Сразу договоримся о рамке: этот текст — не про «100% защиту за 48 часов». Это план приоритизации — что из типовых нарушений 152-ФЗ реально закрыть своими руками за два дня, а что физически или регламентно не уложится в выходные, и что делать с этим остатком уже в понедельник.
Почему привести сайт в порядок нужно уже сейчас, а не «когда-нибудь»
После реформы 420-ФЗ, вступившей в силу 30 мая 2025 года, штрафы по ст. 13.11 КоАП выросли кратно — это не гипотеза, а действующая редакция закона. Но по-настоящему меняет расклад другое: по данным отраслевых СМИ, с конца 2025 — начала 2026 года Роскомнадзор больше не ждёт жалоб от пользователей. Сайты в зонах .ru/.рф/.su сканирует автоматизированный бот, который имитирует поведение обычного посетителя: ищет формы сбора данных, проверяет счётчики аналитики, сверяет владельца сайта с открытым реестром операторов ПДн.
Топ нарушений, которые находит бот (по тем же источникам) — это предустановленные чекбоксы согласия, отсутствие подтверждения ознакомления с политикой, неописанная Яндекс.Метрика или Google Analytics, устаревшие документы, отсутствие в реестре операторов, фото сотрудников без согласия. Присмотритесь к списку: это ровно те вещи, которые реально закрыть за выходные.
Важно: самый частый и самый дорогой из «простых» составов ст. 13.11 КоАП — отсутствие письменного согласия на обработку персональных данных (ч. 2): для юрлица это 300 000–700 000 ₽. Именно это чаще всего находит бот РКН.
Что штрафы — уже не абстракция, доказывает волна дел по локализации в феврале–мае 2026 года: Miro (Realtimeboard Inc.) — 2 млн ₽, NIC.UA — 6 млн ₽ повторно, Electronic Arts, Take-Two, NetEase, Battlestate Games и Epic Games — по 2 млн ₽ каждая (подробный разбор — в статье о локализации персональных данных). Для контраста: по данным ComNews, за утечки данных в 2025 году выписали всего 6 штрафов на 570 тыс. ₽ при 118 зафиксированных утечках. А вот «нет документа», «нет чекбокса», «не в реестре» — то, что массово ловит бот-мониторинг. Значит, именно это и чиним в первую очередь.
| Нарушение | Часть ст. 13.11 КоАП | ИП | Юрлицо |
|---|---|---|---|
| Обработка ПДн без законного основания | ч. 1 | 50 000–100 000 ₽* | 150 000–300 000 ₽ |
| Обработка без письменного согласия | ч. 2 | 100 000–300 000 ₽* | 300 000–700 000 ₽ |
| Нет / не опубликована политика ПДн | ч. 3 | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
| Не предоставлена информация субъекту | ч. 4 | 20 000–30 000 ₽ | 40 000–80 000 ₽ |
| Неуведомление РКН об обработке ПДн | ч. 10 | 100 000–300 000 ₽ | 100 000–300 000 ₽ |
| Локализация баз ПДн вне РФ, первично | ч. 8 | 1 000 000–6 000 000 ₽ | 1 000 000–6 000 000 ₽ |
| То же нарушение, повторно | ч. 9 | 6 000 000–18 000 000 ₽ | 6 000 000–18 000 000 ₽ |
* — примечание 1 к ст. 13.11 КоАП охватывает части 1.1 и 8–18, а значит и ч. 10 (неуведомление РКН): по этим частям ИП отвечают наравне с юрлицом, суммы штрафов совпадают. А вот ч. 1 и ч. 2 в перечень примечания 1 не входят — там действует общее правило КоАП (примечание к ст. 2.4): ИП штрафуют как должностное лицо, то есть 50 000–100 000 ₽ по ч. 1 и 100 000–300 000 ₽ по ч. 2.
