Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: 29 июля 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025). Данные о работе АС МПДн и статистика проверок — по открытым отчётам Роскомнадзора и материалам консультанта Б-152 Влады Зайнуллиной (28.07.2026).
Что изменилось: РКН больше не проверяет вручную
До 2024 года Роскомнадзор проверял сайты точечно — не больше 6 000 в год. Инспектор получал жалобу, шёл на сайт, оценивал документы, писал предписание. Медленно, вручную, по остаточному принципу.
В 2025 году всё изменилось. РКН запустил Автоматизированную систему мониторинга прав субъектов персональных данных (АС МПДн) — бота, который работает без обеденных перерывов и способен осилить до 50 000 ресурсов в год. Разница на порядок.
Первые результаты: 84% проверенных сайтов в первом полугодии 2025 оказались с нарушениями. Каждое из них подпадает под КоАП 13.11, где верхняя планка после редакции 30.05.2025 — 15 млн ₽ за некоторые составы, а за повторные утечки идёт оборотный штраф 1–3% выручки (не менее 25 млн, не более 500 млн).
Так что вопрос уже не «проверят ли», а «когда» и «на чём попадёмся».
Как работает бот
АС МПДн эмулирует обычного посетителя сайта, только с холодной методичностью:
- Открывает страницу — рендерит HTML, JavaScript, cookie-баннер.
- Читает HTML и скрипты — ищет счётчики (Яндекс.Метрика, Google Analytics, Meta Pixel), формы, cookie-политику, чекбоксы согласия.
- Сопоставляет с открытыми базами — есть ли компания в реестре операторов ПДн, совпадает ли фактическая обработка с заявленной в уведомлении.
- Фиксирует нарушение — делает цифровую копию страницы (скриншот + HTML), кладёт в очередь инспектору.
- Инспектор изучает — проверяет вручную. Если несоответствие подтверждается, приходит официальное предписание.
Ключевое: робот работает по формальным признакам, а не по духу закона. Ему всё равно, что вы «маленький ИП» и «никого не обрабатываете». Есть форма без чекбокса — есть нарушение. Есть Google Analytics — есть трансграничная передача.
Что бот ищет в первую очередь
Анализ разосланных предписаний показывает, что алгоритм цепляется за одни и те же типовые ошибки. Собрал таблицей с суммами штрафов по КоАП 13.11 в редакции 30.05.2025.
| Что находит бот | Санкция |
|---|---|
| Компания не подала уведомление в РКН о начале обработки ПДн | 100 000 – 300 000 ₽ (ч. 10 ст. 13.11) |
| Форма без чекбокса согласия / согласие «по умолчанию» | 150 000 – 300 000 ₽ (ч. 1 ст. 13.11); повторно — 300 000 – 500 000 ₽ |
| Cookie-баннер без явного согласия либо его нет вообще | 150 000 – 300 000 ₽ (ч. 1 ст. 13.11); повторно — 300 000 – 500 000 ₽ |
| Google Analytics (нарушение локализации, ст. 18 ч. 5) | 1 000 000 – 6 000 000 ₽ (ч. 8 ст. 13.11); повторно — 6–18 млн ₽ |
| Не подано уведомление о трансграничной передаче | 3 000 – 5 000 ₽ (ст. 19.7 КоАП РФ) |
| Политика не соответствует фактической обработке | 30 000 – 60 000 ₽ (ч. 3 ст. 13.11) |
| Фото / данные сотрудников на сайте без их согласия | 150 000 – 300 000 ₽ (ч. 1 ст. 13.11) |
| Утечка 1 000 – 10 000 субъектов | 3–5 млн ₽ (ч. 12 ст. 13.11) |
| Утечка 10 000 – 100 000 субъектов | 5–10 млн ₽ (ч. 13 ст. 13.11) |
| Утечка более 100 000 субъектов | 10–15 млн ₽ (ч. 14 ст. 13.11) |
| Не сообщили об утечке в срок (24 ч + 72 ч) | 1–3 млн ₽ (ч. 11 ст. 13.11); повторно — оборотный 1–3% выручки, min 25 / max 500 млн |
На исправление после предписания дают 10 рабочих дней. За это время нужно переделать документы, перенастроить формы, добавить чекбоксы, а иногда и мигрировать данные. Практика показывает — не успевают.
Реальный кейс: pravo.ru против РКН
Хороший пример — свежее дело ООО «Правовые Новости» (сайты pravo.ru, 300.pravo.ru, event.pravo.ru). Классический набор нарушений, любой из которых мог быть у вас:
- Не подано уведомление в РКН — при том что сайты собирали данные через формы обратной связи и анализировали их через Яндекс.Метрику и Google Analytics.
- На одном из сайтов отсутствовала политика конфиденциальности.
