Три слоя проверки Роскомнадзора по 152-ФЗ: реестр, документы и реальный код сайта

Обновлено: июнь 2026 г. Штрафы актуализированы по ФЗ № 420-ФЗ от 30.11.2024, вступившему в силу 30 мая 2025 г.

С 2022 года РКН перешёл от единичных проверок к автоматизированным кампаниям совместно с Прокуратурой РФ — под сканирование попадают тысячи сайтов в месяц. Штраф за повторное нарушение локализации данных достигает 18 000 000 ₽, а первичная проверка запускается без жалоб — роботом, автоматически.

Регулятор не читает политику конфиденциальности сверху вниз. Он работает как аудитор с чек-листом из трёх уровней. Большинство материалов описывают только верхний слой — документы. Эта статья разберёт все три, включая анализ кода, который конкуренты не раскрывают. Начать с быстрой проверки первого слоя можно на scanbase.ru.

Почему РКН усилил проверки: контекст 2024–2026

Ключевые изменения: ФЗ № 420-ФЗ от 30.11.2024 резко увеличил штрафы (вступил в силу 30 мая 2025). С 1 января 2026 года дела по ст. 13.11 КоАП рассматривают мировые судьи — это ускорило правоприменение. В апреле 2026 московский суд оштрафовал три иностранные компании за нарушение локализации на 2 млн, 1 млн и 2 млн ₽ каждую — норма работает, не теоретически.

Слой 1 — Реестр операторов персональных данных

Первая точка проверки: автоматизированный робот РКН сверяет домен сайта с базой реестра операторов (pd.rkn.gov.ru). Обязанность подачи уведомления — ст. 22 152-ФЗ. Штраф за отсутствие: ч. 10 ст. 13.11 КоАП — 100 000–300 000 ₽ для юрлиц (актуально 2026).

Как проверить статус в реестре

1. Узнать ИНН организации — из реквизитов на сайте или через whois example.ru (поле registrant/org у ряда .ru-доменов).
2. Открыть pd.rkn.gov.ru → раздел «Реестр операторов» → поиск по ИНН.
3. Сверить данные уведомления с реальностью: совпадают ли заявленные категории ПДн с тем, что реально собирают формы на сайте.

Слой 2 — Документы на сайте

Конкуренты описывают этот слой поверхностно: «нужна политика конфиденциальности». Ниже — операционный перечень с привязкой к статьям закона и типичными ошибками.

Важно про cookie-баннер: наличие баннера ≠ соответствие. РКН оценивает, предоставлена ли реальная возможность отказаться, гранулированы ли категории (аналитика / маркетинг / необходимые), фиксируется ли выбор. Баннер без кнопки «Отказать» — то же самое, что его отсутствие.

Про согласие: «продолжая использование сайта, вы соглашаетесь» — не является согласием по позиции РКН. Требуется конкретное, информированное, свободное и однозначное согласие.

Слой 3 — Реальный код сайта: что видит автоматический сканер

Это главный дифференциатор. Документы могут быть идеальными — но если в коде страницы есть скрипты и запросы, отправляющие данные за рубеж, это самостоятельное нарушение (ст. 18.1 152-ФЗ, нарушение локализации). Штраф — до 6 000 000 ₽, повторно до 18 000 000 ₽.

Что ищет сканер РКН в коде

Как проверить свой сайт на уровне кода — практически

Покажем на учебном примере с демо-сайтом «ООО Ромашка», в котором намеренно зашиты типовые нарушения (GA4, Яндекс.Метрика, FB Pixel, Hotjar, Intercom, форма на formspree.io, вход через Google, pre-checked согласие).

Шаг 1. Все внешние хосты, которым страница шлёт запросы

$ grep -oE 'https?://[a-zA-Z0-9.-]+' index.html | sort -u

https://accounts.google.com
https://connect.facebook.net
https://formspree.io
https://mc.yandex.ru
https://static.hotjar.com
https://widget.intercom.io
https://www.googletagmanager.com

Шаг 2. Отфильтровать трекеры и аналитику — передача ПДн третьим лицам

$ grep -oE 'https?://[a-zA-Z0-9.-]+' index.html | sort -u | \
    grep -Ei 'googletagmanager|google-analytics|mc.yandex|facebook|hotjar|intercom'

https://connect.facebook.net
https://mc.yandex.ru
https://static.hotjar.com
https://widget.intercom.io
https://www.googletagmanager.com

Пять интеграций передают пользовательские данные на сторонние серверы. Каждая должна быть упомянута в политике и не нарушать требования локализации (ст. 18.1).

Шаг 3. Куда уходят формы — action на чужом сервере = сбор ПДн вне РФ

$ grep -oE 'action="[^"]+"' index.html

action="https://formspree.io/f/mqkrabcd"

Форма заказа (ФИО, email, телефон) отправляется на formspree.io — сервис в США. Первичный сбор ПДн граждан РФ за рубежом: прямое нарушение локализации.

Шаг 4. Вход через иностранный сервис

$ grep -oE 'accounts\.google\.com[^"]*' index.html

accounts.google.com/o/oauth2/auth?client_id=demo

С 9 июня 2026 года за авторизацию через Google, Apple и аналогичные иностранные сервисы для юрлиц — 500 000–700 000 ₽, повторно 1 400 000–2 000 000 ₽ (поправки в КоАП от 09.06.2026).

Шаг 5. Согласие проставлено по умолчанию

$ grep -n 'checked' index.html

31: <label><input type="checkbox" name="consent" checked> Согласен на обработку и рекламную рассылку</label>

Два нарушения в одной строке: галочка по умолчанию (согласие недействительно по ст. 9) и объединение «обработка + реклама» в одном чекбоксе (нарушение ст. 18 Закона о рекламе).

Метод без кода: DevTools → Network

1. Открыть сайт в Chrome, нажать Cmd+Option+I (macOS) или F12 (Windows).
2. Вкладка Network, поставить ☑ Preserve log.
3. Заполнить и отправить любую форму на сайте.
4. В колонке Domain видно все хосты, получившие запросы. Не-.ru и иностранные IP — кандидаты на нарушение локализации.

Связь трёх слоёв — почему нельзя исправить один и игнорировать другие

Типичный сценарий: оператор зарегистрирован в реестре (слой 1 ✅), политика опубликована (слой 2 ✅), но в политике написано «данные не передаются третьим лицам», а в коде стоит FB Pixel, отправляющий данные на серверы Facebook в США (слой 3 ❌). Итог: нарушение двух статей одновременно — несоответствие политики реальности + нарушение локализации.

Полный чек-лист по трём слоям

Выполнено: 0/14

Таблица штрафов — актуально 2026 (ФЗ № 420-ФЗ)

Штрафы за утечки (новые составы)

Источник: КонсультантПлюс, ст. 13.11 КоАП РФ; обзор реформы от 30.05.2025 consultant.ru/legalnews/28492/

Частые вопросы

Meta Platforms Inc. (включая социальные сети Facebook и Instagram) признана в России экстремистской организацией, её деятельность на территории РФ запрещена.