Проверили 4 637 сайтов в 10 городах-миллионниках: как бизнес соблюдает 152-ФЗ
Марк Голдин, юрист ·
В конце сентября 2026 года наш сканер обошёл 4 637 сайтов малого и среднего бизнеса из десяти городов-миллионников — от Новосибирска до Краснодара. Стоматологии и автосервисы, юристы и клининг, автошколы и фитнес-клубы. Смотрели только то, что видит любой посетитель и любой инспектор, когда открывает сайт. Нарушение 152-ФЗ видно у каждого второго сайта. А сайтов, к которым нельзя придраться даже по мелочи, на всю выборку нашлось восемь.
Главное в цифрах. Хотя бы одно нарушение видно у 50% сайтов. Уведомления о cookie нет у 57%. Политику обработки персональных данных не удалось найти у 35%, а в двух из трёх найденных политик не хватает обязательных разделов. У 12% сайтов галочка согласия уже стоит за человека. Базовый набор — политика, правильная форма и уведомление о cookie — в порядке только у 4% сайтов.
Кого и как проверяли
- Города. Екатеринбург, Казань, Краснодар, Красноярск, Нижний Новгород, Новосибирск, Ростов-на-Дону, Самара, Уфа, Челябинск. Москву и Петербург разберём отдельно: там другой рынок и другие сайты.
- Ниши. Автосервис, автошкола, агентство недвижимости, клининг, медицинский центр, ремонт квартир, салон красоты, стоматология, фитнес-клуб, юрист. Это бизнес, который живёт заявками с сайта и собирает телефоны каждый день.
- Выборка. По каждой нише в каждом городе брали первые 50 сайтов из выдачи Яндекса. Агрегаторы, справочники, соцсети, СМИ и госсайты отсекали, а федеральную сеть считали один раз, а не в каждом городе. Из 5 000 сайтов 363 не открылись или закрыты защитой от автоматических запросов. В расчёт вошли 4 637.
- Инструмент. Тот же сканер, которым любой может бесплатно проверить свой сайт на главной. Как он устроен и чего не видит, мы подробно описали в методике.
- Что считали нарушением. Только то, что видно по сайту прямо: политики нет, галочка стоит заранее, форма не говорит, кто получит данные. Косвенные признаки шли отдельно, как «требует проверки». Если что-то проверить не удалось, это не считалось ни нарушением, ни нормой.
Это внешняя автоматическая проверка. Признак на сайте ещё не означает установленного нарушения: окончательно оценить можно только вместе с документами и процессами компании. Список сайтов мы не публикуем и никому не передаём.
Половина сайтов — с нарушением. Но не с десятью
Картина не такая мрачная, как любят рисовать продавцы «аудитов за 30 тысяч». Больше трёх явных нарушений мы не нашли ни на одном сайте. Типичный случай — одна недоделка: забыли баннер о cookie, не обновили политику, оставили галочку в форме отмеченной.
Но и «всё в порядке» — редкость. Сайтов, где нет ни нарушений, ни пунктов, которые стоит перепроверить руками, всего восемь. Даже у аккуратных сайтов почти всегда находится что-то: шрифт с серверов Google, счётчик, который включается до согласия, не найденный ИНН.
Город почти не важен. Важна ниша
Мы ждали, что города будут сильно отличаться. Не отличаются: доля сайтов с нарушением колеблется от 47–48% в Екатеринбурге, Красноярске, Самаре и Челябинске до 53% в Нижнем Новгороде и Новосибирске. Шесть процентных пунктов на выборке в 460 сайтов на город — это почти шум.
Таблица по городам
| Город | Сайтов | С нарушениями | Нет политики | Нет уведомления о cookie | Галочка заранее |
|---|---|---|---|---|---|
| Нижний Новгород | 462 | 53% | 38% | 58% | 11% |
| Новосибирск | 460 | 53% | 33% | 55% | 14% |
| Ростов-на-Дону | 462 | 52% | 38% | 56% | 14% |
| Краснодар | 456 | 52% | 31% | 55% | 11% |
| Уфа | 458 | 50% | 36% | 59% | 11% |
| Казань | 472 | 49% | 33% | 57% | 12% |
| Челябинск | 471 | 48% | 34% | 59% | 12% |
| Екатеринбург | 466 | 47% | 28% | 54% | 12% |
| Красноярск | 466 | 47% | 42% | 57% | 9% |
| Самара | 464 | 47% | 38% | 56% | 12% |
А вот между нишами разница почти двукратная. Лучше всех медицина: нарушение видно у 35% медицинских центров и 40% стоматологий. Хуже всех ремонт квартир (61%) и клининг (60%).
