Требования 152-ФЗ к сайту: чек-лист из 30 пунктов для владельца бизнеса
https://1lider.ru/chek-list-152-fz/
Редакция Himedia · Обновлено 2026-10-18

Проверять нужно весь путь данных: от первого визита до удаления записи в CRM. Этот чек-лист связывает публичные страницы с внутренними процессами и помогает распределить работу между владельцем, разработчиком и специалистом по персональным данным.

• Сначала составьте карту обработки, затем сверяйте с ней документы и настройки.
• Найденный документ и зелёный результат сканера не доказывают полноту соблюдения закона.
• Фиксируйте конкретную находку, ответственного и подтверждение исправления по каждому пункту.

Как пользоваться чек-листом

Для каждого пункта поставьте один из статусов: выполнено, нужно исправить, нужно выяснить или не применяется с объяснением причины. Не заменяйте отсутствие информации отметкой «всё хорошо». В рабочей таблице добавьте ссылку на страницу или систему, ответственного, срок и доказательство результата.

Начните с одной реальной заявки и проследите все её копии. Затем пройдите остальные типовые сценарии: заказ, подписку, чат, регистрацию, аналитику. Проверяйте мобильную версию и страницы, на которые пользователи приходят из рекламы напрямую.


Пример записи задачи
Пункт 12: в форме расчёта на странице услуги заранее отмечено согласие. Ответственный: разработчик. Результат: отметка по умолчанию снята, сервер проверяет необходимый выбор, версия текста фиксируется вместе с заявкой. Подтверждение: тестовый сценарий и запись в журнале.

1–5. Карта данных и роли участников

• 1. Определён оператор: кто решает, зачем и какие данные использовать; реквизиты совпадают с документами и бизнесом.
• 2. Собраны все точки получения: формы, чат, заказ, личный кабинет, загрузки файлов, аналитика и внешние виджеты.
• 3. Для каждой цели перечислены действительно нужные данные; лишние обязательные поля удалены или обоснованы.
• 4. Прослежены все получатели и копии: CMS, CRM, почта, таблицы, подрядчики, мессенджеры, резервные копии.
• 5. По каждой цели определено правовое основание и подтверждающие сведения; согласие не объявлено универсальным решением.

Результат блока — понятная карта обработки. Она становится основой для остальных документов и проверок.
152-ФЗ: текст закона на сайте Минтруда: https://mintrud.gov.ru/docs/laws/130

6–10. Публичные документы

• 6. Политика опубликована и открывается без регистрации; доступ обеспечен на страницах сбора данных.
• 7. В политике указаны правильный оператор, рабочие контакты и область действия.
• 8. Цели, состав данных, получатели и сроки в тексте соответствуют реальным системам.
• 9. Там, где используется согласие, подготовлен самостоятельный текст; он не растворён в оферте или общем описании сайта.
• 10. У документов есть управляемые версии; предыдущие редакции можно сопоставить с событиями получения согласия.
Подготовить политику по структуре: https://1lider.ru/guides/politika-dlya-sayta/
Проверить опубликованную политику: https://1lider.ru/proverka-politiki-konfidencialnosti/
Статья 18.1: политика и обязанности оператора: https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/
Статья 9: условия и подтверждение согласия: https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/

11–15. Формы и пользовательский выбор

• 11. Перед отправкой человек видит цель и может открыть применимые документы, включая форму в попапе и чате.
• 12. Согласие, когда оно служит основанием, выражается действием пользователя; отметка не проставлена заранее.
• 13. Сервер проверяет необходимые условия приёма заявки; отказ нельзя обойти отключением клиентского JavaScript.
• 14. Рекламные цели отделены от основной заявки; отказ от добровольной рассылки не превращается в автоматическую подписку.
• 15. Сохраняется соразмерное доказательство получения согласия: событие, цель, версия текста и связь с обращением.
Настроить согласие и фиксацию выбора: https://1lider.ru/guides/soglasie-na-sayte/
Проверить формы сканером: https://1lider.ru/proverka-form-i-soglasiy/
Статья 9: условия и подтверждение согласия: https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/

