Как пользоваться чек-листом
Отмечайте пункт, только если проверили его сами и уверены в результате. Сомневаетесь — оставьте пустым: в конце страницы есть подсказка, что делать с такими пунктами.
Для проверки понадобятся обычный браузер и окно в режиме инкогнито. Инкогнито важно: в нём нет сохранённых cookie и прошлых согласий, и вы видите сайт так, как его видит новый посетитель. Многие пункты удобно проверять через инструменты разработчика — клавиша F12, вкладки Network («Сеть») и Application («Приложение»).
Если сайт большой, пройдите список сначала по главной, потом по страницам с формами: корзине, контактам, регистрации, заявке. Именно там чаще всего находятся признаки риска.
Счётчики и сторонние сервисы
Счётчик, который стартует до выбора посетителя, — один из самых частых признаков риска. Проверить это можно за пару минут.
- Метрика не грузится до согласия <id: cl-07> — в инкогнито откройте F12 → Network и обновите страницу, не трогая баннер. Норма: нет запросов к mc.yandex.ru и похожим адресам счётчиков.
- Рекламные пиксели ждут согласия <id: cl-08> — в той же вкладке найдите запросы к пикселям соцсетей и рекламных систем. Норма: они появляются только после «Принять».
- Нет cookie аналитики до выбора <id: cl-09> — F12 → Application → Cookies. Норма: до согласия там только технические cookie сайта, без _ym_uid и подобных идентификаторов.
- Отказ действительно отключает счётчики <id: cl-10> — нажмите «Отклонить» и обновите страницу. Норма: запросов к аналитике по-прежнему нет.
- Виджеты чатов и звонков учтены <id: cl-11> — посмотрите, какие сервисы загружаются на странице. Норма: каждый виджет, который получает данные посетителя, упомянут в политике и работает с учётом согласия.
Ручная блокировка каждого сервиса — долгая работа. Скрипт согласий делает это сам: держит счётчики до нажатия «Принять» и записывает выбор в журнал.
Формы и согласие на обработку
Формы собирают имя, телефон и почту — классические персональные данные. С 1 сентября 2025 года согласие оформляется отдельно от других документов (ч. 4 ст. 9 152-ФЗ).
- У каждой формы есть чекбокс <id: cl-12> — пройдите по всем формам: заявка, звонок, подписка, регистрация, отзыв. Норма: у каждой — свой чекбокс согласия.
- Чекбокс не отмечен заранее <id: cl-13> — откройте форму в инкогнито. Норма: галочка пустая, посетитель ставит её сам.
- Без галочки форма не уходит <id: cl-14> — заполните поля и нажмите «Отправить», не отмечая чекбокс. Норма: форма не отправляется и подсказывает, что нужно согласие.
- Ссылка ведёт на отдельный текст согласия <id: cl-15> — кликните по ссылке у чекбокса. Норма: открывается самостоятельный документ согласия, а не политика и не оферта. Собрать его можно в конструкторе согласия.
- Рассылка — отдельной галочкой <id: cl-16> — если форма подписывает на новости или акции. Норма: согласие на рекламу даётся отдельно от согласия на обработку заявки и тоже не отмечено заранее.
- Факт согласия сохраняется <id: cl-17> — спросите разработчика или посмотрите заявку в CRM. Норма: вместе с заявкой хранится дата, время и версия текста, на который согласился человек.
- Форма собирает только нужное <id: cl-18> — сравните поля формы с её целью. Норма: для обратного звонка хватает имени и телефона, паспорт и дата рождения там не нужны.
Документы на сайте
Политика — обязательный документ для оператора, который собирает данные через интернет (ч. 2 ст. 18.1 152-ФЗ).
- Политика опубликована и доступна <id: cl-19> — ищите ссылку в подвале на любой странице. Норма: документ открывается без регистрации, текстом, а не картинкой.
- Политика описывает ваш сайт <id: cl-20> — прочитайте её. Норма: в ней ваши реквизиты, реальные цели, перечень данных, сроки, права посетителя и контакт для запросов, а не текст, скопированный с чужого сайта. Поможет конструктор политики.
- Упомянуты все сервисы <id: cl-21> — сверьте список счётчиков, виджетов и CRM с текстом. Норма: каждый сервис, куда уходят данные, назван в политике или согласии.
- У документов есть дата <id: cl-22> — посмотрите начало или конец текстов. Норма: указана дата редакции, и она не старше последних изменений на сайте.
Реквизиты владельца
Закон об информации требует, чтобы на сайте были сведения о его владельце (ч. 2 ст. 10 149-ФЗ).
- Указано наименование и адрес <id: cl-23> — откройте подвал и страницу «Контакты». Норма: полное наименование компании или ФИО предпринимателя и адрес.
- Есть электронная почта <id: cl-24> — там же. Норма: рабочий адрес, по которому можно направить запрос о своих данных.
