В вашей форме заявки сидит штраф.150 000 ₽

Гарантирую: отчёт отражает состояние сайта на дату проверки. Каждая находка — со ссылкой на норму, каждая сумма — из действующей редакции КоАП.

Не гарантирую, что через полгода отчёт останется актуальным. С мая 2025 года требования к сайтам менялись шесть раз, и до конца этого года изменятся ещё раз: 1 октября вступает закон о платформенной экономике.

Аудит — это снимок. Дальше есть два пути: приходить на проверку раз в полгода или взять пакет часов.

Если дело уже дошло до протокола или запроса — берусь за урегулирование. Это отдельная работа, обсуждаем отдельно.

Верно. 14 августа 2026 замглавы Роскомнадзора сказал это прямо: с начала 2025 года ни одного оборотного штрафа не назначено, всего 40 протоколов и 2,6 млн ₽ на всех.

В том же заявлении есть вторая цифра. Проверено 159 тысяч сайтов, нарушения нашли на 135 тысячах.

Разрыв между «нашли» и «оштрафовали» — это очередь, а не индульгенция. Данные уже в системе, и они не портятся.

А когда до штрафа доходит, размер решает защита. По утечке в онлайн-академии санкция была от 5 до 10 миллионов — суд назначил 400 тысяч.

Робот не выбирает по размеру. Он открывает страницу, читает код формы и фиксирует отмеченную галочку.

Нижняя граница штрафа одинаковая и у компании с оборотом 5 миллионов, и у компании с оборотом 500. Разница только в том, что для первой это половина годовой прибыли.

Оператор персональных данных — тот, кто определяет цели обработки. Это вы. Агентство поставило форму, а в реестре Роскомнадзора значитесь вы.

Регресс на подрядчика возможен, но только при поручении на обработку по статье 6 152-ФЗ. В типовой договор на разработку сайта этот пункт не входит.

И отдельно проверьте, на кого оформлен домен. Если на агентство — идентификацию через Госуслуги проходит оно, а не вы.

Хорошо, тогда проверка займёт меньше времени: половина вопросов закроется на первом созвоне.

Спросите его о четырёх вещах. Подано ли уведомление в Роскомнадзор и совпадают ли в нём цели обработки с реальностью. Есть ли поручение на обработку с агентством и разработчиком. Где физически лежит база с заявками. Что произойдёт в первые 24 часа после утечки.

Ответы есть — аудит вам не нужен.

Для справки: сайт юридического издания получил три штрафа на 155 000 ₽ — уведомление, политика, основание обработки.

Половину пунктов — да. Отмеченную галочку убирает разработчик за десять минут, ссылку на политику ставит контент-менеджер.

Вторая половина так не чинится: уведомление с правильно описанными целями обработки, поручение с подрядчиком, регламент на первые сутки после утечки, оценка того, куда уходят данные из формы. Здесь ошибка в формулировке даёт тот же штраф, что и полное бездействие — только с ощущением, что вопрос закрыт.

Чек-лист показывает, где смотреть. Он не говорит, что писать.

Экспресс-экспертиза стоит 7 000 ₽. Нижняя граница штрафа за одну незакрытую галочку — 150 000 ₽.

Если сравнение с риском не убеждает, сравните с другим: разовое обращение к юристу по факту проблемы стоит дороже, чем проверка до проблемы.

И промахнуться нельзя: стоимость младшей проверки зачитывается в старшую, если перейдёте в течение месяца.

Экспресс — две минуты на заявку. Дальше нужен только адрес сайта.

Глубокая — около часа: собрать документы по списку и полчаса на разбор.

Полный аудит — около двух часов за неделю: два коротких созвона, доступы и час на разбор отчёта.

Если по ходу найду то, что горит, напишу сразу, не дожидаясь отчёта.

Экспресс-экспертизу — да. Она работает по одному адресу, и согласие владельца для неё не нужно: я смотрю только то, что открыто любому посетителю. Публичные страницы, код, сетевые запросы, открытые реестры, домен, хостинг.

Заказывают перед решением: покупка бизнеса или доли, вход в партнёрство, крупный договор с подрядчиком. Отчёт показывает, что вы получите вместе с активом и сколько будет стоить привести это в порядок.

И для конкурентной разведки. Знать, как соседи по рынку собирают данные, маркируют рекламу и оформляют домены, полезно: половина находок у них окажется и у вас.

Глубокая и полный аудит без владельца невозможны: там нужны документы, доступы и созвоны.

Соглашение о неразглашении подписываю до старта — по вашей форме или по моей, как удобнее.

Доступы прошу только на чтение и только те, без которых выбранный уровень не работает. После проверки напоминаю отозвать их сам.

Отчёт уходит одному адресату, которого вы назовёте. В общие папки и облачные диски я его не кладу.

Дела клиентов не публикую. Всё, что стоит на этой странице, — публичная практика из открытых источников.

И то же, чего требую от вас: этот сайт сам работает как оператор персональных данных. Уведомление подано, политика опубликована, согласие логируется с датой и версией текста. Первый скептик проверит именно это.

Поменяется. С мая 2025 года требования менялись шесть раз. 1 октября вступает закон о платформенной экономике, а идентификация доменов через Госуслуги идёт до 18 января 2027.

Аудит фиксирует состояние на дату проверки. Дальше два пути: приходить раз в полгода или взять пакет часов и спрашивать по мере появления вопросов.