16–20. Cookie, аналитика и внешние сервисы

• 16. Составлен фактический перечень технологий, идентификаторов, целей и получателей; учтены разные источники подключения.
• 17. Для технологий, работающих на согласии, настроено управление запуском до пользовательского выбора.
• 18. Отказ и выбор отдельных категорий действительно меняют обработку, а не только скрывают баннер.
• 19. Можно изменить решение; повторный визит и переход между страницами учитывают сохранённый выбор.
• 20. Проверены виджеты, отложенные события и серверные интеграции, которые нельзя оценить только по списку cookie.
Настроить и проверить cookie-баннер: https://1lider.ru/guides/cookie-banner/
Запустить браузерную проверку cookie: https://1lider.ru/proverka-cookie/

21–25. CRM, подрядчики и государственные уведомления

• 21. Установлено фактическое расположение баз и применимость требований локализации; вывод не сделан только по домену или IP.
• 22. Роли и обязанности подрядчиков определены; поручения и условия передачи соответствуют реальной цепочке.
• 23. Проверена обязанность уведомить Роскомнадзор, наличие записи и актуальность сведений оператора.
• 24. Отдельно разобрана трансграничная передача и применимые требования статьи 12, если такая передача существует.
• 25. Сроки хранения и прекращения обработки определены по целям; копии в почте, таблицах и резервных системах учтены.
Подготовить уведомление Роскомнадзора: https://1lider.ru/guides/uvedomlenie-roskomnadzora/
152-ФЗ: действующая редакция и изменения: https://www.consultant.ru/document/cons_doc_LAW_61801/
Статья 22: уведомление и сроки изменения сведений: https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/

26–30. Защита, обращения и регулярный контроль

• 26. Доступ сотрудников и подрядчиков ограничен задачами; учётные записи и секреты не используются бесконтрольно совместно.
• 27. Каналы передачи и технические меры соответствуют рискам; HTTPS проверен, но не считается всей системой защиты.
• 28. Работает порядок обращений, уточнения данных и отзыва согласия: назначен ответственный, известны системы и действия.
• 29. Подготовлен порядок реагирования на инциденты, включая оценку применимых обязанностей уведомления и сохранение фактов.
• 30. После изменений сайта повторяются соответствующие проверки; результаты, документы и задачи сохраняются в управляемом виде.
152-ФЗ: текст закона на сайте Минтруда: https://mintrud.gov.ru/docs/laws/130
152-ФЗ: действующая редакция и изменения: https://www.consultant.ru/document/cons_doc_LAW_61801/

Как распределить задачи между людьми

Распределение работ не означает автоматического переноса законной ответственности с оператора на подрядчика. Роли и условия взаимодействия нужно определить документально.


Практическое распределение ответственности за работы
Участник | Что обычно выясняет или делает | Что получает на выходе
Владелец бизнеса | Оператор, цели, реальные процессы, ресурсы на исправления | Подтверждённая карта обработки и решения
Специалист по персональным данным | Основания, документы, уведомления, специальные случаи | Правовые требования и согласованные формулировки
Разработчик | Формы, сервер, загрузка тегов, интеграции, доступы | Проверяемые изменения в системе
Маркетолог/менеджер | Рассылки, аналитика, использование CRM, копии заявок | Корректные сценарии работы с контактами
Ответственный за контроль | Приёмка, версии, обращения и изменения | Журнал задач и подтверждений

В каком порядке исправлять найденное

Приоритет зависит от фактов и последствий. Не сортируйте задачи только по максимальному штрафу, показанному в стороннем аудите: применимость санкции зависит от состава нарушения и обстоятельств.


Рабочая очерёдность без универсального расчёта штрафов
Уровень | Примеры ситуации | Первое действие
Срочно разобраться | Открытая база, утечка, неконтролируемая передача | Ограничить проблему, сохранить факты и запустить порядок реагирования
Исправить сценарий сбора | Нет нужного основания, не работает отказ, избыточные данные | Оценить остановку конкретной обработки и изменить процесс
Привести документы в соответствие | Неверный оператор, отсутствующая политика, устаревшие сведения | Исправить текст и доступ, проверить связанные уведомления
Наладить поддержку | Нет владельца документа, тестов или контроля версий | Встроить проверки в изменения сайта

Если выявлен инцидент, не откладывайте реакцию до завершения полного SEO- или юридического аудита.

