Что проверяет сервис
Мы смотрим на сайт так же, как его видит посетитель и инспектор Роскомнадзора: открываем публичные страницы, ищем документы и формы, смотрим, какие сторонние сервисы подгружаются. Внутрь сайта мы не заходим и ничего не отправляем через формы.
| Проверка | Что ищем | Почему это важно |
|---|---|---|
| Политика обработки ПДн | Ссылку на политику и в ней: оператора с ИНН, цели, категории данных, сроки, права, контакт | Политику обязан опубликовать каждый, кто собирает данные на сайте (ч. 2 ст. 18.1 152-ФЗ) |
| Согласие в формах | Галочку и текст согласия рядом с полями имени, телефона и почты, не отмеченную заранее | Без согласия обработка незаконна; с 1 сентября 2025 года согласие — отдельный документ |
| Отдельный текст согласия | Ссылку на страницу с согласием, а не только на политику | Согласие нельзя прятать в политику или пользовательское соглашение |
| Зарубежные сервисы | Google Analytics и Tag Manager, шрифты Google, reCAPTCHA, пиксель Meta, Hotjar, зарубежные чаты | Это трансграничная передача: о ней нужно уведомить РКН и написать в политике |
| Cookie и Метрика | Уведомление о cookie и то, как запускается счётчик | Идентификаторы аналитики РКН считает персональными данными |
| Сервер | Страну IP-адреса сайта и CDN | Первичная запись ПДн россиян должна быть на серверах в России |
| HTTPS | Защищённое соединение и отправку форм на https | Данные из формы без шифрования может перехватить кто угодно |
Чего проверка не видит
- Уведомление в Роскомнадзор. Подано оно или нет, видно только в реестре операторов на pd.rkn.gov.ru — найдите себя по ИНН.
- Внутренние документы. Приказы, положения, модель угроз, журналы и обучение сотрудников снаружи не проверить.
- Формы, которые рисует скрипт. Квизы, виджеты обратного звонка и чаты часто появляются уже после загрузки страницы. Их проверьте вручную по чек-листу.
- Куда уходят заявки дальше. CRM, почта, таблицы и рассылки тоже должны хранить данные в России.
Как читать результат
«Критично» — то, что обычно становится поводом для штрафа сразу: нет политики, формы без согласия, отправка данных без HTTPS, пиксель Meta. «Внимание» — нарушения, которые РКН тоже штрафует, но их обычно закрывают за несколько дней: неполная политика, нет отдельного согласия, Google Analytics, сервер за рубежом. «К сведению» — то, что стоит проверить вручную.
Что исправить в первую очередь
- Политика и согласие. Опубликуйте политику и отдельный текст согласия, дайте ссылки в подвале и у каждой формы.
- Формы. Добавьте к каждой форме галочку согласия без предварительной отметки; без неё форма не отправляется.
- Зарубежные сервисы. Уберите пиксель Meta, замените Google Analytics на Яндекс Метрику, шрифты Google — на свои файлы, reCAPTCHA — на Yandex SmartCaptcha.
- Cookie. Поставьте баннер и запускайте аналитику после согласия.
- Уведомление в РКН. Проверьте себя в реестре и подайте или обновите уведомление.
Вопросы и ответы
Проверка бесплатная?
Да. Регистрация не нужна, отчёт показывается сразу. Ссылку на отчёт можно сохранить: он хранится 90 дней.
Какие штрафы грозят за нарушения на сайте?
За отсутствие политики — до 60 тыс. ₽ для компании, за обработку без согласия — до 700 тыс. ₽, за нарушение локализации — до 6 млн ₽, повторно до 18 млн ₽. Посчитать для своего случая можно в калькуляторе штрафов 152-ФЗ.
Нужно ли согласие, если я собираю только телефон?
Да. Телефон, почта и имя — персональные данные. Согласие нужно до отправки формы, а с 1 сентября 2025 года оно оформляется отдельно от политики.
Яндекс Метрика тоже нарушение?
Сама по себе нет: это российский сервис. Но посетителя нужно предупредить о cookie и получить согласие, а в политике указать, что вы используете Метрику.
Сайт на Tilda или конструкторе — проверка сработает?
Да. Конструкторы часто подключают шрифты Google и собственные формы — мы покажем и то и другое. Формы, которые появляются по кнопке, проверьте вручную.
Сайт за Cloudflare — что с локализацией?
Снаружи видно только адрес CDN, а не сервера с базой. Мы отметим это как пункт «к сведению»: проверьте у хостинга, где на самом деле стоят сайт и база заявок.
Можно ли проверить чужой сайт?
Можно: мы делаем обычные запросы к публичным страницам, как браузер посетителя. Государственные сайты и банки не проверяем.