Типичные нарушения 152-ФЗ на сайте: 10 ошибок малого бизнеса, которые видно сразу

Почему «как у всех» — плохой ориентир

14 августа 2026 года заместитель руководителя Роскомнадзора Милош Вагнер привёл цифры: за полтора года ведомство проверило 159,1 тыс. интернет-сайтов и выявило нарушения на 135,95 тыс. из них. Это примерно девять сайтов из десяти. Отсюда простой вывод: «у соседа так же, значит нормально» — плохой ориентир, потому что самые распространённые нарушения на сайтах давно стали нормой рынка, а не редкостью.

Список ниже устроен так, чтобы им можно было пользоваться прямо сейчас. Откройте свой сайт в соседней вкладке, а в нём — страницу с формой заявки и подвал. Девять пунктов из десяти проверяются глазами, десятый — одним взглядом на адресную строку. По каждому пункту мы даём одно и то же: как это выглядит, почему это нарушение, цена вопроса и что нужно, чтобы закрыть.

• Форма заявки без чекбокса согласия — или галка стоит заранее.
• Одна галка на всё: обработка данных и рекламная рассылка вместе.
• Текст согласия нигде не раскрыт: слово «Согласен» без ссылки.
• Политика скачана у соседа: чужое название, чужой домен, чужой город.
• Ссылка на политику битая, ведёт в PDF или попап, стоит только на главной.
• На сайте не понять, кто владелец и кто отвечает за данные.
• Cookie-баннера нет, а счётчики пишут посетителя с первой секунды.
• Метрика с Вебвизором и записью форм — пишет, но никого не предупредили.
• Данные уезжают за границу: иностранные формы, CRM, рассылки, аналитика, шрифты и CDN.
• Сайт без HTTPS — форма отправляет имя и телефон открытым текстом.

Рассчитывать, что до маленького сайта никому нет дела, не стоит. Роскомнадзор сканирует сайты в зонах .RU, .РФ и .SU автоматически: система ищет формы ввода данных, проверяет наличие согласия и политики, смотрит на передачу данных за рубеж — и только при расхождениях материалы уходят инспектору. А с 1 января 2026 года дела по статье 13.11 КоАП рассматривают мировые судьи.

Ошибки в формах: там, где сайт собирает данные

Сначала — открытие, которое ждёт большинство владельцев на первом же пункте: обычная форма «имя + телефон» уже делает вас оператором персональных данных. Форма собственности значения не имеет — ИП с сайтом-визиткой такой же оператор, как ООО с отделом маркетинга. Персональными данными закон считает любую информацию, относящуюся к конкретному человеку; закрытого списка «что именно считать» в нём нет. Отсюда и растут частые ошибки по персональным данным: сайт собирает заявки третий год, а обязанности оператора никто не выполнял — просто потому, что не знал о них.

Ошибка 1. Форма заявки без чекбокса согласия — или галка стоит заранее

Как выглядит. Под формой нет галки вообще либо она уже проставлена: снять можно, но никто не снимает. По разбору практики автоматического скана это самая частая находка на сайтах.

Почему это нарушение. Согласие должно быть конкретным, информированным, сознательным и однозначным и даваться свободно, своей волей — так написано в ч. 1 ст. 9 152-ФЗ. Предзаполненная галка этому противоречит: человек ничего не выбирал. Прямой нормы «галочка не должна стоять заранее» в законе нет — это вывод из статьи 9 и позиция Роскомнадзора на проверках. Важная оговорка: обработка ради заключения договора по инициативе самого клиента возможна и без отдельного согласия (п. 5 ч. 1 ст. 6), поэтому «нет чекбокса — сразу штраф» неверно. Но как только цели выходят за рамки самой заявки — рассылка, аналитика, передача подрядчику, хранение «на будущее», — согласие нужно. И доказывать, что оно было, обязан оператор, то есть вы.

