Как выбрать подрядчика, который закроет требования Роскомнадзора к сайту (152-ФЗ)

Требования Роскомнадзора к сайту: кто отвечает, если сайт приводит в порядок подрядчик

Если что-то пойдёт не так — штраф выпишут не подрядчику, а вам. Это меняет саму логику выбора: вопрос не «кому передать риск», а «кого нанять этим риском управлять».

Закон формулирует это прямо: если оператор поручает обработку персональных данных другому лицу, ответственность перед пользователем за действия этого лица несёт оператор (ч. 5 ст. 6 152-ФЗ). Оператор — это владелец сайта, его юрлицо или ИП. Подрядчик, которому поручили вести формы, CRM или рассылки, отвечает уже не перед пользователем и не по КоАП, а перед вами — по договору. Какую бы студию или фрилансера вы ни наняли, штраф по ст. 13.11 КоАП в любом случае прилетит вам.

Отдельный случай — если исполнитель иностранное лицо или использует зарубежную инфраструктуру для работы с вашими данными. Тогда действует другое правило: перед пользователем отвечают оба — и оператор, и иностранный обработчик (ч. 6 ст. 6 152-ФЗ). Это ещё один довод не отдавать данные клиентов первому попавшемуся зарубежному сервису.

Раз ответственность не передаётся вместе с задачей, выбирать подрядчика нужно осознанно — начиная не с цены, а с точного понимания, что именно нарушено на вашем сайте. Подробный разбор того, кто отвечает за утечку данных и нужен ли отдельный договор при поручении обработки третьим лицам, — тема двух других статей блога; здесь остановимся на самом выборе исполнителя.

С чего начинается проверка сайта на 152-ФЗ: независимый отчёт, а не прайс-лист рынка

Большинство сравнивают подрядчиков по прайс-листам: у кого дешевле «пакет под 152-ФЗ». Это неправильная точка отсчёта — сравнивать не с чем, пока вы не знаете, что конкретно нарушено у вас на сайте.

Официального реестра или аккредитации Роскомнадзора для подрядчиков-компаний, которые занимаются 152-ФЗ-комплаенсом, не существует. РКН ведёт реестр операторов персональных данных — то есть заказчиков, сайтов и компаний, которые данные обрабатывают, — а не список рекомендованных консультантов, юристов или веб-студий. Никакого лицензирования или сертификации этого рынка за последний год не появилось: печати качества как не было, так и нет, вся ответственность за выбор исполнителя — на вас.

Поэтому первый шаг — не сравнение смет, а независимый отчёт о нарушениях. С таким отчётом смета любого подрядчика проверяется по конкретным пунктам: «вот 4 находки, вот сколько стоит закрыть каждую» — а не покупается вслепую как абстрактный пакет.

Полный объём работ: что обязан закрыть нормальный подрядчик по 152-ФЗ

Чтобы сверить предложение любого исполнителя, держите перед глазами полный список типовых работ — не больше и не меньше:

1. Публикация политики обработки персональных данных по прямой ссылке (ст. 18.1 152-ФЗ; штраф за отсутствие — ч. 3 ст. 13.11 КоАП).
2. Корректные чекбоксы согласия в формах — непредзаполненные, а с 1 сентября 2025 года согласие оформляется отдельным документом, а не «вшито» в оферту или договор (ст. 9 152-ФЗ, доп. 156-ФЗ; штраф — ч. 2 ст. 13.11 КоАП).
3. Cookie-баннер и запуск аналитики или трекеров только после согласия пользователя.
4. Реквизиты оператора персональных данных на сайте.
5. Локализация — хранение и первичная обработка баз ПДн граждан РФ на территории России (ч. 5 ст. 18 152-ФЗ, 242-ФЗ; ужесточение с 1 июля 2025 года по 23-ФЗ; штраф — ч. 8/9 ст. 13.11 КоАП, самая дорогая позиция шкалы).
6. Подача уведомления в РКН и постановка на учёт в реестре операторов ПДн (ст. 22 152-ФЗ; штраф за неуведомление — ч. 10 ст. 13.11 КоАП).
7. Отдельное согласие на рекламную рассылку — email, SMS, мессенджеры — отдельно от согласия на обработку ПДн (ст. 18 38-ФЗ «О рекламе»; ответственность — ст. 14.3 КоАП).

Если подрядчик получает доступ к данным ваших клиентов — ведёт CRM, настраивает рассылки, работает с базой, — закон требует оформить это отдельным договором: с перечнем данных, перечнем операций, целями обработки и обязанностью соблюдать конфиденциальность и безопасность (ч. 3–4 ст. 6 152-ФЗ). Сам подрядчик отдельное согласие пользователя брать не обязан — это уже сделали вы как оператор. Но если он предлагает работать вообще без такого договора — это сигнал, что он не в курсе требований именно по персональным данным, а не только по вёрстке.

Фрилансер-юрист, веб-студия или специализированный сервис: кого выбрать под свою задачу

На рынке есть три типа исполнителей, и у каждого — свой типичный пробел.

Фрилансер-юрист

Закрывает документы: политику, тексты согласий, регистрацию в реестре операторов РКН. Но часто не трогает код — cookie-баннер, формы и трекеры остаются не настроены. Это закрывает примерно половину контура из списка выше.

