152-ФЗ в 2026: что проверяет автомат-инспектор Роскомнадзора и за что выписывает штрафы

В 2025–2026 надзор по 152-ФЗ перестал быть «бумажным». Роскомнадзор перевёл первичную проверку сайтов на робота: он автоматически открывает страницы, сверяет содержимое с записью в реестре операторов и формирует предписание там, где находит расхождение. Никаких визитов инспектора, никакого человеческого фактора — отказ от cookies прислал уведомление о «сборе ПДн», и через две недели у вас на почте предписание с штрафом.

Мы наступили на эти грабли сами, когда в апреле 2026 готовили к подаче уведомление по двум своим сайтам и встретились с актуальным чек-листом, по которому теперь работает бот. Разобрались, переделали страницы, на основе чек-листа собрали внутренний инструмент проверки. Делимся методичкой.

Кого это касается

Любой сайт, где есть хотя бы одно из:

• форма обратной связи / заявки / подписки на рассылку
• кнопка «оплатить», «купить», «зарегистрироваться»
• Яндекс.Метрика, Google Analytics, VK Pixel или любой другой трекер
• виджет онлайн-чата, обратного звонка
• страница с фото сотрудников и ФИО (например, /about)
• сбор файлов cookie дольше, чем «сессия для логина»

То есть, по факту, почти любой коммерческий сайт. Даже если вы продаёте только через Telegram, а сайт — это просто визитка с формой «оставить заявку», — вы оператор персональных данных, и должны быть в реестре на pd.rkn.gov.ru. Не уведомили — это первое нарушение, отдельный штраф (ст. 19.7 КоАП — для ИП до 500 тыс ₽, для ООО до 6 млн ₽ за повторное).

Как работает автомат-инспектор

Бот заходит на главную, на страницы /privacy, /consent, /contact, по любым формам, нажимает «отправить» с тестовыми данными и анализирует. Что именно проверяет:

1. Cookie-баннер

Запрещено: «продолжая использовать сайт, вы соглашаетесь». Это пассивное согласие, оно с 2022-го прямо названо в письмах РКН недействительным.

Должно быть: баннер с минимум двумя кнопками — «Только необходимые» и «Принять все». Первая означает, что технические cookies (сессии, корзина) ставятся, а аналитические/маркетинговые — нет. Вторая — что ставятся все. Если у вас одна кнопка «ОК» и крестик в углу — это автоматический минус.

Должно быть: баннер показывается до того, как поставлен любой не-технический cookie. Если Метрика грузится сразу, а баннер — потом, это уже факт сбора без согласия. Метрика и аналогичные скрипты должны инициализироваться только после клика по «Принять все».

2. Политика конфиденциальности

Страница /privacy или /policy обязана иметь:

• ссылку на закон 152-ФЗ
• ИНН/ОГРН оператора, юридическое наименование
• адрес для обращений субъектов
• цели обработки — конкретные, не «для улучшения сервиса»
• список собираемых данных — каждый, отдельно: имя, e-mail, телефон, IP, cookie-идентификаторы, поведенческие данные
• сроки хранения — конкретные числа («3 года с момента последнего входа», не «пока необходимо»)
• ссылку на запись в реестре операторов: https://pd.rkn.gov.ru/operators-registry/operators-list/?id=<ваш-номер>
• порядок отзыва согласия и удаления данных

Если у вас Метрика — отдельный пункт «Метрика и trackers», без размытия. Webvisor и clickmap, если включены, должны быть названы в политике как расширенный сбор ПДн, и должны иметь отдельное согласие. Если они включены, а в политике их нет — это критическое нарушение.

3. Согласия на обработку

Каждая форма (заявка, подписка, контакт) должна:

• иметь чекбокс согласия на обработку ПДн отдельно от согласия с офертой/политикой — два чекбокса, не один
• запрещать отправку, если хотя бы один не отмечен
• хранить факт согласия (timestamp + IP) в логах не менее 3 лет

Самые частые ошибки в формулировках чекбоксов и UX-паттернах согласий мы разобрали в отдельной статье «Согласие на обработку ПД: 9 ошибок РКН в 2026» — там по каждой ошибке норма закона и как её закрыть.

Если форма уходит на сторонний сервис типа Web3Forms, Tilda Forms, Google Forms — это автоматически трансграничная передача данных. Чтобы её разрешить, в форме должен быть ещё один отдельный чекбокс «согласен на трансграничную передачу в страну такую-то». На практике дешевле перенести форму на свой бэк в РФ, чем оформлять трансграничку.

4. Сбор «лишних» данных

Поле «дата рождения» в форме «оставить заявку» — повод для предписания: данные не нужны для исполнения договора. Минимум, иначе нужно обоснование цели.

5. Webvisor / Clickmap

Если в Метрике включён webvisor (запись действий мышью и в формах) или clickmap (карта кликов) — это расширенный сбор ПДн, и согласие на него обязано быть отдельным. По факту проще держать их выключенными. Бот это видит по коду счётчика.

