Проверка сайта на 152-ФЗ

Проверка сайта на 152-ФЗ — находки с нормой закона, доказательством и вилкой штрафа по КоАП

Модуль проверяет магазин изнутри: код тем и модулей, базу и настройки, страницы витрины и то, что на самом деле срабатывает в браузере. Каждая находка называет норму закона, объект, доказательство, по которому её можно проверить руками, и состав КоАП с вилкой штрафа. Модуль только читает: настройки, шаблоны и содержимое магазина он не меняет.

Какую задачу решает

С 1 июля 2025 года собирать персональные данные сразу в зарубежную систему запрещено, а Роскомнадзор проверяет сайты автоматически: разбирает HTML и скрипты, внешние подключения и формы, определяет, где размещён хостинг. Под трансграничную передачу попадает не только Google Analytics, но и шрифты, капча, карты и видео, зарубежные CDN, чаты и формы, почта домена за рубежом. С 1 марта 2026 года добавился 168-ФЗ о государственном языке: латиница и заимствования на кнопках, в названиях категорий и товаров.

Магазин на CS-Cart набирает такие подключения годами — через модули, HTML-блоки, правки шаблонов и менеджер тегов, который подставляет счётчики на лету. Модуль собирает их в один отчёт и показывает, где живёт каждое.

Инвентарь проверки: всё, что магазин подгружает извне, — вид, кто обрабатывает, страна обработки, цель и число мест, где встречается.

Что вы получите после установки

• •  Раздел «Веб-сайт → Аудит соответствия». «Проверить сейчас» запускает полную проверку, «Быстрая проверка (без обхода витрины)» — только код и базу. Проверка идёт порциями с индикатором выполнения, крон для неё не нужен.
• •  Отчёт по проверке: сводка — критично, существенно, замечание, новых и исчезнувших с прошлой проверки — и таблица находок с правилом, нормой, составом КоАП, объектом и состоянием.
• •  Блок «Административный риск» с вилкой штрафа по составам КоАП и оговорками.
• •  Карточка находки: в чём нарушение, чем это грозит, объект, доказательство, что сделать и «Принять риск» с обоснованием.
• •  Инвентарь внешних подключений со страной и целью обработки и Реестр обработки — заготовка для политики и уведомления в Роскомнадзор.
• •  Выгрузки: отчёт одним файлом (HTML), находки таблицей (CSV), реестр обработки (CSV).
• •  Проверка витрины зондом, Разрешённые слова для раздела о языке, Принятые риски и сторож с письмом о новых находках.

Список проверок: «Проверить сейчас» и быстрая проверка без обхода витрины; у каждого прогона — режим, статус, число критичных, существенных находок и замечаний, новых и исчезнувших.

Отчёт по проверке: сводка по серьёзности, новые и исчезнувшие находки и таблица — номер правила с буквой раздела, норма закона, состав КоАП, объект с отметкой «Наблюдался на витрине» или «Только в коде», состояние.

Девять разделов проверки

• •  A. Трансграничная передача и сторонние сервисы (152-ФЗ, ст. 12 и 18): Google Tag Manager и Google Analytics, Google Ads, Meta Pixel, зарубежные рекламные пиксели, запись сессий, шрифты, карты, капча и видео, зарубежные CDN, формы, чаты, CRM и рассылки, платёжные шлюзы, витрина за иностранным узлом, сервисы в шаблонах писем, почта домена, сайт, база или отправка писем вне России.
• •  B. Согласия и формы (152-ФЗ, ст. 9; закон о рекламе, ст. 18): форма без чекбокса согласия, чекбокс, отмеченный заранее, одна галка на данные и рекламу, нет ссылки на политику, подписка без подтверждения по почте, выключенные переключатели штатного модуля согласий, пустой журнал согласий, нет отзыва согласия и удаления учётной записи, форма отправляет данные на внешний домен.
• •  C. Файлы cookie и хранилища браузера: счётчик сработал до согласия, окна согласия нет или оно только уведомляет, долгоживущие файлы cookie, идентификаторы в хранилищах браузера, отпечаток браузера, подключаемые сервисы не названы в политике.
• •  D. Документы и раскрытие: политики нет или на неё ничего не ссылается, заглушки шаблона, пустой текст согласия, не назван оператор, ИНН в политике не совпадает с настройками, ничего о файлах cookie, демонстрационные реквизиты магазина, «пользуясь сайтом, вы даёте согласие».
• •  E. Меры защиты (152-ФЗ, ст. 19): необязательное защищённое соединение, нет HSTS и признаков защиты сессионного файла cookie, лишнее в открытом доступе, PHP и CS-Cart без поддержки, панель управления по адресу по умолчанию, выключенное журналирование входов.
• •  F. Сроки и объём хранения: данные старше заявленного срока, заказы от удалённых профилей, лишние обязательные поля, номера карт в комментариях к заказам, старые выгрузки на диске.
• •  G. Передача третьим лицам: включённые модули, отдающие данные наружу, и выгрузки, доступные без авторизации.
• •  H. Реклама: внешние баннеры без идентификатора маркировки erid и ссылки на запрещённые площадки.
• •  I. Государственный язык (168-ФЗ): непереведённые строки интерфейса на витрине, названия категорий, страниц, доставки, оплаты, статусов и блоков, товары без единого русского слова, иностранный текст в блоках, иностранные слова, записанные кириллицей.

