Что должно быть на сайте по 152-ФЗ: полный чеклист 2026

Быстрый чеклист: 3 обязанности и cookie-баннер

• 1
  Политика конфиденциальности Опубликована на отдельной странице, доступна из футера с любой страницы сайта. Ссылка рядом с каждой формой.
• 2
  Правильно оформленные формы У заявки, заказа и обратной связи — уведомление у кнопки со ссылкой на политику. Галочка согласия — там, где нужно согласие: подписка на рассылку, реклама. Она не отмечена заранее, и с 01.09.2025 (ФЗ-156) согласие оформляется отдельно от других документов — его нельзя встроить в оферту или политику. Как оформить правильно →
• 3
  Cookie-баннер — если есть счетчики Яндекс Метрика, Google Analytics, рекламные пиксели: нужно согласие посетителя и кнопка отказа. Не только уведомление, но и согласие. Как настроить баннер →
• 4
  Уведомление в Роскомнадзор Не на сайте — это действие: регистрация через pd.rkn.gov.ru. Разовое, но обязательное с первого дня сбора данных.

Проверить все четыре пункта на своем сайте можно вручную, а можно посмотреть на страницу так, как ее видит проверяющий — снаружи. Бесплатная проверка сайта находит политику и согласия в формах, видит счетчики аналитики и cookie-баннер и сразу показывает первые находки.

Политика конфиденциальности: что должна содержать

Политика конфиденциальности — это публичный документ, который описывает, как оператор обрабатывает персональные данные. Готовой структуры закон не задает: ст. 18.1 152-ФЗ требует издать политику и открыть к ней доступ. Разделы ниже — это сведения, которые субъект вправе получить от оператора (ч. 7 ст. 14 152-ФЗ).

Что должно быть в политике конфиденциальности:

• Данные оператора — полное наименование, ИНН, адрес, контактные данные
• Категории персональных данных — какие именно данные обрабатываются (имя, email, телефон, IP-адрес и т.д.)
• Цели обработки — для чего нужны данные (выполнение договора, маркетинг, аналитика)
• Правовые основания обработки — согласие субъекта, договор, законный интерес
• Срок хранения данных — конкретные сроки или условия прекращения обработки
• Права субъектов ПДн — как пользователь может получить, исправить или удалить свои данные
• Порядок отзыва согласия — конкретная процедура и контактные данные
• Передача третьим лицам — если данные передаются партнерам, рекламным системам, платежным шлюзам
• Трансграничная передача — если данные обрабатываются на серверах за рубежом

Согласие на обработку персональных данных

Сначала проверьте, нужно ли вообще согласие. Когда человек сам отправляет заявку, заказ или вопрос в поддержку, данные обрабатывают для исполнения договора по его инициативе — отдельное согласие не требуется (п. 5 ч. 1 ст. 6 152-ФЗ). У такой формы достаточно уведомления рядом с кнопкой: «Отправляя форму, вы подтверждаете, что ознакомлены с Политикой конфиденциальности» — со ссылкой на политику.

Согласие нужно там, где другого основания нет: подписка на рассылку и реклама, передача данных партнерам, публикация отзыва с именем и фото, специальные категории и биометрия. Оно должно быть конкретным, информированным, сознательным и однозначным (ч. 1 ст. 9 152-ФЗ), а с 1 сентября 2025 года (ФЗ-156) его оформляют отдельно от других документов. На практике это означает:

• Галочка не отмечена заранее — предзаполненный чекбокс согласием не считается
• Человек ставит галочку сам, отдельным действием
• Рядом с галочкой — ссылка на текст согласия, а не только на политику
• Согласие не объединено с офертой, договором, политикой или другой галочкой
• Для биометрии и специальных категорий — согласие в письменной форме

Если форм несколько, смотрите на каждую отдельно: у обратной связи и оформления заказа — уведомление со ссылкой на политику, у подписки на рассылку — своя галочка.

Cookie-баннер и политика cookie

Cookie и идентификаторы счетчиков, по которым можно выделить посетителя, Роскомнадзор рассматривает как персональные данные. Поэтому для аналитики и рекламы нужно согласие посетителя (ст. 6 и 9 152-ФЗ), а баннер «Мы используем cookie» без выбора его не заменяет:

• Пользователь должен иметь возможность отклонить нефункциональные cookie
• Аналитические трекеры (Яндекс Метрика, Google Analytics) — требуют согласия
• Рекламные пиксели (ВКонтакте, Facebook) — требуют согласия, удобнее отдельной категорией
• Технические cookie (корзина, авторизация) — можно использовать без согласия

Уведомление в Роскомнадзор

Уведомление в РКН — не документ на сайте, а регистрационное действие. Вы подаете уведомление один раз через портал pd.rkn.gov.ru и получаете регистрационный номер оператора персональных данных.

Подавать уведомление обязаны все операторы ПДн. Исключений в ч. 2 ст. 22 152-ФЗ три: обработка без средств автоматизации, данные в государственных системах для защиты безопасности государства и обработка по законодательству о транспортной безопасности. У сайта с формой исключений нет.

Штраф за отсутствие уведомления — 100 000–300 000 руб. для ИП и организаций, 5 000–10 000 руб. для самозанятых (ч. 10 ст. 13.11 КоАП).

Типичные ошибки на сайтах

Как проверить свой сайт

Сканер сайта Privadoc показывает часть найденных нарушений сразу, полный отчет — платно. Автоматически проверяет:

• Наличие и доступность политики конфиденциальности
• Корректность форм согласия
• SSL-сертификат и заголовки безопасности
• Наличие cookie-трекеров
• WHOIS данные домена

Базовая проверка без оплаты показывает критические нарушения. Полный аудит-отчет (390 руб.) — перечень всех нарушений с конкретными инструкциями по устранению.

Часто задаваемые вопросы