Для этой проверки не нужен юрист и не нужен доступ к админке. Хватит браузера, четверти часа и честного взгляда на собственный сайт. Робот Роскомнадзора смотрит на сайт примерно так же, как обычный посетитель, только внимательнее, поэтому повторить его путь вполне реально.
Мы разбили проверку на пять отрезков по три минуты. Откройте сайт в новой вкладке и идите по шагам. Для примера возьмём сайт стоматологии с формой записи, хотя шаги одинаковы для автосервиса, школы танцев или интернет-магазина.
Минуты 1-3: подвал и политика
Прокрутите главную страницу до самого низа. Ищите ссылку на политику обработки персональных данных.
Что проверить:
- ссылка есть в подвале и видна на любой странице, а не только на главной;
- она открывает документ, а не ведёт на 404 или на пустую страницу;
- в документе указано ваше юрлицо или ИП с реквизитами, а не название чужой фирмы, у которой текст когда-то скопировали;
- перечислены те данные, которые вы реально собираете. Если стоматология пишет в политике про «доставку товаров», это шаблон, который никто не читал.
Нет политики или нет доступа к ней: это отдельный состав по ч. 3 ст. 13.11 КоАП, для юрлица от 30 до 60 тыс. руб. Как должна выглядеть нормальная политика, мы разбирали здесь.
Минуты 4-6: каждая форма на сайте
Пройдитесь по всем местам, где человек что-то вводит: запись на приём, «перезвоните мне», квиз, подписка, отзыв, корзина. Удобно открыть каждую и попробовать отправить, не заполняя галочку.
Смотрим:
- рядом с кнопкой есть чекбокс согласия, и без него форма не отправляется;
- галочка не стоит заранее;
- по ссылке из чекбокса открывается именно согласие, отдельный документ. С 01.09.2025 его нельзя вшивать в политику, оферту или пользовательское соглашение;
- если в форме есть подписка на акции, для неё отдельная галочка, не общая с согласием на обработку.
Частая находка: на основной форме записи всё сделано, а всплывающий виджет обратного звонка, поставленный подрядчиком год назад, отправляет номер без всякого согласия. Нарушения с согласием стоят дороже всего, для юрлица от 300 до 700 тыс. руб.
Минуты 7-9: счётчики и cookie
Откройте сайт в режиме инкогнито. Первое, что вы видите: появляется ли уведомление о cookie и аналитике?
Потом проверим, что на сайте реально работает. Нажмите F12 (или правой кнопкой мыши, «Просмотреть код»), перейдите на вкладку Network и обновите страницу. В строке фильтра наберите по очереди «metrika», «mc.yandex», «google», «pixel», «vk». Каждое совпадение означает внешний скрипт, который получает IP и cookie посетителя. РКН трактует это как обработку персональных данных.
Дальше сравните: что нашлось во вкладке и что написано в уведомлении и политике. Метрика есть, а в политике про неё ни слова, значит, документ надо обновлять.
Про баннер честно: закон прямо не требует ставить его с кнопками. Но РКН считает cookie персональными данными и при мониторинге ищет такое уведомление. Баннер, где можно отказаться от аналитики и маркетинга и который не закрывает половину экрана, заметно снижает риск претензии. Подробнее в материале про cookie.
Минуты 10-12: реестр операторов
Уведомление о намерении обрабатывать персональные данные подаётся до начала обработки. Проверить, подано ли оно, можно самостоятельно: на портале pd.rkn.gov.ru есть реестр операторов с поиском по ИНН или названию.
Найдите себя. Затем сверьте запись с реальностью:
- совпадает ли адрес;
- указаны ли цели, под которые вы сейчас собираете данные. Если стоматология начала онлайн-запись и рассылку напоминаний, а в реестре только кадровый учёт, сведения устарели;
- если что-то изменилось, подаётся информационное письмо об изменениях. Срок короткий, его задаёт ст. 22, лучше не откладывать.
Если записи нет совсем, это ч. 10 ст. 13.11 КоАП: для юрлица от 100 до 300 тыс. руб. Как подать уведомление, описано в отдельной статье.
Минуты 13-15: где живут данные
Последний шаг про локализацию. Данные граждан РФ должны записываться и храниться в базах на территории России, а с 01.07.2025 и первичный сбор должен идти в российские базы.
Как проверить без админки:
- вспомните или посмотрите в договоре, у кого хостинг сайта и в какой стране сервер;
- узнайте, куда уходят заявки с форм. Если форма сразу шлёт данные в зарубежный сервис таблиц или CRM, а уже потом в вашу базу, первичный сбор идёт не в РФ;
- проверьте почту, куда приходят заявки. Корпоративный ящик на зарубежном сервисе с базой клиентов внутри тоже вопрос к локализации.
Этот пункт часто требует разговора с разработчиком. Но выяснить, куда идут данные, можно и самому, за пару вопросов.
Сводная таблица
Сохраните её или распечатайте и пройдите ещё раз через полгода.
| Шаг | Куда смотреть | Красный флаг |
|---|---|---|
| Политика | подвал сайта | нет ссылки, чужие реквизиты, шаблонный текст |
| Формы | каждая форма и виджет | нет чекбокса, галочка стоит заранее, согласие внутри политики |
| Рассылки | формы подписки | одна галочка на всё |
| Счётчики | F12, вкладка Network | Метрика есть, в документах её нет |
| Cookie | режим инкогнито | нет уведомления или нельзя отказаться |
| Реестр РКН | pd.rkn.gov.ru, поиск по ИНН | записи нет или цели устарели |
| Локализация | хостинг, адрес отправки форм | данные сначала уходят за рубеж |
| Ответственный | внутренние документы | у юрлица нет приказа о назначении |
Последнюю строку на сайте не увидишь, но про неё спросят при любой проверке. Ответственного назначает оператор-юрлицо, об этом здесь.
Что исправлять первым
Если красных флагов несколько, начинайте с того, что видно снаружи и что проверяет автоматический мониторинг РКН: политика, согласие в формах, уведомление о cookie. Потом уведомление в реестр и внутренние документы. Локализация обычно самая долгая история, но и откладывать её нельзя.
Если не хочется сверять всё руками или вы проверяете сразу несколько сайтов, на главной есть бесплатный сканер: он смотрит сайт или ИНН и показывает, каких документов не хватает. Ручная проверка из этой статьи хорошо дополняет его там, где нужен взгляд владельца: на договор с хостингом и на то, куда менеджер на самом деле складывает заявки.