Чек-лист: проверьте свой сайт по 152-⁠ФЗ за 10 минут

1. 1.

   Политика обработки данных открыта всем на сайте?

   ДаНет

   Политика — документ о том, какие данные вы собираете, зачем и как храните.

   Если «нет»: опубликуйте политику на отдельной странице. Поставьте на неё ссылку в подвале сайта и рядом с каждой формой. Она должна открываться без входа и регистрации.

   согласно ч. 2 ст. 18.1 152-⁠ФЗ

2. 2.

   У каждой формы есть галочка согласия, которая не стоит заранее?

   ДаНет

   Проверьте все формы: заявку, обратный звонок, подписку, квиз, чат-⁠виджет.

   Если «нет»: добавьте под каждую форму пустой чекбокс и ссылку на текст согласия. Кнопка «Отправить» срабатывает только после галочки. Заранее отмеченная галочка — это не свободное согласие.

   согласно ч. 1 ст. 9 152-⁠ФЗ

3. 3.

   Согласие оформлено отдельным документом?

   ДаНет

   С 1 сентября 2025 года согласие оформляется отдельно от других документов. Фраза «Нажимая кнопку, я соглашаюсь с политикой» больше не подходит.

   Если «нет»: вынесите согласие в отдельный текст на своей странице. Не прячьте его внутри политики, оферты или пользовательского соглашения.

   согласно ч. 1 ст. 9 152-⁠ФЗ

4. 4.

   В согласии понятно, кто, что и зачем собирает?

   ДаНет

   Согласие должно быть конкретным и информированным. Человек должен понимать, на что соглашается.

   Если «нет»: укажите в тексте согласия:

   • кто вы (ФИО или название, контакты);
   • какие данные собираете (например, имя и телефон);
   • зачем (например, чтобы перезвонить по заявке);
   • каким сервисам передаёте данные;
   • сколько храните и как отозвать согласие.

   согласно ч. 1 ст. 9 152-⁠ФЗ

5. 5.

   Форма просит только то, что вам действительно нужно?

   ДаНет

   Лишние поля — лишние данные под вашей ответственностью. Для обратного звонка обычно хватает имени и телефона.

   Если «нет»: уберите поля, без которых можно обойтись: дату рождения, адрес, отчество. Каждое поле должно отвечать цели из согласия.

   согласно ч. 5 ст. 5 152-⁠ФЗ

6. 6.

   Метрика и пиксели включаются только после согласия на cookie?

   ДаНет

   Cookie — файлы, по которым счётчики узнают посетителя. Яндекс Метрика, пиксель VK и похожие сервисы собирают такие данные сразу при открытии страницы.

   Если «нет»: поставьте cookie-⁠баннер с кнопками «Принять» и «Отказаться». Код Метрики и пикселей запускайте только после нажатия «Принять». Баннер «Мы используем cookie» с одной кнопкой «ОК» выбора не даёт.

   согласно ч. 1 ст. 6 и ч. 1 ст. 9 152-⁠ФЗ

7. 7.

   Уведомление в Роскомнадзор подано до запуска формы?

   ДаНет

   Уведомление — заявление в Роскомнадзор (РКН) о том, что вы обрабатываете персональные данные. Его подают до начала обработки. Сайт с формой заявки почти всегда под это требование подпадает.

   Если «нет»: подайте уведомление сейчас, не дожидаясь проверки. Проверьте себя в реестре операторов на сайте РКН. За неподанное уведомление предусмотрена отдельная ответственность.

   согласно ч. 1 ст. 22 152-⁠ФЗ; ч. 10 ст. 13.11 КоАП

8. 8.

   Сведения в уведомлении совпадают с тем, что происходит сейчас?

   ДаНет

   Вы могли сменить хостинг, CRM, адрес или добавить новую форму после подачи уведомления.

   Если «нет»: подайте в РКН сведения об изменениях. Срок — не позднее 15-⁠го числа месяца, который идёт за месяцем изменения.

   согласно ч. 7 ст. 22 152-⁠ФЗ

9. 9.

   Заявки хранятся на серверах в России?

   ДаНет

   Проверьте весь путь заявки: хостинг, конструктор форм, CRM, почту, таблицу, куда падают данные. Зарубежная почта или облачная таблица тоже считаются хранением.

   Если «нет»: перенесите сбор и хранение данных россиян в сервисы с серверами в России. Если данные дальше уходят за рубеж, это трансграничная передача, и у неё свои правила.

   согласно ч. 5 ст. 18 и ст. 12 152-⁠ФЗ

10. 10.

    Вы знаете, каким сервисам и подрядчикам передаёте заявки?

    ДаНет

    CRM, сервис рассылок, колл-⁠центр, фрилансер-⁠маркетолог тоже обрабатывают данные. Закон называет это обработкой по поручению оператора.

    Если «нет»: составьте список таких сервисов и людей. Укажите их в политике и согласии. С подрядчиками заключите договор с условиями о защите данных.

    согласно ч. 3 ст. 6 152-⁠ФЗ

11. 11.

    Доступ к заявкам есть только у тех, кому он нужен?

    ДаНет

    Типичная проблема: заявки падают в общий чат, а пароль от CRM знает вся команда.

    Если «нет»: запишите, у кого есть доступ к заявкам, и уберите лишних. Заведите каждому свой логин вместо общего пароля. Назначьте ответственного за персональные данные: для компаний это обязательно.

    согласно ст. 18.1, ст. 19 и ст. 22.1 152-⁠ФЗ

12. 12.

    Вы знаете, что делать, если человек попросит удалить его данные?

    ДаНет

    Человек, чьи данные вы храните, вправе узнать о них и отозвать согласие. Юристы называют его «субъект персональных данных».

    Если «нет»: укажите в согласии e-⁠mail для таких запросов. Решите заранее, кто отвечает и как удаляет данные из CRM и почты. Удаляйте старые заявки, когда цель достигнута.

    согласно ч. 2 ст. 9, ст. 14, ч. 7 ст. 5 и ст. 21 152-⁠ФЗ

• 0 «нет»

  типовые требования к сайту, похоже, закрыты. Перепроверьте чек-⁠лист при смене формы или сервиса.

• 1–3 «нет»

  исправьте пункты по порядку. Начните с уведомления в РКН и согласия: пункты 3 и 7.

• 4+ «нет»

  документы на сайте стоит собрать заново, а не латать по одному.

Этот чек-⁠лист не является юридической консультацией. Он помогает найти типовые пробелы на небольшом сайте, но не учитывает все особенности вашего бизнеса. Ссылки даны на 152-⁠ФЗ «О персональных данных» и КоАП РФ в редакциях на октябрь 2026 года. Если вы работаете с медицинскими, детскими или финансовыми данными, обратитесь к юристу.