Пятница вечер: проверка сайта на 152-ФЗ — с чего начинается план
План на выходные бессмысленно начинать вслепую — сначала нужен список конкретных проблем именно вашего сайта, а не общий чек-лист «для всех». Проще всего проверить сайт онлайн по 152 фз на сайтвпорядке.рф: сервис прогоняет 17 автоматических проверок за 1–2 минуты, включая сверку ИНН оператора с открытым реестром pd.rkn.gov.ru, поиск трекеров без согласия, чекбоксов без прикреплённого согласия и анализ политики на полноту пунктов.
Результат — не просто список ошибок, а основа для приоритизации. Простое правило: чините в первую очередь то, где риск штрафа высокий, а трудозатраты низкие — недописанный чекбокс правится за час, перенос базы данных из-за границы — нет. Пример отчёта аудита на соответствие 152-фз показывает и сумму возможного штрафа, и конкретные найденные нарушения — именно с этим списком вы и идёте в субботу.
Не знаете, какие пункты 152-ФЗ нарушены на вашем сайте?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтСуббота: документы, которые реально закрыть за один день
Проверку сайта на соответствие законодательству рф начните именно с документов: политика обработки персональных данных и, если нужно, отдельное согласие — самая массовая и при этом самая быстрая в починке категория нарушений.
Политику конфиденциальности закон обязывает опубликовать в свободном доступе (ст. 18.1 152-ФЗ). Отсутствие или неопубликование — самый массовый, но не самый дорогой состав: до 60 000 ₽ для юрлица (ч. 3 ст. 13.11 КоАП). Если у вас уже есть черновик или старая версия — за субботу реально проверить и дополнить документ по чек-листу (подробный разбор пунктов — в статье «Политика конфиденциальности: что должно быть»).
Письменное согласие на обработку ПДн обязательно, если нет другого законного основания (ст. 9 152-ФЗ). Нарушение здесь — самый дорогой из «простых» составов для юрлиц: до 700 000 ₽ по ч. 2 ст. 13.11. Отдельный нюанс: с 1 сентября 2025 года согласие должно оформляться отдельным документом, а не быть частью договора или оферты (Федеральный закон № 156-ФЗ). Хорошая новость для плана на выходные — это касается только новых согласий: те, что вы собрали раньше, переоформлять задним числом не нужно.
Важно: без письменного согласия на обработку ПДн (или без отдельного документа для новых форм, собранных после 1 сентября 2025 года) юрлицу грозит до 700 000 ₽ — это самый дорогой из «простых» составов ст. 13.11 КоАП.
Воскресенье: чекбоксы, cookie-баннер и согласие на аналитику
Документ на бумаге или в CMS без технического воплощения не работает. Воскресенье — про то, чтобы реально внедрить три вещи: чекбокс в форме (не предустановленный по умолчанию), cookie-баннер и отложенную загрузку Яндекс.Метрики или Google Analytics до момента согласия посетителя.
Отдельно про аналитику: 152-ФЗ дословно не упоминает Метрику или GA, но на практике их использование выводится из определения персональных данных (ст. 3) и обязанности получать согласие (ст. 9) — трекер, идентифицирующий посетителя по cookie или ID устройства, трактуется правоприменителем как обработка ПДн. Формально это скорее практика, чем прямая норма закона, но именно она чаще всего фигурирует в находках бота-мониторинга РКН — а значит, закрывать её нужно в первую очередь.
- Чекбокс согласия в каждой форме сайта — не отмечен заранее, ссылка на документ согласия рядом (подробнее — в статье про чекбокс согласия в форме).
- Cookie-баннер с реальным выбором «принять/отклонить», а не декоративная плашка без функции.
- Отложенная загрузка Метрики/GA — счётчик стартует только после согласия (разбор — в статье про согласие на Метрику и аналитику).
- Политика конфиденциальности прямо упоминает, какие трекеры используются и зачем.
Что не уложится в выходные — и почему (честно)
Без этого раздела план превратился бы в переобещание. Есть минимум три категории нарушений, которые физически или регламентно не закрываются за два дня.
