Аудит сайта на соответствие 152-ФЗ: проверка и приведение в соответствие под ключ
Аудит сайта на соответствие 152-ФЗ – независимая проверка того, как сайт собирает, хранит и передаёт персональные данные посетителей. Проверяем политику, формы и согласия, cookie, зарубежные счётчики, локализацию – и приводим сайт в соответствие до проверки регулятора.
Проверим сайт по чек-листу 152-ФЗ, выдадим акт с планом устранения, при необходимости приведём сайт в соответствие под ключ. Это не бесплатный онлайн-сканер: аудит вручную проводит инженер компании с лицензией ФСТЭК, такое заключение имеет доказательственное значение при проверке РКН и в суде.
Кому и когда нужен аудит сайта на соответствие 152-ФЗ
Четыре ситуации, в которых нужна проверка сайта:
Готовитесь к проверке Роскомнадзора
РКН проверяет операторов дистанционно, через сайт: ищет политику, тестирует формы и cookie-баннер. Аудит до проверки обходится дешевле, чем устранение нарушений по предписанию.
Запускаете новый сайт или лендинг
Скопированная с чужого сайта политика и формы без согласий – типовые нарушения, которые выявляются при первой жалобе.
Подключили зарубежные сервисы
Google Analytics, виджет чата, reCAPTCHA – или переехали на другой хостинг. Любой из них может передавать данные посетителей за рубеж без ведома оператора.
Тендер или крупный контрагент требует подтверждения
Служба безопасности заказчика заходит на сайт, проверяет формы и запрашивает акт независимого аудита.
Контролировать свою обработку персональных данных оператор обязан сам (152-ФЗ, ст. 18.1, ч. 1, пп. 4 и 5). Сайт – самая публичная и потому самая проверяемая её часть; штрафы для юрлиц по ст. 13.11 КоАП достигают 15 млн ₽, за повторную утечку – до 500 млн ₽.
Что входит в аудит сайта: чек-лист проверки по 152-ФЗ
Проверяем сайт по семи направлениям:
Политика конфиденциальности – опубликована ли, доступна ли с каждой страницы, отражает ли реальные цели и формы сбора данных (152-ФЗ, ст. 18.1, ч. 2).
Формы сбора данных – есть ли у каждой формы чекбокс согласия, не предзаполнен ли он, разделены ли согласия на обработку заявки и на рекламную рассылку (ст. 9): единое согласие на все цели закону не соответствует.
Cookie и трекинг – есть ли баннер, предусмотрен ли отказ, не загружается ли аналитика до согласия посетителя.
Зарубежные сервисы – Google Analytics, пиксели соцсетей, reCAPTCHA, внешний хостинг форм: трансграничная передача ПДн с отдельными требованиями и уведомлением РКН (ст. 12).
Локализация – где физически хранятся данные из форм. Первичный сбор данных граждан РФ – только в базах на территории России (ст. 18, ч. 5); с 2025 года те же операции в зарубежных базах прямо запрещены.
Реестр операторов РКН – подано ли уведомление и совпадает ли заявленное с тем, что реально собирает сайт. С 01.09.2022 обработка без уведомления допускается лишь в отдельных случаях, установленных законом.
Реквизиты и HTTPS – указан ли оператор (наименование, ИНН, ОГРН, контакты), передаются ли формы по защищённому соединению.
По каждому пункту в акте – статус, норма и конкретная страница с нарушением.
Предмет этой услуги – веб-сайт. Проверка обработки ПДн по всей организации – ИСПДн, уровни защищённости, документы, техмеры – отдельная услуга: аудит всей системы обработки персональных данных.
Как проходит аудит сайта: этапы
Заявка и экспресс-проверка
Уточняем исходные данные: сколько форм, какие счётчики, есть ли политика и баннер. По итогам определяем объём работ и формат аудита; экспресс-проверка не обязывает к заказу.
Договор и план проверки
Фиксируем область аудита и порядок работы, при необходимости – NDA.
Обследование сайта
Проходим по чек-листу выше: каждая форма, согласие, баннер, трекер, хостинг. Работаем удалённо по всей России.
Анализ
Каждое несоответствие привязываем к статье закона и оцениваем по матрице «вероятность × ущерб»: сразу видно, что устранять в первую очередь.
Акт аудита и дорожная карта
Полный пакет – от резюме для руководства до приоритизированного плана устранения; состав ниже.
Сроки: экспресс-проверка – несколько дней, полный аудит сайта с актом – 1–2 недели; сайт с множеством форм и поддоменов – дольше.
Приведение сайта в соответствие с 152-ФЗ под ключ
Выявленные нарушения устраняем своей командой: юрист по 152-ФЗ, веб-специалист, инженер по защите информации. Один договор и одна точка ответственности вместо трёх подрядчиков.
