Бот Роскомнадзора: как работает автоматическая проверка сайтов и что он находит

С 2025 года в поиске резко выросло число запросов про «бота Роскомнадзора». Поводом стали сообщения ведомства об автоматизированном мониторинге сайтов на предмет нарушений законодательства о персональных данных и первые предостережения, которые компании получили без всякой жалобы и без выезда. Разберём, что об этом известно и что это меняет для владельца сайта.

Что известно

Роскомнадзор публично говорил о внедрении систем автоматизированного мониторинга, которые программно обходят сайты, зарегистрированные в российском сегменте, и фиксируют признаки нарушений: отсутствие политики, формы без согласия, передачу данных за рубеж. Технические детали ведомство не раскрывает, и мы не будем додумывать за него. Но по характеру предостережений, которые видели наши клиенты, картина складывается достаточно ясная.

Система работает с тем, что доступно любому посетителю: HTML страницы, подключённые скрипты, сетевые запросы, которые делает браузер, формы и их поля. Это ровно тот же набор данных, с которым работает любой сканер, в том числе наш.

Что фиксируется

Из предостережений и запросов пояснений, которые мы разбирали, можно выделить признаки, которые фиксируются автоматически.

• Форма с полями для имени, телефона или email без элемента согласия.
• Элемент согласия, отмеченный по умолчанию.
• Отсутствие ссылки на политику обработки персональных данных на странице с формой.
• Отсутствие самой политики или недоступность по ссылке.
• Загрузка счётчиков и пикселей аналитики при открытии страницы, до какого-либо действия посетителя.
• Запросы к иностранным доменам, которые передают IP-адрес посетителя: шрифты, карты, капчи, виджеты, аналитика.
• Отсутствие оператора в реестре при наличии признаков сбора данных на сайте.
• Расхождение домена или наименования с данными реестра.

Чего автоматическая проверка не видит: что происходит с данными после отправки формы, где они хранятся, кто имеет доступ, есть ли договоры с обработчиками. Это предмет проверки по документам, которая может последовать за автоматической.

Что происходит после

Типичный сценарий такой. Компании приходит предостережение о недопустимости нарушения обязательных требований с перечнем признаков и предложением устранить. Это ещё не наказание. Если признаки устранены, история часто на этом заканчивается. Если не устранены или если нарушение явное, например обработка без согласия при большом трафике, следует запрос пояснений, затем протокол и штраф по статье 13.11 КоАП. Суммы мы собрали в статье про штрафы по 152-ФЗ.

Отдельная история с реестром: если сайт собирает данные, а оператора в реестре нет, это фиксируется само по себе и ведёт к штрафу за неподачу уведомления. Как подать, в главном гайде.

Как проверить себя теми же методами

Логика простая: если ведомство смотрит на сайт глазами программы, посмотрите на него так же до ведомства. Мы сделали для этого бесплатный инструмент. Сканер открывает главную страницу как обычный посетитель, находит формы и их элементы согласия, фиксирует счётчики и внешние сервисы, проверяет наличие политики и показывает, какие нормы затронуты и какие штрафы возможны.

Один из признаков в результате показывается полностью, остальные перечислены по категориям, подробности в полном отчёте. Для первого понимания масштаба хватает и бесплатной версии: если сканер нашёл семь признаков, автоматическая проверка ведомства найдёт примерно то же.

Дальше либо правите сами по списку из статьи про дистанционную проверку, либо отдаёте нам: в аудите мы закрываем и видимую часть, и то, что снаружи не видно.