Таблица по нишам
| Ниша | Сайтов | С нарушениями | Нет политики | Нет уведомления о cookie | Галочка заранее |
|---|---|---|---|---|---|
| Ремонт квартир | 476 | 61% | 35% | 65% | 20% |
| Клининг | 458 | 60% | 41% | 70% | 15% |
| Агентство недвижимости | 464 | 55% | 36% | 64% | 10% |
| Юрист | 461 | 55% | 39% | 60% | 9% |
| Автошкола | 463 | 52% | 46% | 63% | 10% |
| Автосервис | 464 | 51% | 45% | 70% | 10% |
| Фитнес-клуб | 463 | 48% | 29% | 52% | 13% |
| Салон красоты | 465 | 42% | 40% | 56% | 6% |
| Стоматология | 472 | 40% | 21% | 34% | 14% |
| Медицинский центр | 451 | 35% | 20% | 33% | 10% |
Объяснение, по-видимому, простое. Клиника живёт под лицензией и привыкла к проверкам: сайт ей обычно делает агентство, а юрист его хотя бы раз видел. Отсюда уведомление о cookie у двух клиник из трёх — вдвое чаще, чем у автосервисов и клининга, где баннера нет у 70%. Сайт компании по ремонту или уборке чаще собран за вечер на конструкторе, и в нём живёт всё, что было в шаблоне по умолчанию. Например, заранее отмеченная галочка: у ремонтников она встречается на каждом пятом сайте.
Отдельно стоит сказать про юристов. 55% сайтов с нарушением — чуть хуже среднего. Сапожник без сапог: консультируем клиентов по договорам, а политику на собственном сайте не обновляли с момента запуска.
Политика: у трети её нет, у остальных — с дырами
Политика обработки персональных данных — самый старый и самый известный пункт закона. И всё равно у каждого третьего сайта её не удалось найти. Примерно у половины из них её точно нет: ни ссылки в подвале, ни страницы. У остальных сайт собирается скриптами, и сканер мог её не увидеть, поэтому такие случаи мы считали не нарушением, а пунктом «требует проверки».
Хуже другое. Там, где политика есть, в двух случаях из трёх в ней нет хотя бы одного обязательного раздела: целей обработки, перечня данных, сроков хранения, прав человека или сведений о том, кто вообще оператор. Это почти всегда шаблон, скачанный много лет назад. В нём чужие цели, нет ни слова про Метрику и CRM, которые стоят на сайте, а раздела о сроках нет вовсе.
Если у вас такая же история, соберите политику под свой сайт в бесплатном конструкторе: в ней будут все разделы, которые ищет проверяющий. Что должно быть в документе и почему, мы разбирали в статье про политику для сайта.
Формы: галочка есть, а толку нет
Формы нашлись на 3 309 сайтах. Среди них:
Заранее отмеченная галочка — самое показательное нарушение исследования. Согласие должно быть действием человека, а тут за него «согласился» разработчик. Юридически такое согласие ничего не стоит, а исправляется одной настройкой в конструкторе.
Любопытно ведут себя сайты на Тильде. Галочка у формы на них есть почти всегда: без неё только 2% сайтов. Но на 45% сайтов рядом с галочкой нет ни слова о том, кто получит данные и зачем, — только «я согласен». Конструктор приучил владельцев ставить галочку, но не приучил писать текст согласия. Закон же требует именно сообщить человеку, кто оператор и для чего ему данные. Как это сделать правильно — в статье о согласии на обработку.
Cookie и зарубежные сервисы
Больше половины сайтов не говорят посетителю о cookie. Цифра может быть немного завышена: часть баннеров появляется с задержкой, и сканер мог их не дождаться. Но даже с этой поправкой баннер пока скорее исключение, чем правило.
Самое уязвимое сочетание — зарубежная аналитика без всякого уведомления. Таких сайтов 869, почти каждый пятый. Счётчик иностранной компании начинает собирать данные посетителя в первую же секунду, и без согласия и уведомления Роскомнадзора о трансграничной передаче это нарушение сразу по нескольким пунктам. Каждый второй сайт тянет шрифты и библиотеки с зарубежных серверов, чаще всего Google Fonts. Это не сбор данных в прямом смысле, но IP-адрес посетителя уходит за границу ещё до того, как он что-то нажал.
Подробнее — в статьях про cookie-баннер и про трансграничную передачу.