Что делаем при устранении:
перерабатываем или составляем заново политику конфиденциальности, публикуем её по требованиям 152-ФЗ;
После сдачи работ сопровождаем заказчика, в том числе при проверке регулятора.
По каким нормам проверяем сайт и какие штрафы грозят
Каждое несоответствие в акте привязано к конкретной норме:
152-ФЗ «О персональных данных» – от оснований обработки (ст. 6) и согласия в формах (ст. 9) до локализации (ст. 18, ч. 5) и уведомления РКН (ст. 22). Отдельно – срок ответа посетителю на запрос о его данных: 10 рабочих дней (ст. 20).
КоАП РФ, ст. 13.11 – административная ответственность. Федеральный закон от 30.11.2024 № 420-ФЗ (действует с 30.05.2025) переписал статью и ввёл оборотные штрафы за повторную утечку.
УК РФ, ст. 272.1 – уголовная ответственность за незаконный оборот ПДн; отвечает физлицо – сотрудник или руководитель, а не компания.
Штрафы для юрлиц по составам, которые регулятор выявляет при проверке сайта (действующая редакция ст. 13.11 КоАП):
Нарушение на сайте
Норма
Штраф юрлицу
Сбор спецкатегорий / иных ПДн без письменного согласия
ч. 2 ст. 13.11
300 000–700 000 ₽
Не опубликована политика обработки ПДн
ч. 3
30 000–60 000 ₽
Нарушение локализации баз ПДн граждан РФ (серверы вне РФ)
ч. 8
1 000 000–6 000 000 ₽
Неуведомление РКН о намерении обрабатывать ПДн
ч. 10
100 000–300 000 ₽
Неуведомление РКН об утечке ПДн
ч. 11
1 000 000–3 000 000 ₽
Утечка ПДн 1 000–10 000 субъектов
ч. 12
3 000 000–5 000 000 ₽
Утечка 10 000–100 000 субъектов
ч. 13
5 000 000–10 000 000 ₽
Утечка более 100 000 субъектов
ч. 14
10 000 000–15 000 000 ₽
Повторная утечка (оборотный штраф)
ч. 15
1–3 % совокупной годовой выручки, от 20 до 500 млн ₽
Точную часть и сумму по каждому нарушению фиксируем в акте – по редакции, действующей на дату проверки.
(2–3 страницы) – перечень нарушений, критичные риски, порядок и сроки устранения.
Технический отчёт
каждое несоответствие с указанием статьи и конкретной страницы или формы сайта.
Матрица соответствия
«требование → факт → статус» по всем проверенным пунктам.
Дорожная карта устранения
приоритизированный план правок с оценкой трудоёмкости.
Шаблоны недостающих документов
политика, тексты согласий, формулировки для форм.
Отдельная ценность акта – доказательственная: он показывает, что оператор действовал добросовестно и принимал меры. Орган или суд вправе учесть это как смягчающее обстоятельство (ч. 2 ст. 4.2 КоАП РФ). Рекомендуемый срок хранения акта – не менее трёх лет, в пределах срока исковой давности (ст. 196 ГК РФ).
Сколько стоит аудит сайта на соответствие 152-ФЗ
Фиксированной цены нет: стоимость зависит от масштаба сайта и определяется после экспресс-проверки. На стоимость влияют:
число форм и страниц, где собираются ПДн;
количество счётчиков и зарубежных сервисов;
один сайт или несколько: поддомены, лендинги, региональные версии;
собираются ли специальные категории данных – например, о здоровье;
срочность и нужно ли приведение сайта в соответствие под ключ.
Работаем по договору с ООО «КРЕДО-С», выдаём полный пакет закрывающих документов. Для государственных и бюджетных заказчиков – оплата по 44-ФЗ и 223-ФЗ.
Почему аудит сайта заказывают у Кредо-С
ФСТЭК
Лицензия ФСТЭК России на ТЗКИ № Л024-00107-00рег. № 00581724
Для самого аудита сайта лицензия не требуется – это экспертная проверка. Она обязательна для работ по технической защите информации (контроль защищённости, аттестация – п. 5 ч. 1 ст. 12 99-ФЗ): если по итогам аудита такие работы потребуются, выполним их сами, в рамках лицензируемой деятельности, без стороннего подрядчика.
На рынке с 1993 года.
Работаем с законодательством о персональных данных с момента его принятия и знаем практику его применения.
ИБ, ИТ и веб в одной команде.
Аудит, устранение нарушений, построение защиты и аттестацию выполняет один исполнитель.
Офисы в Туле и Москве, работаем по всей России
аудит сайта проводим удалённо.