Веб-студия

Закрывает код: баннер, формы и трекеры настроены технически грамотно. Но нередко использует шаблонные юридические документы без привязки к вашему бизнесу — риск получить недостоверную или нерелевантную политику, которая не спасёт при проверке.

Специализированный сервис

Претендует закрыть оба слоя сразу — и документы, и код. Но само по себе это не гарантия: к любому исполнителю такого типа применим тот же чек-лист ниже, принадлежность к «специализированным» не отменяет проверку.

Есть ситуации, где нужен именно юрист, а не типовой набор работ студии или сервиса, — например, спорная схема обработки данных или нестандартная трансграничная передача. Если ваш случай не укладывается в список типовых работ из предыдущего раздела, требования РКН к сайтам и помощь юриста здесь оправданы. Для большинства сайтов — интернет-магазинов, лендингов, сервисов с формами — достаточно типового набора работ, который умеет закрыть студия или специализированный сервис.

Чек-лист критериев добросовестного подрядчика — и как выглядит смета по находкам

Независимо от типа исполнителя, применяйте один и тот же чек-лист из шести пунктов.

1. Отчёт или методология с привязкой к конкретным статьям закона (152-ФЗ, 242-ФЗ, ст. 13.11 КоАП) — не общие слова «приведём в порядок». Это и есть проверка сайта на соответствие законодательству РФ по существу, а не на словах.
2. Смета по конкретным найденным нарушениям, а не абстрактный «пакет услуг под ключ» без разбивки — пример ниже.
3. Договор с описанием результата и гарантией доработки; если подрядчик получает доступ к данным ваших клиентов — договор должен отвечать требованиям ч. 3 ст. 6 152-ФЗ.
4. Компетенция сразу в двух областях — юридические документы и техническая реализация. Иначе закрывается только половина контура (см. предыдущий раздел).
5. Отсутствие обещаний «100% гарантии» и «невидимости для РКН» — подробнее в следующем разделе.
6. Возможность проверить исполнителя официально, а не только по отзывам на его сайте — как именно, разберём в конце статьи.

Как выглядит смета «по находкам» на практике? Ниже — пример из прайсбука сервиса «Сайт в порядке»: сколько стоит закрыть каждую позицию отдельно на разных платформах. Это иллюстрация того, из чего складывается стоимость проверки сайта на персональные данные и её исправления, а не образец цен всех подрядчиков рынка — если хотите проверить сайт на 152-ФЗ цену у конкретного исполнителя, требуйте именно такую разбивку по пунктам, а не одну общую сумму.

Это пример того, как выглядит смета по конкретным находкам, а не образец цен всех подрядчиков рынка. Для сравнения: устранить отсутствие локализации стоит 5 000–15 000 ₽, а штраф за то же нарушение для юрлица — 1 000 000–6 000 000 ₽ (ч. 8 ст. 13.11 КоАП). Разница на два порядка — именно поэтому смета «по находкам» важнее общей суммы пакета.

Красные флаги: чего не может обещать ни один нормальный подрядчик

Есть три сигнала, после которых стоит остановиться и поискать другого исполнителя.

• «Гарантируем 100% отсутствие штрафов» или «сделаем сайт невидимым для РКН». Конкретную сумму штрафа внутри вилки ст. 13.11 КоАП определяет суд с учётом обстоятельств дела — не подрядчик и не сервис проверки. К тому же законодательство здесь меняется быстро: только за 2025 год — три существенных изменения (420-ФЗ, 156-ФЗ, 23-ФЗ). Соответствие «на сегодня» не равно гарантии на будущее без регулярного пересмотра.
• «Аккредитован РКН» или «сертифицирован Роскомнадзором». Ни один официальный источник такую аккредитацию для подрядчиков не подтверждает: Роскомнадзор ведёт реестр операторов персональных данных, то есть заказчиков, а не реестр консультантов или студий. Реклама с такой формулировкой — признак завышенных обещаний, а не государственного подтверждения.
• Работа вообще без договора там, где подрядчик получает доступ к данным ваших клиентов — CRM, рассылки, база. Это прямой сигнал, что исполнитель не в курсе требований ч. 3–4 ст. 6 152-ФЗ, о которых мы говорили выше.

Как проверить исполнителя перед оплатой — и с чего начать сегодня

Перед оплатой стоит проверить подрядчика не только по словам на его сайте, но и через официальные сервисы. Выписка из ЕГРЮЛ/ЕГРИП покажет, кто фактически стоит за компанией или ИП и как давно она зарегистрирована. Картотека арбитражных дел kad.arbitr.ru — судился ли исполнитель с заказчиками: споры о некачественных услугах или невозврате денег видны там напрямую.

Соберём всё в одну последовательность: получите независимый отчёт о нарушениях; сверьте предложение подрядчика с полным объёмом работ из списка выше; прогоните исполнителя через чек-лист из шести критериев; проверьте контрагента официально; убедитесь, что нет ни одного красного флага. Это и есть настоящая защита от РКН — не разовая покупка «услуги», а осознанный выбор того, кто реально закроет требования Роскомнадзора к сайту.