Цена вопроса: для обычной формы «имя + телефон» это ч. 1 ст. 13.11 КоАП — обработка персональных данных в случаях, не предусмотренных законодательством: ИП 50 000–100 000 ₽, ООО 150 000–300 000 ₽. Часть 2 той же статьи — более тяжёлый состав, и применяется он не к любой форме: там речь про обработку без согласия в письменной форме в случаях, когда такое согласие должно быть получено по закону, либо когда нарушен обязательный состав сведений согласия. Тогда вилка другая — ИП 100 000–300 000 ₽, ООО 300 000–700 000 ₽. Как починить: 10 минут в конструкторе — добавить непредзаполненный чекбокс. Что именно писать рядом с ним, чтобы согласие считалось информированным, разобрано в статье как оформить чекбокс в форме заявки.

Ошибка 2. Одна галка на всё: обработка данных плюс рекламная рассылка

Как выглядит. Под формой одна строка: «Согласен с политикой, офертой и на получение рассылки».

Почему это нарушение. С 1 сентября 2025 года согласие на обработку данных оформляется отдельно от иных документов, которые подписывает человек: зашивать его в оферту или пользовательское соглашение больше нельзя (ч. 1 ст. 9 в редакции 156-ФЗ). А реклама по email, SMS и в мессенджерах требует предварительного согласия адресата — это уже другой закон, ст. 18 38-ФЗ «О рекламе», и другой чекбокс. Хорошая новость: согласия, полученные до 1 сентября 2025 года, переоформлять не нужно.

Цена вопроса: по линии персональных данных — та же развилка, что и в первом пункте: базово ч. 1 ст. 13.11 (ИП 50 000–100 000 ₽, ООО 150 000–300 000 ₽), а если закон требовал именно письменного согласия или нарушен обязательный состав сведений согласия — ч. 2 (до 700 000 ₽ для ООО). По линии рекламы состав отдельный и не зависит от первого — ч. 4.1 ст. 14.3 КоАП: ИП 20 000–100 000 ₽, ООО 300 000–1 000 000 ₽. Как починить: разнести на два чекбокса, причём галка на рассылку — необязательная.

Ошибка 3. Текст согласия нигде не раскрыт: слово «Согласен» без ссылки

Как выглядит. Рядом с чекбоксом написано «Согласен на обработку данных», но кликнуть некуда: ни политики, ни текста согласия.

Почему это нарушение. Информированность и конкретность согласия означают, что человек понимает, на что соглашается: цель обработки, кто оператор, сроки. Плюс на операторе лежит обязанность обеспечить неограниченный доступ к политике (ч. 2 ст. 18.1). Отдельной нормы «рядом с чекбоксом обязана быть активная ссылка» в законе нет — требование выводится из этих двух. Но проверяющему всё равно, выведено оно или написано буквально: если документ недоступен, согласие информированным не считается.

Цена вопроса: ч. 4 ст. 13.11 — ИП 20 000–30 000 ₽, ООО 40 000–80 000 ₽. Если ситуацию квалифицируют как обработку без надлежащего согласия, добавится ч. 1 ст. 13.11 (ИП 50 000–100 000 ₽, ООО 150 000–300 000 ₽), а там, где закон требует письменного согласия или нарушен обязательный состав сведений согласия, — ч. 2 (до 700 000 ₽ для ООО). Как починить: 10 минут — поставить рядом с формой активные ссылки на политику и на текст согласия.

Ошибки в документах: политика и «кто вы вообще такие»

Следующие три пункта — самые обидные, потому что делает их не злоумышленник. Это типичные ошибки владельцев сайтов по 152-ФЗ: сайт собрали два-четыре года назад, подрядчик поставил «стандартную» политику, ссылку в подвал — и с тех пор туда никто не заглядывал.

Ошибка 4. Политика скачана у соседа: чужое название, чужой домен, чужой город

Как выглядит. Откройте свою политику и поищите в тексте название чужой компании, чужой домен, чужой город. Находится чаще, чем ожидаешь, — особенно если сайт делали «под ключ» и документы приехали в комплекте с шаблоном.

Почему это нарушение. Оператор обязан издать свои документы об обработке данных и обеспечить к ним неограниченный доступ на том сайте, через который данные собираются (ст. 18.1). Скачанный документ этому не отвечает: он описывает чужие цели, чужие сроки и чужого оператора. Есть и второй, менее очевидный механизм. С 18 ноября 2023 года действует официальный индикатор риска (приказ Минцифры № 720): три и более факта несоответствия между тем, что оператор указал в уведомлении Роскомнадзору, и тем, что размещено у него на сайте. Чужая политика такие расхождения даёт гарантированно — именно так «скачанный у соседа» документ становится виден надзору.

