просто о сайтах
Реестр нарушителей 152-ФЗ: как проверить свой сайт
Владельцы сайтов ищут «реестр нарушителей 152-ФЗ», чтобы убедиться, что их там нет. У Роскомнадзора действительно два реестра, и попасть в один из них — обязанность, а в другой — наказание. Разбираем, какой есть какой, как проверить свой сайт в каждом за пять минут и что делать, если результат не понравился.
Два реестра: в одном нужно быть, в другой лучше не попадать
Реестр операторов персональных данных — список компаний и предпринимателей, которые сами уведомили Роскомнадзор о том, что обрабатывают данные (статья 22 152-ФЗ). На портале ведомства их больше 2,6 миллиона. Быть в этом списке обязанность любого, у кого на сайте есть форма.
Реестр нарушителей прав субъектов персональных данных — список доменных имён, адресов страниц и сетевых адресов, которые суд признал нарушающими закон о персональных данных (статья 15.5 149-ФЗ «Об информации»). Это основание для блокировки сайта. Попасть туда можно только по судебному решению.
В первый реестр вы записываетесь сами, во второй вас записывает суд.
Реестр операторов: числитесь ли вы
Кто обязан подать уведомление
Статья 22 152-ФЗ: оператор уведомляет Роскомнадзор до начала обработки. До 1 сентября 2022 года действовали удобные исключения: можно было не уведомлять, если данные обрабатываются только для исполнения договора с самим человеком или если это только фамилия, имя и отчество. Под них попадал почти весь малый бизнес. Поправки 266-ФЗ эти исключения отменили. Остались специальные случаи: обработка без средств автоматизации, государственные системы, транспортная безопасность. Сайт с формой заявки ни под один из них не подходит.
Как проверить себя
Откройте реестр операторов на портале Роскомнадзора и введите ИНН или наименование. Если записи нет, уведомление не подавалось либо ещё не обработано. Статус поданного уведомления смотрится там же, в разделе проверки уведомления.
Как подать
Форма уведомления на том же портале, платы нет. Состав сведений задан статьёй 22, и форма ведёт по нему пункт за пунктом: цели обработки, категории данных и субъектов, правовое основание, меры защиты, сведения о трансграничной передаче, если она есть. Заполнить можно за час, если под рукой политика обработки данных: большая часть ответов уже в ней.
Чем грозит неподача
До 30 мая 2025 года отдельного штрафа не было. Теперь есть часть 10 статьи 13.11 КоАП: должностным лицам 30–50 тысяч рублей, ИП и юридическим лицам 100–300 тысяч. В марте 2026 года Арбитражный суд Москвы по трём делам о сайтах с формами без согласия назначил среди прочего по 50 тысяч рублей именно за неподанное уведомление (дела № А40-342666/25, А40-342668/25, А40-342669/25, разбор на Клерке). Сумма ниже вилки, потому что компании относятся к малому бизнесу и штраф назначен по правилам статьи 4.1.2 КоАП, половина от минимума.
Реестр нарушителей: как туда попадают
Механика описана в статье 15.5 149-ФЗ. Человек, чьи права нарушены, обращается в суд. Когда судебный акт вступает в силу, Роскомнадзор включает домен или адрес страницы в реестр и уведомляет хостинг-провайдера, тот передаёт требование владельцу. У владельца один рабочий день на устранение нарушения. Если нарушение не устранено, оператор связи ограничивает доступ к сайту. После устранения запись исключается из реестра в течение трёх рабочих дней.
Проверить свой домен можно в публичном реестре нарушителей: поиск по доменному имени, адресу страницы или IP-адресу.
Для сайта малого бизнеса с формой без отметки согласия этот реестр не главный риск. Дорога туда лежит через суд по иску конкретного человека о защите его прав. Типичный путь малого бизнеса другой: внеплановая проверка Роскомнадзора и административный штраф по статье 13.11, без блокировки.
Как узнать, что Роскомнадзор уже смотрит на ваш сайт
Плановых проверок малого бизнеса сейчас почти нет: мораторий на них продлён до 2030 года (постановление Правительства № 336 с изменениями № 372), плановые визиты остались только для объектов высокого риска. Внеплановые проверки идут по трём основаниям: жалоба человека, чьи данные собрали, индикаторы риска и требование прокурора.
Все контрольные мероприятия публикуются в едином реестре на портале Генпрокуратуры, искать можно по ИНН. Запросы контролирующих органов идут на юридический адрес из ЕГРЮЛ, а не на почту с сайта. Письмо, пролежавшее месяц в почтовом ящике арендованного офиса, сроки ответа не продлевает.
Порядок действий, если сайт собирает данные
- Подать уведомление в реестр операторов. Это самый дешёвый пункт: час времени, ноль рублей, и закрывает штраф до 300 тысяч.
- Опубликовать политику обработки персональных данных и дать ссылку в подвале и у формы.
- Оформить согласие отдельным документом и поставить отметку у каждой формы, которая собирает данные. С 1 сентября 2025 года пункт внутри политики не считается.
- Разобраться со счётчиками. Уведомление о cookie для любого счётчика; счётчик Google либо убрать, либо подать в Роскомнадзор ещё одно уведомление, о трансграничной передаче.
- Указать, кто вы: наименование, ОГРН или ОГРНИП, адрес, почта или телефон.
Полный список с нормами и штрафами по каждому пункту, включая требования к интернет-магазинам, собран в чек-листе обязательных документов на 2026 год.
Сколько сайтов до этого не доходят
С 13 августа по 15 сентября 2026 года наш сканер прошёл по 479 работающим сайтам малого бизнеса Подмосковья и Рязани. Политики не оказалось у 143 сайтов, форма без согласия стояла на 46, счётчик без уведомления о cookie на 228, счётчик Google на 86. Числится ли владелец в реестре операторов, сканер проверить не может: это запрос к реестру по ИНН, а не к сайту. Во всех трёх мартовских делах Арбитражного суда Москвы неподача уведомления шла в паре с отсутствием согласия, так что доля там вряд ли меньше.
Что почитать дальше
- Обязательные документы на сайте в 2026 году — все одиннадцать пунктов с нормами и штрафами.
- Сколько стоит непроверенный сайт — во что обходится каждое нарушение, с решениями судов.
- Аудит сайта: сервис, фрилансер или агентство — кто и что реально проверяет, если делать это не самому.