За аудит отвечает конкретный эксперт по защите информации с практикой аттестации – он же подписывает акт.
Типовые сценарии аудита сайта
Названия компаний не раскрываем: сам факт заказа аудита – чувствительная информация.
Розничная сеть перед проверкой РКН
Политика не отражала часть форм, в заявке и подписке – одна «универсальная» галочка, баннер без кнопки отказа. Переписали политику, разделили согласия, настроили баннер. К началу проверки у оператора были акт и выполненный план устранения.
Медцентр с онлайн-записью
Данные о здоровье – специальная категория: отдельного согласия не было, форма записи уходила на зарубежный сервис. Переоформили согласия, перенесли форму и хранение в российскую инфраструктуру.
IT-компания с зарубежной аналитикой
Риски: трансграничная передача без оформления и нарушение локализации. Заменили часть счётчиков на российские, оформили передачу и уведомление РКН.
Заказать аудит сайта на соответствие 152-ФЗ
Начните с экспресс-проверки: оценим масштаб работ и подготовим расчёт для вашего сайта. Заявка не обязывает к заключению договора.
ООО «КРЕДО-С» · ИНН 7106014366 · ОГРН 1027100747596 · тел. Тула +7 (4872) 71-71-74, Москва +7 (495) 225-60-59 · credos@credos.ru · Лицензия ФСТЭК России на ТЗКИ · На рынке с 1993 года.
Часто задаваемые вопросы
Что такое аудит сайта на соответствие 152-ФЗ?
Независимая проверка сайта на соответствие закону «О персональных данных»: политика конфиденциальности, формы и согласия, cookie-баннер, зарубежные трекеры, локализация данных, реестр РКН. Итог – акт с перечнем несоответствий и планом их устранения: оператор закрывает нарушения до проверки Роскомнадзора.
Что именно вы проверяете на сайте?
Семь направлений: политику, формы и согласия, cookie-баннер, зарубежные сервисы, локализацию данных, регистрацию в реестре РКН, реквизиты оператора и HTTPS. По каждому пункту в акте – привязка к статье 152-ФЗ и к конкретной странице сайта.
Сколько занимает и сколько стоит аудит сайта?
Экспресс-проверка – несколько дней, полный аудит сайта с актом – 1–2 недели. Стоимость рассчитываем после экспресс-проверки: она зависит от числа форм, подключённых сервисов и необходимости приведения сайта в соответствие под ключ.
Какие штрафы грозят за нарушения 152-ФЗ на сайте?
Основная часть санкций – по ст. 13.11 КоАП РФ: от 30 000–60 000 ₽ за неопубликованную политику до 1–6 млн ₽ за нарушение локализации; за повторную утечку – оборотный штраф 1–3 % совокупной годовой выручки (от 20 до 500 млн ₽, ч. 15). При утечке возможна и уголовная ответственность по ст. 272.1 УК РФ – для конкретного сотрудника, не для компании.
Нужен ли аудит сайта перед проверкой Роскомнадзора?
Да, это самая частая причина обращения. Аудит выявляет нарушения до начала проверки и оставляет время на их устранение. Акт подтверждает, что оператор принимал меры: орган или суд вправе учесть это как смягчающее обстоятельство (ч. 2 ст. 4.2 КоАП РФ).
Можно ли привести сайт в соответствие с 152-ФЗ под ключ?
Да. Приведение сайта в соответствие выполняет та же команда: доработка форм и cookie-баннера, политики, замена зарубежных сервисов, подготовка уведомления в Роскомнадзор.
Можно ли заказать аудит не только сайта, но и всей организации?
Это отдельная, более широкая услуга – аудит всей системы обработки персональных данных: инвентаризация ИСПДн, уровни защищённости, документы и технические меры по всей компании. Аудит сайта – её самый быстрый частный случай.
Хочу получать новости и полезные материалы на email — необязательно
Условия сотрудничества
Закупки по 44-ФЗ и 223-ФЗПоставки и услуги для государственных и корпоративных заказчиков, участие в конкурсных процедурах.
ЭДО и постоплатаЭлектронный документооборот, закрывающие по этапам работ, отсрочка платежа по договору.
SLA с ответственностью исполнителяСроки, параметры сервиса и зоны ответственности закреплены договором, регулярная отчётность.
Лицензии ФСТЭК России и NDAРаботы по защите информации – легально: опыт с КИИ, ГИС и ИСПДн, соглашение о неразглашении.
ООО «КРЕДО-С» · ИНН 7106014366 · КПП 710601001 · ОГРН 1027100747596 · на рынке с 1993 года · 300034, г. Тула, ул. Демонстрации, 27 · офисы: Тула, Москва