- Реквизиты совпадают с документами <id: cl-25> — сравните наименование в подвале, политике и согласии. Норма: везде указан один и тот же оператор.
Локализация: где хранятся данные
С 1 июля 2025 года прямо запрещено вести базы с данными граждан РФ за рубежом (ч. 5 ст. 18 152-ФЗ).
- Сервер сайта в России <id: cl-26> — узнайте IP-адрес сайта и проверьте его страну в любом сервисе whois. Норма: сервер, на котором хранятся заявки и база, находится в РФ.
- Заявки не уходят за рубеж <id: cl-27> — выясните, куда отправляются данные из форм: почта, CRM, конструктор форм, сервис рассылок. Норма: все эти сервисы хранят данные в России.
- Нет иностранных шрифтов, капч и библиотек <id: cl-28> — в F12 → Network отфильтруйте запросы по сторонним доменам. Норма: шрифты, капча и скрипты загружаются с вашего сервера или из российских сервисов.
Реестр Роскомнадзора
Уведомление подаётся до начала обработки, изменения — не позднее 15-го числа следующего месяца (ст. 22 152-ФЗ).
- Оператор есть в реестре <id: cl-29> — найдите себя по ИНН на портале pd.rkn.gov.ru. Норма: запись есть, наименование совпадает с реквизитами на сайте.
- Сведения в уведомлении актуальны <id: cl-30> — сравните цели, категории данных и адрес хранения в записи с тем, что происходит на сайте. Норма: новые формы, сервисы и цели внесены. Помочь заполнить форму может конструктор уведомления.
Внутренние процессы
Этих пунктов с сайта не видно, но от них зависит, справитесь ли вы с запросом посетителя или инцидентом.
- Есть ответственный за персональные данные <id: cl-31> — назначен приказом конкретный человек. Норма: он знает, что запрос о данных нужно исполнить за 10 рабочих дней, а отзыв согласия — не позднее 30 дней.
- Понятно, что делать при утечке <id: cl-32> — есть короткая инструкция. Норма: в ней записано, что о факте инцидента Роскомнадзор уведомляется в течение 24 часов, о результатах расследования — в течение 72 часов, и кто это делает.
Три ошибки при самопроверке
Проверять в своём обычном браузере. Если вы уже нажимали «Принять» на своём сайте, согласие сохранено, и счётчики грузятся сразу. Кажется, что баннер работает неправильно, хотя это ваш старый выбор. Или наоборот: баннер не показывается, и вы решаете, что его нет. Поэтому — только инкогнито, и каждый раз новое окно.
Смотреть только главную. Баннер и счётчики обычно общие для всего сайта, а вот формы разбросаны: калькулятор в каталоге, заявка на отдельном лендинге, форма отзыва в карточке товара. Составьте список страниц с формами и пройдитесь по каждой. Отдельно проверьте всплывающие окна — они часто сделаны другим подрядчиком и живут по своим правилам.
Верить подрядчику на слово. Фраза «у нас всё по закону» от студии или конструктора сайтов — не проверка. Настройки меняются при обновлениях, маркетолог добавляет новый пиксель, модуль формы откатывается к версии без чекбокса. Отмечайте пункт, только когда увидели результат своими глазами.
Что делать с непроставленными пунктами
Пустая отметка не означает, что завтра придёт штраф. Это место, где стоит разобраться. Удобно действовать по приоритетам.
Сначала — то, что видно любому посетителю. Пункты про формы (cl-12 — cl-15), политику (cl-19) и счётчики до согласия (cl-07 — cl-09). Их проще всего заметить со стороны, а связанные с ними составы ст. 13.11 КоАП — одни из самых дорогих для сайтов. Суммы собраны в статье о штрафах.
Затем — хранение данных. Пункты cl-26 — cl-28. Переезд хостинга или смена CRM занимает время, поэтому начинать лучше заранее.
Потом — документы и реестр. Пункты cl-20 — cl-22 и cl-29 — cl-30. После исправления форм и сервисов документы всё равно придётся обновить, так что их логично делать последними.
Внутренние процессы закрываются одним приказом и короткой инструкцией — это вопрос одного дня.
Пошаговый план исправлений описан в статье как привести сайт в соответствие. Если не хочется проверять вручную, проверьте сайт бесплатно: сервис откроет его трижды — без выбора в баннере, с отказом и с согласием — и покажет признаки риска по каждому разделу этого списка. Пример того, как выглядит результат, — в демо-отчёте.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Статья 9 152-ФЗ. Согласие субъекта на обработку
- Статья 18 152-ФЗ. Обязанности оператора при сборе данных
- Статья 18.1 152-ФЗ. Политика оператора
- Статья 22 152-ФЗ. Уведомление об обработке
- Статья 13.11 КоАП РФ
- Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
- Реестр операторов и портал персональных данных Роскомнадзора