Как РКН видит твой сайт

собираешь имя, почту или телефон - обязан опубликовать на сайте политику: кто собирает, что, зачем и сколько хранит. Это как табличка с режимом работы: нет ее - нарушение видно с порога.

открой страницу с формой. Рядом с кнопкой и в подвале должна быть ссылка на политику, и она должна открываться.

"Добавь на сайт страницу /privacy с политикой обработки персональных данных: кто оператор, какие данные собираем, зачем, сколько храним и как их удалить. Поставь ссылку на нее в подвал и рядом с каждой формой".

с 1 сентября 2025 согласие на обработку данных оформляется отдельно от других документов. Строчка в оферте или в тексте кнопки "Нажимая, вы соглашаетесь..." больше не считается.

посмотри на форму: есть отдельная галочка со ссылкой на текст согласия? Она не должна стоять заранее, а без нее форма не должна отправляться.

"Добавь к каждой форме отдельный чекбокс 'Даю согласие на обработку персональных данных' со ссылкой на текст согласия. Он не должен быть отмечен заранее, и без него форма не отправляется".

прежде чем собирать данные, оператор уведомляет Роскомнадзор. Реестр операторов открытый: проверить, есть ли там владелец сайта, может кто угодно.

pd.rkn.gov.ru → реестр операторов → поиск по своему ИНН. Нашел себя - все в порядке. Нет - подай уведомление там же или через Госуслуги.

"В политике обработки данных укажи, что уведомление в Роскомнадзор подано, и номер записи в реестре операторов".

Google Analytics отправляет данные посетителей на серверы в США. Минцифры прямо называет это трансграничной передачей, а США нет в списке стран, которым РКН доверяет. Значит, нужно отдельное уведомление и 10 рабочих дней ожидания до начала передачи.

с 1 декабря 2023 российские сайты пускают пользователей только по российскому номеру, через Госуслуги, биометрию или российские сервисы. С 7 июля 2026 за это штраф (КоАП 13.55): гражданину 10 000-20 000 ₽, компании 500 000-700 000 ₽.

"Найди на сайте все внешние скрипты и шрифты с зарубежных серверов (Google Analytics, Google Fonts, reCAPTCHA, пиксели соцсетей). Замени их: счетчик - Яндекс Метрика, капча - Yandex SmartCaptcha, шрифты отдавай со своего сервера. Вход через Google замени на вход по номеру телефона или VK ID / Яндекс ID".

с 1 июля 2025 данные россиян нельзя записывать и хранить в базах за границей. Форма отправляет заявки в зарубежный сервис или база стоит в зарубежном облаке - это нарушение, даже если сам сайт в России.

спроси агента, куда уходят заявки из формы и в какой стране стоит база. Если в ответе Google Forms, Formspree или регион базы вроде us-east или eu-central - данные за границей.

"Проверь, где физически находятся сервер сайта, база данных и сервис, куда уходят заявки из форм. Если за границей - перенеси их к российскому хостингу или облаку (Yandex Cloud, Selectel, VK Cloud) и обнови политику".