Что можно узнать автоматически, а что потребует доступа к бизнесу

Himedia показывает 33 контрольных пункта в полном формате. Этот организационный чек-лист содержит 30 задач и не является копией нумерации сканера: часть работ касается процессов, недоступных внешнему обходу.


Граница публичного сканирования
Автоматически можно искать | Нужно подтверждать отдельно
Ссылки и доступность документов | Полноту описания реальных процессов
Поля, чекбоксы и исходные состояния | Правовое основание и доказательства в CRM
Доступные запросы, cookie и сторонние домены | Все серверные передачи и условия у получателей
HTTPS и открытые технические признаки | Общую достаточность системы защиты
Охват страниц и причины пропусков | Полное соблюдение законодательства оператором
Методика и ограничения Himedia: https://1lider.ru/metodika/

Как принять исправления и не потерять результат

Цель приёмки — подтвердить исправленное поведение. Уменьшение числа замечаний из-за меньшего охвата или недоступной страницы не считается улучшением.

• Зафиксировать исходную находку и конкретный адрес либо систему.
• Проверить исправление тем же сценарием: страница, режим, лимит и действия должны быть сопоставимы.
• Провести ручную приёмку там, где автоматический отчёт не видит результат.
• Сохранить версию документов, запись проверки и ответственного.
• Назначить поводы для повторного контроля: новая форма, сервис, получатель, цель или изменение закона.
Запустить проверку сайта: https://1lider.ru/#proverka

ВОПРОСЫ И ОТВЕТЫ

Достаточно ли поставить политику и cookie-баннер?
Нет. Они относятся к публичной части. Основания, реальная загрузка сервисов, работа CRM, сроки, договоры и защита требуют отдельной проверки.

Этот чек-лист заменяет юридический аудит?
Он помогает организовать первичную работу и распределить задачи. Полная оценка зависит от бизнеса, категорий данных, технологий и специальных требований.

Для лендинга требования проще, чем для магазина?
Объём работы зависит от фактических процессов. У небольшого лендинга может быть сложная цепочка аналитики, чата и рассылок; количество страниц само по себе не определяет обязанности.

Если нет форм, можно не проверять персональные данные?
Нужно учитывать другие технологии и способы обращения: аналитику, виджеты, учётные записи, серверные журналы и работу с контактами. Отсутствие видимой формы не даёт полного ответа.

Что означает статус «нужно выяснить»?
Для вывода не хватает фактов: например, неизвестно место базы или автоматический обход не увидел форму. Назначьте ответственного за уточнение вместо необоснованного статуса «выполнено».

Нужно ли проверять мобильную версию отдельно?
Да, интерфейс, попапы, чат и баннер могут вести себя иначе. Проверьте видимость документов, доступность выбора и фактическую отправку в основных сценариях.

Как часто повторять проверку?
Проверяйте затронутые процессы после существенных изменений. Дополнительную периодичность установите по рискам и частоте обновлений; единого универсального интервала для всех сайтов здесь нет.

Можно ли сложить все возможные штрафы из отчёта?
Такой расчёт может вводить в заблуждение. Нужно установить конкретные обстоятельства, субъект ответственности и применимость норм. Технические находки сами по себе не доказывают все составы нарушений одновременно.

Что делать с фото клиентов и сотрудников на сайте?
Публичное размещение может затрагивать отдельные требования к распространению персональных данных и использованию изображения. Не считайте общее согласие на заявку разрешением на публикацию.

Что делать после зелёного отчёта сканера?
Сверить охват, выполнить ручные пункты и подтвердить внутренние процессы. Отсутствие найденных внешним обходом признаков риска не является гарантией полного соответствия.

Примеры требуют адаптации к фактической обработке. Материал не является готовым юридическим документом.

152-ФЗ: текст закона на сайте Минтруда: https://mintrud.gov.ru/docs/laws/130
152-ФЗ: действующая редакция и изменения: https://www.consultant.ru/document/cons_doc_LAW_61801/
Статья 18.1: политика и обязанности оператора: https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/
Статья 9: условия и подтверждение согласия: https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/
Статья 22: уведомление и сроки изменения сведений: https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/