Цена вопроса: отдельного состава «чужие реквизиты в политике» в КоАП нет, квалификация оценочная; железно подтверждённая строка — ч. 3 ст. 13.11 (документ не опубликован или недоступен): ИП 10 000–20 000 ₽, ООО 30 000–60 000 ₽. И ещё одна частая легенда: прямого требования указывать в политике ИНН закон не содержит — он требует, чтобы оператор был однозначно опознаваем, то есть его наименование и место нахождения. Как починить: нужен документ, написанный под ваш сайт и ваши формы. Обязательные пункты — в чек-листе что должно быть в политике конфиденциальности.

Ошибка 5. Ссылка на политику битая, ведёт в PDF или попап, стоит только на главной

Как выглядит. Зайдите на внутреннюю страницу с формой и кликните по ссылке в подвале. Должна открыться страница по постоянному адресу, а не скачаться файл и не всплыть окно без адресной строки.

Почему это нарушение. Обязанность оператора — обеспечить неограниченный доступ к документу, в том числе на страницах, через которые собираются данные. А состав ч. 3 ст. 13.11 карает «невыполнение обязанности по опубликованию или обеспечению иным образом неограниченного доступа» — то есть недоступная политика формально приравнивается к отсутствующей. Битая ссылка, PDF на 40 страниц и попап без адреса — это ровно тот случай.

Цена вопроса: ч. 3 ст. 13.11 — ИП 10 000–20 000 ₽, ООО 30 000–60 000 ₽. Как починить: 10 минут — обычная HTML-страница по постоянному адресу, ссылка на неё в подвале и рядом с каждой формой.

Ошибка 6. На сайте не понять, кто владелец и кто отвечает за данные

Как выглядит. В подвале только телефон и «© 2021». Ни названия юрлица, ни ОГРН, ни адреса.

Почему это нарушение. Человек вправе знать, кто обрабатывает его данные: в состав обязательных сведений входят наименование и место нахождения оператора (ст. 14 152-ФЗ). Есть и вторая линия, которая работает даже без продаж: информация в интернете должна содержать сведения о её обладателе в объёме, достаточном для идентификации (ч. 2 ст. 10 149-ФЗ). Отдельно и честно: закон о защите прав потребителей, новые Правила продажи товаров № 657 (с 1 сентября 2026 года) и ст. 14.5 КоАП — это уже про потребителя и Роспотребнадзор, а не про 152-ФЗ и Роскомнадзор. Надзоры разные, путать их не нужно.

Цена вопроса: по 152-ФЗ — ч. 4 ст. 13.11: ИП 20 000–30 000 ₽, ООО 40 000–80 000 ₽. По потребительской линии, если сайт продаёт, — ч. 1 ст. 14.5 КоАП: ООО 30 000–40 000 ₽. Как починить: 10 минут — блок в подвале: наименование, ОГРН или ОГРНИП, адрес, e-mail.

Ошибки в аналитике и cookies

Ошибка 7. Cookie-баннера нет, а счётчики пишут посетителя с первой секунды

Как выглядит. Откройте сайт в режиме инкогнито: баннера нет, никто ничего не спрашивает, а в подвале при этом сидит счётчик и уже пишет визит.

Почему это нарушение. Отдельного «закона о cookie» в России нет, и это важно понимать, чтобы не пересказывать себе европейские правила. Обязанность выводится из общей конструкции 152-ФЗ: cookie, IP-адрес и рекламные идентификаторы в практике Роскомнадзора и ряде судов рассматриваются как персональные данные — например, Второй кассационный суд общей юрисдикции в определении от 26.12.2022 по делу № 16-9987/2022. Значит, нужна законная основа обработки или согласие. Практика при этом неоднородна: есть и противоположная линия, по которой телефон, e-mail и IP сами по себе человека не идентифицируют. Категоричности тут нет ни с одной стороны — но риск есть.

