Проверка сайта на 152-ФЗ в 2026 году — штрафы, нарушения, как исправить
Федеральный закон №152-ФЗ «О персональных данных» обязателен для любого бизнеса, который собирает данные пользователей — имя, e-mail, телефон, IP-адрес, cookies. ФЗ-420 (вступил в силу 01.09.2025) ввёл новые составы за утечки: до 15 млн ₽ и оборотные штрафы до 500 млн ₽ за повторное нарушение. Калькулятор задаёт 10 вопросов и за 3 минуты показывает конкретные риски по вашему сайту.
Кто является оператором персональных данных по 152-ФЗ
Оператором ПДн признаётся любое лицо — физическое или юридическое, — которое самостоятельно или совместно с другими определяет цели обработки персональных данных (ст. 3 152-ФЗ). На практике это означает: самозанятый с лендингом и формой записи, ИП с интернет-магазином, ООО любого размера, блогер с формой подписки. Даже сайт-визитка с формой обратной связи делает владельца оператором. Сбор IP-адресов через счётчики аналитики — тоже обработка ПДн.
Что именно проверяет калькулятор 152-ФЗ
10 вопросов охватывают все ключевые требования закона: наличие политики конфиденциальности и её доступность на сайте, согласие пользователя на обработку данных, уведомление Роскомнадзора (обязательно с 30.05.2025), локализация первичной базы данных в России, назначение ответственного за ПДн, cookie-баннер, меры защиты от утечек. Для каждого нарушения калькулятор указывает конкретную норму КоАП, точный диапазон штрафа и практическую рекомендацию — что сделать для устранения риска.
Локализация персональных данных: главный риск для бизнеса на AWS и Google Cloud
Статья 18.1 ч. 5 152-ФЗ обязывает хранить первичную базу персональных данных граждан РФ на серверах, физически расположенных в России. AWS, Google Cloud, DigitalOcean, Cloudflare Pages в качестве основного хранилища — прямое нарушение. Штраф: 1–6 млн ₽ по КоАП 13.11 ч. 8. Российские альтернативы: Timeweb, Selectel, Reg.ru, Yandex Cloud, VK Cloud. Переход можно делать поэтапно: первичная база — в РФ, зарубежные серверы — вторичные реплики.
Уведомление Роскомнадзора обязательно для всех с 30.05.2025
С 30 мая 2025 года исключений нет: любой оператор ПДн обязан подать уведомление о начале обработки через портал pd.rkn.gov.ru. Подача бесплатная, нужна ЭЦП или учётная запись Госуслуг. Штраф за отсутствие уведомления: ИП — 50 000–100 000 ₽, юрлицо — 150 000–300 000 ₽ (КоАП 13.11 ч. 1.1). До 2025 года работодатели и операторы с согласия были освобождены — теперь это правило отменено.
Штрафы за утечки персональных данных с 2025 года по ФЗ-420
С 01.09.2025 действуют четыре новых состава в ст. 13.11 КоАП: при утечке до 1 тыс. записей — штраф 1–3 млн ₽; 1–10 тыс. — 3–5 млн ₽; 10–100 тыс. — 5–10 млн ₽; более 100 тыс. — 10–15 млн ₽. Повторная утечка: оборотный штраф 1–3% выручки, минимум 20 млн ₽, максимум 500 млн ₽. Если после инцидента контрагенты или пользователи предъявляют финансовые требования, размер пени за просрочку исполнения рассчитывается отдельно — воспользуйтесь калькулятором неустойки.
Cookie-баннер и аналитика: что требует закон
Если на сайте установлена Яндекс.Метрика, Top.Mail.Ru или любой другой счётчик, собирающий cookies или поведенческие данные, — необходим cookie-баннер. Требование: до нажатия «Принять» скрипты аналитики не должны загружаться. Технически это реализуется через отложенную инициализацию счётчика после получения согласия. Штраф без баннера или с «декоративным» баннером-заглушкой: 100 000–700 000 ₽ (КоАП 13.11 ч. 1). Отдельный риск — Google Analytics: передача данных на серверы Google в США нарушает требование локализации.
Политика конфиденциальности: требования и штрафы
Политика конфиденциальности обязательна для каждого оператора ПДн — включая самозанятых и ИП без сотрудников. Документ должен быть опубликован на сайте и содержать: цели обработки, перечень данных, сроки хранения, права субъекта, контакты ответственного лица. Штраф за отсутствие: ИП — 6 000–24 000 ₽, юрлицо — 30 000–60 000 ₽ (КоАП 13.11 ч. 3). Сгенерировать документ с актуальными ссылками на нормы закона можно через генератор политики конфиденциальности.
Конфиденциальность расчёта
Все вычисления и сохранение ответов выполняются локально в браузере — никакие данные о вашем сайте или бизнесе на сервер не передаются. Калькулятор работает без интернета после первой загрузки (PWA). При передаче ссылки коллеге в URL попадают только тип субъекта и процент соответствия — ничего, что позволило бы вас идентифицировать.