Бот Роскомнадзора уже заходил на ваш сайт. Вот что он там смотрит

«Боты Роскомнадзора» — фраза, которую в 2025 году обсуждали во всех предпринимательских чатах, а вживую видел мало кто. Звучит как страшилка, но бот настоящий.

РКН запустил автоматизированную систему, которая круглосуточно сканирует сайты в зонах .RU,.РФ и .SU: открывает страницу как обычный посетитель, ищет формы ввода данных, проверяет счётчики аналитики и сверяет сайт с реестром операторов. Нашёл подозрительное — передал живому инспектору. Тот подтверждает нарушение и высылает предписание. На исправление дают 10 дней.

Любой сайт, где есть форма обратной связи, подписка или хотя бы счётчик аналитики, уже оператор персональных данных. То есть попадает под 152-ФЗ и под радар этого бота. Бот работает как тайный покупатель: заходит обычным гостем, ничего не взламывает, просто смотрит. И всё видит.

Что он находит чаще всего: согласие оформлено просто ссылкой на документ, без подтверждения, что человек с ним ознакомился; предзаполненная галочка «согласен»; веб-аналитика, о которой посетителя не предупредили. Три дыры, видные снаружи за пару секунд.

Дальше — чек-лист, по которому вы пройдёте сайт глазами инспектора сами. Юрист для этого не нужен, нужен день.

Когда говорят «сделать аудит сайта», обычно смешивают две разные вещи. Первая — комплаенс: всё ли в порядке с 152-ФЗ, чтобы не прилетело от РКН. Вторая — безопасность: не взломают ли сайт, не утекут ли через дыру данные клиентов.

Это разные риски и разные проверяющие: в первом случае вами интересуется инспектор, во втором — бот-взломщик. Здесь разбираю первую половину.

Инспектору не нужен доступ к вашим серверам. Он смотрит на то, что видно любому посетителю:

Разберём каждый пункт.

Это не «политика конфиденциальности для галочки», а прямое требование части 2 статьи 18.1 152-ФЗ: оператор обязан опубликовать документ, определяющий политику в отношении обработки ПДн, и обеспечить к нему неограниченный доступ.

Что проверить:

Типовая ошибка: политику скачали из первого попавшегося генератора, не читая. В ней фигурируют данные другой компании или сбор данных, которого у вас нет. Чужая политика на вашем сайте — как чужой пиджак с биркой на другое имя: вроде надели, а при первой проверке видно, что не ваш. Для инспектора это сигнал, что документ фиктивный.

Любая форма, где пользователь вводит имя, телефон или email, должна сопровождаться согласием на обработку.

Что проверить:

Предзаполненная галочка «согласен» — самая частая находка при аудите. По закону согласие должно быть сознательным и однозначным действием, а галочка по умолчанию ему не отвечает. Снимите её, это правка на пять минут.

Был случай: компания почти год собирала заявки через красивую форму вообще без чекбокса согласия. Узнали об этом, только когда пришёл запрос РКН по жалобе одного клиента. Сам чекбокс добавили за день, но протокол к тому моменту уже составили. Дешевле проверить форму заранее, чем объясняться задним числом.

Cookie и счётчики собирают данные о посетителе, и пользователь должен быть об этом уведомлён. Важный момент, который многих успокаивает зря: «у меня только счётчик, я не оператор» — это миф. Метрика с вебвизором, картой кликов или передачей User-ID и IP де-факто обрабатывает персональные данные, а не «обезличенную статистику». Счётчик на сайте — вы оператор.

Что проверить:

Российский баннер пока не обязан быть таким же строгим, как европейский GDPR-баннер с предварительным согласием на каждую категорию. Но информировать нужно, и тренд идёт в сторону ужесточения. И честный баннер — это две равноценные кнопки, а не крупное «Принять всё» с отказом мелкой серой ссылкой.

Здесь прячется самое неочевидное нарушение. Зарубежная аналитика, зарубежный хостинг или CDN, формы, уходящие в иностранный сервис, — это уже трансграничная передача персональных данных. Данные, ушедшие на зарубежный сервер, похожи на посылку за границу без декларации: вы можете не подозревать, что пересекли границу, но ответственность наступила.

С 1 марта 2023 года перед началом такой передачи нужно уведомить Роскомнадзор (статья 12 152-ФЗ). Плюс требование локализации (часть 5 статьи 18): первичный сбор и хранение данных россиян идут на серверах в России.

Что проверить:

Практический совет: для российского сайта проще всего убрать зарубежные сервисы и встать на российский хостинг с российской аналитикой. Тогда вопрос закрывается сам собой.

Пункт, который забывают чаще всего. После поправок Федерального закона № 266-ФЗ (с 1 сентября 2022 года из статьи 22 152-ФЗ убрали почти все исключения) практически любой оператор обязан уведомить РКН о намерении обрабатывать персональные данные — даже если у вас просто форма обратной связи. Раньше такая форма пряталась под исключение «обработка для исполнения договора», теперь нет.

Что проверить: уведомление подано (это видно в реестре операторов на сайте РКН), а сведения в нём соответствуют тому, что реально происходит на сайте.

Если вы в реестре и на сайте всё аккуратно — дистанционная проверка не страшна. Если уведомления нет, а данные собираете, это первое, что найдёт инспектор.

Контекст, который стоит держать в голове: плановых проверок сейчас нет, но смотреть ваш сайт со стороны регулятору закон разрешает.

Прошли по списку, закрыли пункты — и дистанционная проверка перестаёт быть угрозой. Это не разовый героизм, а гигиена: раз в полгода пробежать чек-лист, особенно если меняли формы или ставили новый счётчик. Полчаса раз в полгода дешевле любого штрафа.

Разборы законов и требований на языке бизнеса — у меня в блоге vsenichev.ru и в телеграм-канале @brighside_ib.