- Локализация персональных данных (242-ФЗ). Если база реально лежит у иностранного облачного провайдера — CRM, email-сервиса, хостинга форм — это отдельный технический проект: перенос базы, проверка резервных копий, пересмотр договора с хостером. За выходные можно только диагностировать, где физически хранятся данные (подробный разбор — в статье о локализации ПДн).
- Реестровая запись в реестре операторов ПДн. Саму подачу уведомления в РКН можно успеть за один день на портале pd.rkn.gov.ru. Но официальное включение в реестр — регламентная процедура РКН сроком до 30 календарных дней с момента поступления уведомления (ч. 4 ст. 22 152-ФЗ), и от заявителя это не зависит. По логике закона обязанность «уведомить» формально исполняется в момент отправки — то есть подать заявку стоит уже в выходные, не дожидаясь появления записи в реестре, но это не железная гарантия отсутствия штрафа.
- Сложные юридические кейсы — трансграничная передача данных, спецкатегории персональных данных, договорные правки с контрагентами. Это работа для юриста или индивидуального разбора, а не типового чек-листа.
Ещё два честных момента. Первый: замена штрафа на предупреждение при первом нарушении в принципе возможна (ст. 4.1.1 КоАП для малого и среднего бизнеса), но не гарантирована — решает контролирующий орган индивидуально, рассчитывать на неё как на данность не стоит. Второй, специально для ИП: примечание 1 к ст. 13.11 приравнивает ИП к юрлицам по части 1.1 и 8–18 — это касается и локализации (ч. 8, 9: те же суммы, до 6 млн ₽ первично и до 18 млн ₽ повторно), и неуведомления РКН (ч. 10: в т.ч. 100 000–300 000 ₽). Статус ИП здесь не спасает — отвечают как юрлицо.
Важно: не путайте факт подачи уведомления с закрытой историей — реестровая запись появится не раньше чем через месяц, а сама подача не даёт железной гарантии отсутствия штрафа по ч. 10 ст. 13.11.
Если план на выходные закрыл не всё — сверьтесь с полным списком требований Роскомнадзора к сайту и пройдитесь по нему ещё раз уже без спешки.
Понедельник: что делать с тем, что не влезло, и итоговый чек-лист
Понедельник — не про панику, а про то, чтобы отдать нерешённое в правильные руки: часть задач — юристу, часть — под ключ сервису.
Ориентир по ценам услуги «Исправим за вас»: документ под ключ — 15 000 ₽, весь пакет документов — 60 000 ₽, настройка чекбоксов согласия — от 5 000 ₽, cookie-баннер — 5 000–20 000 ₽ в зависимости от платформы, сопровождение подачи уведомления в РКН — 25 000 ₽, устранение нарушения локализации — 5 000–15 000 ₽ (это только консультационно-техническая настройка на стороне сайта, без стоимости самого переноса инфраструктуры или облака), легализация трансграничной передачи данных — 55 000 ₽.
Вот и цифра-контраст на конец плана: неопубликованная политика конфиденциальности — это до 60 000 ₽ штрафа для юрлица. А весь пакет документов под ключ у сервиса — тоже около 60 000 ₽, но это не штраф, а готовое решение сразу по всем документам.
- Пятница — бесплатная проверка сайта, список нарушений.
- Суббота — документы: политика конфиденциальности и, если нужно, отдельное согласие.
- Воскресенье — техника: чекбоксы, cookie-баннер, отложенная загрузка трекеров.
- Понедельник — то, что не влезло: локализация, реестр, сложные случаи — юристу или «Исправим за вас».
Отдельно: если планируете рекламные email- или SMS-рассылки, согласие на них регулируется не 152-ФЗ, а статьёй 18 закона «О рекламе» (38-ФЗ) — это соседняя, но отдельная тема, не путайте её с согласием на обработку персональных данных.