор способен увидеть и сопоставить ещё до полноценной проверки.

Частые вопросы

Может ли Роскомнадзор проверить сайт без предварительного уведомления владельца?

Да. Наблюдение за соблюдением обязательных требований проводится без взаимодействия с оператором. Регулятор может изучить публичные страницы, сведения реестра и другую доступную информацию. Контрольное мероприятие оформляется по отдельной процедуре.

Запрос Роскомнадзора уже означает начало документарной проверки?

Сам по себе запрос сведений в связи с обращением ещё не является документарной проверкой. Ответ всё равно направляют в установленный срок: он должен быть точным, подтверждаемым и согласованным с фактической работой сайта.

Нужен ли чекбокс согласия под каждой формой?

Для каждой цели сначала определяют правовое основание. Когда им служит согласие, оператор фиксирует конкретное, информированное, сознательное и однозначное действие. Закон оценивает содержание и доказуемость согласия, а универсальный интерфейс для всех сценариев не устанавливает.

Обязательна ли cookie-плашка для любого сайта?

Единого правила для всех cookie и одного обязательного вида плашки нет. Сначала изучают идентификаторы, связанные сведения, цели, получателей и возможность определить человека. После этого выбирают основание обработки и подходящий способ информирования.

Сколько времени даётся на ответ Роскомнадзору?

Оператор предоставляет необходимую информацию в течение десяти рабочих дней. Срок можно продлить максимум на пять рабочих дней, направив мотивированное уведомление с причиной.

Где разместить политику обработки персональных данных?

Документ публикуют в свободном доступе. На страницах, через которые собираются персональные данные, посетителю обеспечивают доступ к политике и сведениям о реализуемых требованиях к защите.

Когда обновлять уведомление Роскомнадзора?

Изменившиеся сведения сообщают не позднее пятнадцатого числа следующего месяца. О прекращении обработки уведомляют в течение десяти рабочих дней. После запуска новой формы или системы полезно сразу проверить, затронула ли доработка данные реестра.

Может ли проверка пройти дистанционно?

Да. После изменений 2025 года профилактические визиты и отдельные контрольные действия могут проводиться по видеосвязи и с использованием мобильного приложения «Инспектор».

Официальные источники

1. Постановление Правительства РФ от 29.06.2021 № 1046, Положение о федеральном контроле за обработкой персональных данных.
2. Постановление Правительства РФ № 1046 в актуальной редакции, контрольные мероприятия, наблюдение и сроки.
3. Постановление Правительства РФ от 27.08.2025 № 1286, профилактические визиты и дистанционный контроль.
4. Постановление Правительства РФ от 03.07.2026 № 833, изменения процедуры обжалования.
5. Приказ Минцифры России от 15.11.2021 № 1187 в актуальной редакции, индикаторы риска нарушения обязательных требований.
6. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», официальный консолидированный текст.
7. Приказ Роскомнадзора от 28.10.2022 № 180, формы уведомлений об обработке, изменении сведений и прекращении обработки.
8. Федеральный закон от 30.11.2024 № 420-ФЗ, изменения административной ответственности с 30.05.2025.
9. Федеральный закон от 24.06.2025 № 156-ФЗ, отдельное оформление согласия с 01.09.2025.
10. Федеральный закон от 28.02.2025 № 23-ФЗ, уточнение требований к операциям с базами данных с 01.07.2025.
11. Статья 13.11 КоАП РФ в актуальной редакции, ответственность за нарушения в области персональных данных.
12. Перечень обязательных требований Роскомнадзора от 16.12.2025, требования, соблюдение которых оценивается при контроле.
13. Рекомендации Роскомнадзора по составлению политики обработки персональных данных.

Источники и редакции нормативных актов проверены 10.08.2026.