Цена вопроса: квалификация оценочная. Это либо ч. 1 ст. 13.11 (ИП 50 000–100 000 ₽, ООО 150 000–300 000 ₽), либо ч. 2 (ИП 100 000–300 000 ₽, ООО 300 000–700 000 ₽). Обещаний вида «за отсутствие баннера ровно 700 000 ₽» не бывает — граница между частями не формализована. Как починить: баннер плюс отложенная загрузка счётчиков; на конструкторе хватит плагина, дальше нужен разработчик.

Ошибка 8. Метрика с Вебвизором и записью форм — пишет, но никого не предупредили

Как выглядит. В кабинете Метрики включены Вебвизор и запись содержимого форм, а на сайте об этом ни слова.

Почему это нарушение. Тут не нужно спорить с законом — достаточно открыть договор с Яндексом. Условия использования Метрики прямо называют владельца сайта оператором персональных данных, а Яндекс — лицом, действующим по его поручению (п. 5.4), и обязывают владельца сайта информировать посетителей об обработке данных, а при необходимости получать согласие (п. 2.1). Это не наша трактовка, это написано в вашем же кабинете. И поручение обработки ответственность не снимает: перед человеком отвечает оператор, то есть владелец сайта (чч. 3–5 ст. 6 152-ФЗ).

Цена вопроса: та же развилка ч. 1 или ч. 2 ст. 13.11, что и в предыдущем пункте. Как починить: у Метрики есть штатный режим отложенной загрузки — счётчик подключается после согласия; запись полей в Вебвизоре либо отключить, либо честно предупредить о ней.

Ошибки, которых не видно глазом, но видно в коде

Последние два пункта проверяются не внешним видом страницы, а адресной строкой и парой минут в исходном коде (Ctrl+U или вкладка «Сеть» в панели разработчика). Именно поэтому их пропускают чаще всего — и именно здесь лежит самая дорогая ошибка из десяти.

Ошибка 9. Данные уезжают за границу: иностранные формы, CRM, рассылки, аналитика, шрифты и CDN

Как выглядит. Форма собрана на Google Forms, заявки падают в зарубежную CRM, рассылка идёт через иностранный сервис, стоит Google Analytics, подгружаются шрифты и скрипты с иностранных доменов.

Почему это нарушение. С 1 июля 2025 года прямо не допускаются запись, накопление и хранение персональных данных граждан РФ в базах, находящихся за пределами России (ч. 5 ст. 18 в редакции 23-ФЗ). Локализация — не запрет вывоза: передавать данные за рубеж по-прежнему можно, но до начала трансграничной передачи оператор обязан отдельно уведомить Роскомнадзор (ст. 12). Про Google Analytics корректная формулировка звучит так: отдельного закона, запрещающего его, нет, но штатная схема пишет данные сразу на зарубежные серверы, из-за чего после 1 июля 2025 года легально использовать его практически невозможно.

Цена вопроса: ч. 8 ст. 13.11 — 1 000 000–6 000 000 ₽, и для ИП столько же (см. врезку ниже). Как починить: здесь нужен разработчик: перенести формы и хранилище в Россию, заменить внешние шрифты и CDN на локальные. Полный разбор, что на сайте «зарубежное» и чем его менять, — в статье про зарубежные сервисы на сайте и локализацию данных.

Ошибка 10. Сайт без HTTPS — форма отправляет имя и телефон открытым текстом

Как выглядит. В адресной строке «http://» или надпись «Не защищено».

Почему это риск, а не штраф. Оператор обязан принимать правовые, организационные и технические меры защиты данных (ст. 19 152-ФЗ). Слов «HTTPS» и «шифрование канала» в этой статье нет, отдельного состава в КоАП тоже нет, и постановление Правительства № 1119 штраф не устанавливает. Цена вопроса — единственная строка в этой статье без суммы: самостоятельного состава нет, есть риск, что непринятие мер защиты квалифицируют по ч. 1 ст. 13.11 (ИП 50 000–100 000 ₽, ООО 150 000–300 000 ₽), и отдельный риск утечки. Как починить: бесплатный сертификат — 10 минут у хостера или разработчика.

