Как проверить сайт на 152-ФЗ: формы, документы и движение данных

Проверка сайта на 152-ФЗ начинается с карты фактической обработки персональных данных: что собирается, зачем, куда передаётся и кто получает доступ. Затем эту схему сопоставляют с правовыми основаниями, документами и настройками. Галочка под формой не подтверждает соответствие всей системы требованиям закона.

Рабочий порядок: инвентаризировать формы и сервисы, согласовать основания обработки, проверить документы и согласия, разобраться с уведомлениями и размещением баз, затем протестировать доступы и действия с данными. Юридическую квалификацию выполняют с профильным юристом, техническую схему подтверждает разработчик. Чек-лист помогает подготовить эту проверку, но не заменяет правовое заключение.

Составьте карту сбора и передачи

Пройдите сайт как посетитель: обратная связь, заказ, запись, регистрация, подписка, загрузка файла и онлайн-чат. Для каждого сценария перечислите поля, скрытые параметры и конечные системы. Отдельно проверьте аналитику, рекламные инструменты, виджеты и обработку обращений после сайта.

Уточните, сохраняется ли заявка в CMS, отправляется ли по почте, создаёт ли контакт в CRM и уходит ли в другие сервисы. Нередко одна форма порождает несколько копий. Проверять только основную базу недостаточно: список должен отражать весь известный маршрут.

Проверьте цели и правовые основания

Статьи 5 и 6 закона № 152-ФЗ определяют принципы и условия обработки. Согласие — одно из оснований, а не универсальная замена остальным. Для каждого сценария установите применимое основание и соответствующий ему набор данных.

Практический вопрос к каждому полю: какое действие сотрудник выполняет с этой информацией? Если для обратного звонка просят дату рождения и полный адрес, выясните необходимость. Уберите поля, назначение которых команда не может объяснить, либо перенесите их на этап, где появляется обоснованная потребность.

Отдельно рассмотрите подписку на рекламные сообщения, обработку обращения и исполнение заказа. Не объединяйте разные действия одной расплывчатой целью. Юристу передавайте реальные сценарии и образцы уведомлений: абстрактный вопрос «какой текст согласия нужен сайту» не раскрывает процесс.

Сопоставьте политику с реальной работой сайта

Обязанность обеспечить доступ к политике, в том числе на страницах сбора данных, установлена статьёй 18.1 закона. Проверьте, что документ открывается, относится к вашему оператору и соответствует действующим сценариям.

Сверьте наименование, контакты, цели, категории данных и сведения об обработке с составленной картой. Копия документа другого бизнеса может содержать чужого оператора, несуществующий сервис или условия, которые ваша команда не выполняет. Исправление текста должно сопровождаться проверкой настройки, которую он описывает.

На мобильном устройстве ссылка должна оставаться доступной до отправки формы. Проверьте модальные окна и встроенные виджеты отдельно. Если документ открывается в новом окне, пользователь должен суметь вернуться без потери введённых данных и понимания следующего действия.

Проверьте самостоятельное оформление согласия

С 1 сентября 2025 года согласие оформляется отдельно от иных подтверждаемых документов и информации. Изменение части 1 статьи 9 законом № 156-ФЗ разъясняет прокуратура Калининградской области. Не прячьте согласие внутри общего принятия пользовательского соглашения.

Для сценария, основанного на согласии, согласуйте его содержание, отдельное действие пользователя и способ подтверждения. Проверьте исходное состояние элемента, текст рядом с ним, доступ к документу и поведение при отказе. Конкретная реализация зависит от основания и состава обработки; одинаковый чекбокс не решает все случаи.

С разработчиком разберите, какие сведения позволяют восстановить обстоятельства получения согласия: версия текста, время и связанное действие. Не собирайте ради доказательства произвольный избыточный набор идентификаторов. Состав записи и срок хранения согласуйте с ответственными за персональные данные.

Проверьте уведомление и размещение баз

Статья 22 предусматривает уведомление уполномоченного органа до начала обработки, кроме установленных законом исключений. Проверьте применимость исключения и актуальность ранее поданных сведений, а не ориентируйтесь на размер компании или количество форм.

Закон № 23-ФЗ от 28 февраля 2025 года изменил часть 5 статьи 18: при сборе данных граждан РФ перечисленные операции с использованием баз за пределами России не допускаются, кроме прямо указанных исключений. Проверьте фактическое размещение каждой задействованной базы.

Российский домен или оплата российскому посреднику не объясняют архитектуру сервиса. Запросите сведения у владельцев хостинга, CRM, формы и других получателей. Для трансграничной передачи действует отдельный порядок, включая предварительное уведомление по статье 12. Локализацию и допустимость передачи оценивают раздельно.

Разберите cookie, виджеты и фоновые запросы

Откройте сайт с чистым состоянием браузера и посмотрите, какие внешние соединения происходят до действий пользователя и после них. Зафиксируйте назначение каждого подключённого инструмента. Удалённый визуальный блок не означает, что связанный скрипт тоже перестал отправлять сведения.

Не объявляйте все cookie одинаковыми по назначению и правовому режиму. Передайте специалисту перечень идентификаторов, целей, получателей и настроек. Затем проверьте, выполняет ли интерфейс фактически выбранные условия: например, прекращается ли соответствующая передача при отказе, если она должна зависеть от выбора.

Проверьте доступ и завершение обработки

Составьте список ролей, которые видят заявки, выгрузки и резервные копии. Проверьте учётные записи бывших сотрудников и подрядчиков. Общая ссылка на таблицу с обращениями и копии в личных почтовых ящиках требуют отдельного разбора даже при аккуратно оформленной форме.

На тестовом обращении проследите, где находятся копии и как выполняются согласованные действия по исправлению, ограничению или удалению. Назначьте ответственного за запросы людей и инциденты. Условия хранения и удаления определяют по основаниям обработки, обязательствам и применимым требованиям, а не одним сроком для всего сайта.

Чек-лист передачи задач команде

• Владелец бизнеса подтвердил оператора и действующие процессы.
• Юрист сопоставил цели, основания, документы и уведомления.
• Разработчик подтвердил маршруты, размещение и настройки сервисов.
• Ответственный за данные проверил роли и порядок обращений.
• Каждая найденная проблема получила адрес, описание и повторный тест.
• После исправлений проверены формы, согласия и фоновые запросы.

Вопросы о 152-ФЗ на сайте

Достаточно поставить баннер о cookie?

Нет. Сначала определяют, какие сведения обрабатываются и на каком основании, затем выбирают документы и техническую реализацию. Баннер не исправляет лишнюю передачу, неверное размещение базы или отсутствие установленного порядка работы с обращениями.

Нужна ли проверка маленькому сайту с одной формой?

Да, начинать нужно с фактической обработки, а не размера проекта. Одна форма может передавать сведения нескольким сервисам. Небольшой объём позволяет быстрее составить карту и устранить противоречия до расширения сайта.

С чего начать, если схема неизвестна?

С аудита безопасности и обработки персональных данных. После согласования требований техническая поддержка сможет реализовать исправления и повторно проверить весь путь тестового обращения.