- Не было указано законное основание обработки данных пользователей.
Компания попыталась заявить о «малозначительности» — суд отклонил. Но поскольку это субъект МСП, применили смягчающие обстоятельства.
| Нарушение | Что дали | Что было бы без льготы МСП |
|---|---|---|
| Неуведомление РКН (ч. 10 ст. 13.11) | 50 000 ₽ | 100 000 – 300 000 ₽ |
| Отсутствие политики (ч. 3 ст. 13.11) | 30 000 ₽ | 30 000 – 60 000 ₽ |
| Нет правовых оснований (ч. 1 ст. 13.11) | 75 000 ₽ | 150 000 – 300 000 ₽ |
| Итого | 155 000 ₽ | 280 000 – 660 000 ₽ |
А теперь важное. Google Analytics в этом деле не выделяли в отдельный состав. Если бы РКН пошёл по ч. 8 ст. 13.11 за нарушение локализации — штраф был бы 1–6 млн ₽, и льгота МСП здесь уже не работает. Компания отделалась 155 тысячами, но легко могла заплатить шесть миллионов.
Мораль простая: уберите Google Analytics с российских сайтов или переносите первичный сбор на российский счётчик и уже потом (по правилам ст. 18 ч. 5) можете передавать копию за рубеж. Про правила — в гайде по трансграничной передаче.
Чек-лист: 6 действий, которые закрывают 80% рисков
Порядок такой, как его проверяет бот. Идите сверху вниз.
- Подайте уведомление в РКН через pd.rkn.gov.ru. В нём должны быть все процессы обработки: формы, метрики, чат-боты, CRM. Подробно — в нашей пошаговой инструкции.
- Разместите политику конфиденциальности так, чтобы к ней был доступ с каждой страницы (обычно — ссылка в футере). Убедитесь, что она отражает реальность, а не шаблон из интернета. Что должно быть внутри — в гайде по требованиям.
- Проверьте формы. В каждой, где вы просите email/телефон/имя — пустой чек-бокс согласия, кнопка отправки неактивна пока не поставлен. Одна общая галочка на страницу — не годится, у каждой формы своя.
- Настройте cookie-баннер с явными «Принять» и «Отклонить». Ссылка на cookie-политику из баннера обязательна. Готовый рабочий баннер + текст политики — в гайде по cookie.
- Проведите инвентаризацию сторонних сервисов. Составьте список: метрики, пиксели, виджеты чатов, CRM. По каждому проверьте — где хранятся данные? Если на иностранных серверах — либо убирайте, либо готовьте отдельное уведомление о трансграничной передаче.
- Для каждой формы — законное основание обработки. Согласие субъекта, договор, обязанность по закону. Просто «мы собираем email» без указания цели и основания — уже нарушение.
Начните с двух карт: техническая (что реально работает на сайте) и юридическая (что написано в политике и уведомлении). Сравните их построчно. Все расхождения — это будущие штрафы.
Почему обычный «пробегусь по сайту» тут не работает
Проблема в том, что вы видите на сайте не то же, что бот. Пользователь видит красивый лендинг с формой обратной связи. Бот видит:
- HTTP-заголовки с указанием сервера
- 34 сторонних скрипта в теге head
- JS-код, посылающий события в Google Analytics
- Форму без атрибута required у чекбокса
- Ссылки на телеграм-каналы без регламента
Проверить всё это глазами — час работы для одного сайта. И то большинство пропустит locale-детали.
Автоматический аудит сравнивает вашу реальность с 30+ проверками, аналогичными тем, что делает бот РКН. Он покажет: какие сервисы у вас стоят, какие формы «протекают», соответствует ли политика фактической обработке, есть ли красные флаги вроде Google Analytics или чата на иностранном сервере.
Что делать прямо сейчас
Автоматизация проверок РКН — это не разовая кампания. АС МПДн — постоянная инфраструктура, которая работает 24/7 и будет только наращивать охват. Если сайт не соответствует 152-ФЗ сегодня, вопрос попадания под предписание — только вопрос времени.
Запустите бесплатный превью-аудит → — за 30 секунд покажем оценку вашего сайта, общий риск штрафа и три самых опасных нарушения с деталями. Полный отчёт со всеми нарушениями и готовым пакетом документов для устранения — от 4 990 ₽.
По материалам публикации Влады Зайнуллиной (Б-152) в «Новостях ИТ-канала» от 28.07.2026 и открытых отчётов Роскомнадзора.
Нормативные акты: 152-ФЗ «О персональных данных» (ст. 10, 12, 13.11, 18, 21, 21.1, 22), ФЗ № 420-ФЗ от 30.11.2024, КоАП РФ ст. 13.11 в редакции 30.05.2025, ст. 19.7 КоАП РФ.