Реквизиты и реестр Роскомнадзора
У каждого второго сайта по открытым страницам невозможно понять, какая компания собирает данные. Для закона это не мелочь: политика и согласие должны называть оператора.
С реестром операторов нам не повезло. Большую часть времени, пока шла проверка, реестр Роскомнадзора не отвечал на запросы. Сверить ИНН удалось только по 314 компаниям. Из них 70, то есть каждой пятой, в реестре нет: скорее всего, они не подавали уведомление. В Перми на выборке поменьше мы получили похожую долю — каждая четвёртая. Цифру стоит считать ориентиром, а не точной оценкой. Для организаций и ИП неподанное уведомление обходится в штраф от 100 до 300 тысяч рублей, хотя само уведомление бесплатное — как его подать.
Что в порядке
HTTPS стал нормой: совсем без шифрования работает около 1% сайтов, ещё у 9% HTTP-версия не перенаправляет на защищённую. Серверов за границей среди бизнеса, у которого видна страна, почти нет — всего 30 сайтов.
Вход через иностранные сервисы, за который с июля 2026 года штрафуют по ст. 13.55 КоАП, тоже редкость. Только через Google или Apple ID входят на 66 сайтах, ещё на 145 такой вход стоит рядом с российским. У малого бизнеса личных кабинетов почти нет, так что это проблема скорее интернет-магазинов и сервисов. Подробности — в статье про авторизацию.
Tilda, WordPress, Битрикс: у кого что
Таблица по платформам
| Платформа | Сайтов | С нарушениями | Нет политики | Нет галочки | Нет уведомления о cookie |
|---|---|---|---|---|---|
| WordPress | 1 020 | 56% | 42% | 10% | 53% |
| Tilda | 971 | 54% | 26% | 2% | 57% |
| 1С-Битрикс | 695 | 44% | 29% | 15% | 47% |
| Joomla | 128 | 56% | 48% | 4% | 66% |
| Другие и самописные | 1 593 | 45% | 36% | 11% | 64% |
Лучше других держится 1С-Битрикс — вероятно, потому что на нём чаще работают компании побольше и со своим подрядчиком. На WordPress политики нет у 42% сайтов — заметно чаще, чем на Тильде и Битриксе. Тильда, как мы уже видели, проигрывает на формах: галочка есть, текста согласия нет. Среди мелких конструкторов выделяется Taplink: политики нет у 78% из 23 сайтов, но выборка слишком маленькая для выводов.
Разборы по платформам: Тильда, WordPress, 1С-Битрикс.
А что Пермь?
В сентябре мы уже проверяли 290 сайтов пермского бизнеса — вот это исследование. Там нарушение нашлось у 62% сайтов, здесь — у 50%. Но по отдельным пунктам цифры почти совпали: политику не удалось найти у 34% в Перми и у 35% здесь, уведомления о cookie нет у 55% и 57%. Похоже, дело не в городе: у малого бизнеса по всей стране одни и те же привычки и одни и те же шаблоны сайтов.
Что с этим делать владельцу сайта
Хорошая новость в том, что почти всё найденное — недоделки, а не «миллионные» риски. Большая часть закрывается за день:
- Собрать политику под свой сайт — в конструкторе это займёт минут десять.
- Снять заранее отмеченные галочки и добавить у каждой формы текст: кто получит данные и зачем.
- Поставить уведомление о cookie, которое включает счётчики только после согласия.
- Указать в подвале наименование и ИНН.
- Найти себя в реестре операторов и подать уведомление, если вас там нет.
И не пугайтесь сумм. Штрафы по разным пунктам не складываются, а за первое нарушение, выявленное при проверке, штраф при определённых условиях заменяют предупреждением. Посчитать свой случай можно в калькуляторе штрафов, а проверить сайт — бесплатно, формой ниже.
Оговорки
- Выборка — сайты из выдачи Яндекса по десяти нишам в десяти городах. Это срез малого и среднего бизнеса, а не всего рунета.
- Сканер видит только открытые страницы. Внутренние документы, приказы и процессы компании снаружи проверить нельзя.
- Часть сайтов собирается скриптами. На них сканер мог не увидеть форму, баннер или ссылку на политику, поэтому такие пункты помечались «требует проверки», а не нарушением.
- Реестр Роскомнадзора отвечал только на часть запросов, поэтому цифра по реестру основана на 314 компаниях.
- Используйте цифры со ссылкой на эту страницу. Следующий срез — Москва и Петербург.
Проверьте свой сайт — девять проверок по 152-ФЗ, полный отчёт бесплатно и без регистрации.