6. Скрытые трекеры

Любой сторонний JS, который ставит идентификатор пользователя и не объявлен в политике, — нарушение. Особенно достаётся за «забытые» Facebook Pixel, AppMetrica, наследие старых маркетинговых интеграций.

7. Фото сотрудников

Фото с ФИО на странице /about/team без отдельного письменного согласия каждого сотрудника на публикацию — критическое нарушение (распространение ПДн). Решается либо подписанием согласия на публикацию (хранится у вас), либо безымянными фото / иллюстрациями.

8. Реестр операторов

Бот сверяет содержимое сайта с записью в pd.rkn.gov.ru. Если в уведомлении вы написали «обрабатываем имя и email», а на сайте есть форма с полем «телефон» — расхождение, предписание. Если уведомления вообще нет — отдельный штраф плюс предписание подать.

9. Раздел «trap» (ловушки)

Бот специально проверяет известные «лазейки» — например, скрытое поле формы с автозаполнением, реферальные параметры, сохраняющиеся в localStorage без объявления. Если найдёт — отдельная категория нарушений.

Штрафы

Текущая сетка по статье 13.11 КоАП (по состоянию на 2026):

Главное: штрафы по каждой категории отдельно. На практике одно предписание содержит 3–5 категорий — суммируется быстро.

Как мы это починили у себя

Когда мы стали проверять свои собственные сайты (xencom.ru и apps.xencom.ru) перед подачей уведомления, нашли восемь нарушений на первом и шесть на втором. Большинство — старые формулировки на cookie-баннере и трансграничная передача через Web3Forms. Переделали:

1. Cookie-баннер — две кнопки, текст без «продолжая использовать», Метрика инициализируется только после «Принять все».
2. Политика конфиденциальности — переписали по чек-листу выше с детализацией §9 про Метрику, явным указанием отключённых webvisor/clickmap, конкретными сроками хранения, ссылкой на реестр.
3. Контактная форма — увели с web3forms на собственный бэк в РФ, чекбокс согласия разбили на два (ПДн + политика).
4. Согласия на ПДн — отдельная страница /consent/ с текстом, ссылка из всех форм.

Получилось 0 critical / 0 high по нашему же чек-листу.

Внутренний сканер, который мы из этого собрали

Поскольку повторять прогон руками каждый раз перед релизом — дорого, мы автоматизировали. Получился compliance-сканер: вводите домен — за минуту выдаёт отчёт по тем же 9 категориям, что описаны выше, с конкретными формулировками для исправлений и ссылками на статьи закона.

Сканер вошёл в наш продукт DocAssist (AI-юрист для ИП и малого бизнеса). На тарифе Pro и Business — без лимита проверок, на Business добавлен ежедневный авто-мониторинг (полезно, если вы регулярно правите страницы и хотите ловить регресс).

Открыть DocAssist →

Что делать прямо сейчас

Если у вас сайт, и вы не делали аудит за последний год, минимальный план на эту неделю:

1. Откройте pd.rkn.gov.ru — есть ли вы в реестре операторов? Если нет — подавайте уведомление.
2. Прогоните сайт через сканер (наш или любой другой — можно даже руками по списку выше). Получите конкретный список нарушений.
3. Закройте критические за 1–2 дня: cookie-баннер, формулировки в политике, чекбоксы в формах. Это самое дешёвое.
4. Запланируйте доработки на 1–2 недели: трансграничная передача, согласия на фото сотрудников, чистка лишних трекеров.

Если выписали предписание раньше, чем вы успели — у вас обычно 30 дней на устранение. Не игнорируйте, штрафы за неисполнение в разы выше первичных.

Источники и нормативная база

Все упомянутые в статье нормы, пороги штрафов и категории проверок сверены с первичными источниками на 4 мая 2026.

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — официальный текст на pravo.gov.ru. В статье разбираем требования по политике конфиденциальности (ст. 18.1), уведомлению об обработке (ст. 22), согласиям и формам сбора (ст. 9).
• Статья 13.11 КоАП РФ — сетка штрафов за нарушения в области ПДн на 2026 год (КонсультантПлюс).
• Статья 19.7 КоАП РФ — Непредставление сведений (информации) — норма, по которой штрафуют операторов, не подавших уведомление в реестр РКН.
• Реестр операторов персональных данных — официальная база, к которой обращается автомат-инспектор.
• Информационный ресурс Роскомнадзора по 152-ФЗ — официальная страница с разъяснениями, формами и методическими материалами надзорного органа.
• Распоряжение Правительства РФ от 04.07.2017 № 1428-р — перечень информации, которую оператор обязан размещать на сайте о порядке обработки ПДн.

Если найдёте в статье ошибку или устаревшее утверждение — напишите команде Xencom. Исправление выйдет с обновлением dateModified в schema, чтобы изменение было видно поисковикам и LLM-ботам.