Административный риск: вилка по составам КоАП

У 48 правил из 59 указан состав КоАП — статья и часть. Отчёт сводит находки к различным составам и показывает вилку штрафа от нижней границы до верхней: за одно нарушение назначают одно наказание, сколько бы строк отчёта на него ни ссылалось.

• •  Суммы по тексту кодекса в редакции, действующей с 30.05.2025. Для юридического лица, например: ч. 1 ст. 13.11 КоАП — 150 000–300 000 ₽, ч. 3 ст. 13.11 — 30 000–60 000 ₽, ч. 16 ст. 14.3 — 200 000–500 000 ₽, ч. 1 ст. 14.8 — 5 000–10 000 ₽.
• •  Юрлицо или ИП. Настройка «Оператор — кто» меняет вилки. По общему правилу предприниматель отвечает как должностное лицо — по ч. 1 ст. 13.11 это 50 000–100 000 ₽, а по частям 1.1 и 8–18 статьи 13.11 — как юридическое лицо.
• •  Спорная квалификация помечена словами «квалификация спорная». Например, для трансграничной передачи единой практики нет.
• •  Оговорки в самом блоке: вилка собрана по составам, а не сложением; по статье 4.1.1 КоАП штраф за впервые совершённое нарушение, выявленное при государственном контроле, при обстоятельствах части 2 статьи 3.4 заменяется предупреждением; находки раздела «Меры защиты» в оценку не входят.
• •  Принятые риски в оценку не входят: решение принято осознанно и записано.

Блок «Административный риск»: вилка штрафа, составы КоАП с числом находок и пометкой «квалификация спорная», оговорки и список того, что проверка не измеряет.

Карточка находки и принятый риск

• •  В чём нарушение и что сделать — свой текст у каждого из 59 правил.
• •  Доказательство: адрес страницы, путь к файлу, запись базы или фрагмент кода. Персональные данные в доказательствах маскируются: почта, телефоны, номера карт, ключи и токены.
• •  Кто обрабатывает, страна и цель для найденного сервиса и модуль магазина, который его ставит, со ссылкой на его настройки.
• •  «Наблюдался на витрине» или «Только в коде»: упоминание в коде и обращение браузера — разные вещи, и отчёт их различает.
• •  «Принять риск» с обоснованием. Решение хранится по отпечатку находки и переживает все последующие проверки; находка остаётся в отчёте с пометкой «Риск принят». Без обоснования принять риск нельзя.
• •  Сравнение с прошлой проверкой: состояние «Новая» или «Была раньше» и число исчезнувших находок.

Карточка находки: норма закона, «Чем это грозит» по КоАП, объект, доказательство, «Что сделать» и форма «Принять риск» с обоснованием.

Инвентарь сервисов и реестр обработки

Инвентарь собирает всё, что магазин подгружает извне, — нарушение это или нет — с поставщиком, страной и целью обработки. Сигнатурная база модуля знает 57 сервисов, в том числе российские: за трансграничную передачу они не отмечаются.

• •  Реестр обработки: оператор, ИНН, адрес и телефон, затем получатели данных — вид, объект, кто обрабатывает, страна, цель и где встречается. Страны, кроме RU, выделены.
• •  Выгрузка реестра в CSV, которая открывается в Excel.
• •  Страна размещения сайта, базы данных, сервера отправки писем и почты домена. Если площадку опознать не удалось, отчёт так и говорит, а не выдаёт догадку за факт.
• •  Сверка ИНН из настроек модуля с тем, что написано в политике.