Три вещи сверх десятки, которые стоит посмотреть заодно. Первое: иконки и активные ссылки на ресурсы Meta в подвале — зона риска по ч. 1 ст. 20.3 КоАП (для юрлица 10 000–50 000 ₽ с конфискацией); логотипы официально экстремистской символикой не признаны и практика по статичным иконкам неоднородна, поэтому это именно риск, а не гарантированный штраф. При этом X, LinkedIn, YouTube и TikTok экстремистскими организациями не признаны — «заблокирован» и «экстремистская организация» это разные вещи. Второе: чат-виджеты, квизы и калькуляторы собирают данные в обход «главной» формы, и на них распространяются те же ст. 9 и 18.1. Третье: формы онлайн-записи и брони — по ним ровно те же правила, что и по форме заявки.

Типичные нарушения 152-ФЗ на сайте: сводная таблица и цена вопроса

Мы собрали десятку в одну таблицу — но не по составам КоАП, а по колонке «что видно на сайте». Так проще ответить на вопрос, за что штрафуют малый бизнес Роскомнадзор и суды: не за абстрактное «несоблюдение 152-ФЗ», а за конкретную галку, конкретную ссылку и конкретный скрипт. Суммы даны вилками из кодекса — от минимума до максимума.

Две оговорки, чтобы цифры не расходились. Первая: в строках про согласие указана вилка ч. 1 — это базовый состав для обычной веб-формы; часть 2 (ИП 100 000–300 000 ₽, ООО 300 000–700 000 ₽) применяется там, где закон требует именно письменного согласия или нарушен обязательный состав сведений согласия. Вторая: в таблице — вилки из кодекса, а в отчёте после бесплатной проверки наш сервис показывает максимум по составу, поэтому там суммы выглядят выше. Полный разбор составов, повторных нарушений и того, как считается итог, — в материале штрафы Роскомнадзора в 2026 году.

Что делать дальше

Если пройтись по списку честно, картина обычно такая: шесть пунктов из десяти закрываются за один вечер и без юриста — чекбокс, разделение галок, ссылки рядом с формой, нормальная страница политики, блок реквизитов в подвале и сертификат. Два требуют документа, написанного под ваш сайт: политика и тексты согласий. Ещё два — работы разработчика: отложенная загрузка счётчиков и перенос форм и хранилища в Россию.

И есть одиннадцатая ошибка, которой нет в десятке ровно потому, что её не видно на сайте, — не поданное в Роскомнадзор уведомление об обработке данных. Уведомить нужно до начала обработки, а «коммерческие» освобождения утратили силу ещё 1 сентября 2022 года: типовой сайт с формой заявки ни под одно оставшееся исключение не подпадает. Реестр операторов публичный, свою запись можно проверить снаружи за минуту. Цена вопроса — ч. 10 ст. 13.11: и для ООО, и для ИП (он здесь отвечает как юрлицо) это 100 000–300 000 ₽. Как подать и что писать в полях — в статье про реестр операторов ПДн и уведомление.

Разумный порядок действий выглядит так:

1. Пройти список из десяти пунктов глазами — на своём сайте, а не по памяти.
2. Закрыть то, что чинится за вечер: чекбоксы, ссылки, реквизиты, HTTPS.
3. Заказать или написать документы под свой сайт и свои формы, а не скачивать чужие.
4. Отдельно решить вопрос с аналитикой и зарубежными сервисами — это самый дорогой пункт.
5. Проверить, что видит внешний сканер: проверка сайта на 152-ФЗ снаружи показывает ровно то же, что увидит робот Роскомнадзора.

Если после этого списка хочется взгляда не от экрана, а от нормы — по категориям и с полным перечнем обязанностей, — посмотрите разбор требования Роскомнадзора к сайту в 2026 году. А если удобнее идти по шагам и самому пройти сайт как инспектор, есть пошаговая инструкция как проверить сайт на 152-ФЗ.

И последнее, по-человечески. Типичные нарушения 152-ФЗ на сайте почти всегда накапливаются не из-за злого умысла, а из-за того, что сайтом давно никто предметно не занимался. Самый быстрый способ понять масштаб — проверить сайт на нарушения РКН со стороны: посмотреть, какие формы, скрипты и документы увидит проверяющий, и уже потом решать, что чинить самому, а что отдавать в работу.