Реестр обработки: реквизиты оператора и получатели данных — поставщик, страна, цель и где встречается; страны, кроме RU, выделены.

Проверка витрины зондом

Менеджер тегов подставляет счётчики на лету, поэтому ни код, ни отданная страница не показывают, что сработало на самом деле. Зонд отвечает на это из настоящего браузера.

Проверка витрины: подсказка про приватное окно, состояние сеанса зонда и последний сеанс — страниц пройдено, наблюдений, сколько сработало до согласия.

Государственный язык и разрешённые слова

Раздел I проверяет то, что видит покупатель: строки интерфейса ищутся в странице, которую витрина отдала, а административные строки в проверку не входят.

• •  Латиница в строках интерфейса, названиях категорий, страниц, способов доставки и оплаты, статусов заказов, в заголовках и содержимом блоков и в названиях товаров без единого русского слова. «Смартфон Apple iPhone» находкой не считается.
• •  Иностранные слова, записанные кириллицей: словарь из 91 слова с заменами — «сейл», «прайс» и другие. Находка одна на магазин: слова, замены, сколько раз и где встречаются.
• •  Разрешённые слова: поставочный список брендов, платёжных марок, единиц измерения и технических обозначений и ваш собственный список для витрины — латиницей или кириллицей, с обоснованием.

Разрешённые слова: ваши слова с обоснованием и датой, форма добавления и поставочный список, который приходит с модулем.

Сторож и проверка по расписанию

• •  Адрес для планировщика с ключом расписания: полная проверка раз в сутки. Ключ хранят как пароль; «Выдать новый ключ расписания» делает старый адрес недействительным.
• •  Письмо только о новом: о находках, появившихся после прошлой проверки, начиная с выбранной серьёзности. Нового нет — письма нет.
• •  Что меняли в магазине: статус модуля, блок витрины, настройка — с именем администратора и датой. Список виден на экране проверок и приходит в письме.
• •  Проверки по витринам: прогоны, сеансы зонда и разрешённые слова ведутся для выбранной витрины.

Чего модуль не делает

• •  Не даёт юридического заключения. Модуль показывает технические факты и сопоставляет их с формулировками закона; является ли находка нарушением в ваших обстоятельствах, решает юрист. Эта оговорка есть и в выгружаемом отчёте.
• •  Ничего не исправляет сам: не меняет настройки, шаблоны, блоки и содержимое, не отключает модули. Что сделать, написано в каждой находке. Окно согласия и счётчики, придержанные до выбора посетителя, настраиваются штатным уведомлением CS-Cart или модулем «Согласие на файлы cookie» Cart-Power — модули продаются в паре.
• •  Не выявляет утечки: составы частей 12–15 статьи 13.11 по сайту не видны, и в оценку они не входят.
• •  Не определяет, где закон требует письменного согласия, и не ходит в реестр операторов Роскомнадзора: ИНН из настроек сверяется с политикой, а реестр по этому номеру проверяет человек.
• •  Не подаёт уведомлений в Роскомнадзор и не пишет политику: реестр обработки — заготовка для юриста.
• •  Не видит формы, которые подгружаются запросом во всплывающем окне, — обход разбирает страницы, отданные витриной.

Во что обходится работа

Полная проверка обходит вашу же витрину и создаёт нагрузку, как обычный посетитель. План обхода фиксирован: главная, каталог, корзина, вход, регистрация, восстановление пароля, поиск, одна категория, одна карточка товара и до 60 страниц содержимого — по умолчанию на основном языке. Предел — 150 страниц за проверку, пауза между запросами — 200 мс, таймаут — 15 секунд; всё меняется в настройках. Ноль в паузе — самая быстрая и самая тяжёлая проверка. Быстрая проверка витрину не обходит.

Данные проверок лежат в собственных таблицах модуля: сырые факты — за три последние проверки, доказательства — 90 дней, наблюдения зонда — 14 дней; сроки задаются в настройках. На тестовом стенде CS-Cart Multi-Vendor 4.20.1 полная проверка занимала меньше минуты. Сторожу нужен планировщик, который раз в сутки открывает адрес расписания.

Стоимость — 9 900 ₽: цена указана в рублях за одну лицензию на один магазин, НДС не облагается. Для работы нужен модуль «Cart-Power: Менеджер модулей».

Частые вопросы