Требования Роскомнадзора (РКН) к сайтам и Интернет-магазинам в 2026

Время на прочтение: 34 минут

В 2026 году Роскомнадзор действительно ужесточил контроль — теперь проверки идут в том числе через автоматизированные системы (ИИ сканирует сайты 24/7: смотрит не только текст, но и код, скрипты, cookie).

Что нужно проверить, чтобы соответствовать требованиям РКН

Юридическая информация в подвале. На всех страницах должна быть ссылка на раздел с реквизитами владельца. Для юрлица: полное наименование, организационно-правовая форма, ОГРН, ИНН, юридический адрес, контакты. Для ИП: ФИО, ОГРНИП, ИНН, адрес регистрации. Для самозанятых: ФИО или коммерческое наименование, ИНН, контакты. Шрифт не менее 12 px, информация должна быть легкодоступна (без лишних кликов).
Политика обработки персональных данных. Документ должен быть в открытом доступе (обычно в футере). В нём нужно чётко прописать: какие данные собираете (ФИО, email, телефон, cookie-файлы, IP-адреса и т.д.), зачем их обрабатываете, на каком правовом основании (согласие, договор, закон), сроки хранения, права субъектов данных, контактные данные для обращений. Важно: не берите готовый шаблон «на всякий случай» — политика должна отражать именно ваш сайт, ваши формы и интеграции.
Согласие на обработку персональных данных. Оно должно быть во всех формах (заявки, регистрация, подписка, онлайн-чат с сохранением данных). Чекбокс должен быть пустым по умолчанию — пользователь сам должен его активировать. Рядом — чёткая формулировка: на что именно соглашаетесь, со ссылкой на политику. В тексте укажите, кто обрабатывает данные, их перечень, цели, сроки, информацию о передаче третьим лицам. Отдельно нужно согласие на передачу данных сторонним сервисам (CRM, аналитике). Технически факт согласия нужно фиксировать (сохранять лог-файлы с IP и временем).
Cookie-уведомление. При первом посещении сайта должен всплывать баннер. В нём нужно описать все типы используемых cookie (функциональные, аналитические, маркетинговые) и дать возможность отказаться от отдельных категорий. В самом баннере должна быть прямая ссылка на политику конфиденциальности (или на раздел про cookie в ней). Роскомнадзор особенно пристально смотрит на сайты с интеграциями вроде Яндекс.Метрики или Google Analytics.
Локализация персональных данных. С 1 июля 2025 года первоначальный сбор и хранение персональных данных граждан РФ должны осуществляться с помощью ПО, серверы которого физически находятся в России. Это касается хостинга, CDN и облачных сервисов. Если вы используете зарубежные сервисы (Google Drive, Dropbox и т.п.), это считается трансграничной передачей — нужно подать в Роскомнадзор уведомление об этом. Инспектор проверяет физическое расположение оборудования.
Защита данных. Вы обязаны принять меры для защиты данных от неправомерного доступа. Это включает: использование SSL-сертификата (HTTPS, протокол TLS 1.2 или выше, действующий сертификат без ошибок, редирект с HTTP на HTTPS), регулярное обновление CMS и плагинов, двухфакторную аутентификацию для администраторов, журналирование действий с данными, резервное копирование.
Доступность по ГОСТ Р 52872-2019. С 1 марта 2026 года стандарт применяется полностью в базовом дизайне. Нужно обеспечить: alt-тексты для всех изображений, контрастность текста не менее 4.5:1, навигацию с клавиатуры, совместимость со скринридерами, возможность масштабирования до 200% без горизонтальной прокрутки. Отдельная кнопка контрастного режима уже не подойдёт.
Уведомление в Роскомнадзор. Если сайт собирает персональные данные (даже если это просто форма обратной связи), до начала обработки нужно подать уведомление через портал pd.rkn.gov.ru. В уведомлении укажите цели, способы обработки, меры безопасности, используемые системы. Если есть трансграничная передача — отразите это отдельно.
Отдельное согласие на рекламные рассылки. Для отправки маркетинговых писем, SMS или push-уведомлений нужно отдельное, явное согласие пользователя. Разместите отдельный чекбокс с чёткой формулировкой о целях рассылки.

Особые требования

Для аккредитованных ИТ-компаний действует Приказ Минцифры № 511. На сайте нужно разместить: коды видов деятельности из реестра Минцифры, подробное описание ИТ-продуктов на русском языке, конкретные тарифы (формулировки «по запросу», «договорная» не подходят), сведения о круглосуточной технической поддержке и данные об аккредитации. Несоблюдение грозит лишением аккредитации и утратой льгот (по налогу на прибыль и страховым взносам).

Несколько важных нюансов

Визуально «всё выглядит нормально» — не аргумент. Нарушения часто скрываются в коде, скрытых скриптах или DOM-структуре.
Роскомнадзор реагирует на любые жалобы, в том числе анонимные.
За нарушения предусмотрены штрафы (например, за отсутствие политики или согласия — от 300 000 до 700 000 рублей для организаций, за отсутствие локализации — от 1 до 3 млн рублей для юрлиц).

Требования к интернет‑магазинам и сайтам с оплатой

Если у вас интернет‑магазин или на сайте есть приём платежей, требования усиливаются:

Публичная оферта. Должна быть в открытом доступе, с чёткими условиями продажи, доставки, возврата и обмена. В оферте обязательно прописывают порядок обработки персональных данных при оформлении заказа — это не заменяет политику конфиденциальности, а дополняет её.
Реквизиты платёжного агента. Если вы принимаете оплату через сторонний сервис, на сайте нужно указать сведения об этом агенте (наименование, ИНН, лицензия/статус, если требуется).
Подтверждение заказа. После оформления заказа пользователь должен получать автоматическое уведомление (на почту или в мессенджер) с номером заказа, перечнем товаров, суммой, датой и предполагаемой датой доставки. Это одновременно и защита прав потребителя, и доказательство корректной работы оператора ПДн.
Обработка данных платёжных карт. Если данные карт вводятся на вашем сайте (не через редирект на платёжный шлюз), действуют требования PCI DSS: шифрование трафика, изоляция платёжного модуля, регулярные аудиты безопасности, запрет на хранение полных данных карт. Если платёж идёт через внешний шлюз — достаточно корректно оформить ссылки и уведомления, что обработка происходит на стороне платёжного сервиса.

Трансграничная передача данных: как оформить, если без неё не обойтись

Даже если серверы в РФ, данные могут уходить за границу через интеграции (CRM, аналитика, рекламные пиксели). В 2026 году это строго регламентировано:

Уведомление в Роскомнадзор о трансграничной передаче — подаётся отдельно от общего уведомления об обработке ПДн. В нём указывают: перечень стран, куда передаются данные; категории данных; категории субъектов; наименование иностранных получателей (если известны); меры защиты, которые применяет иностранный получатель.
Проверка иностранного получателя. Нужно запросить у зарубежного партнёра документы: политику конфиденциальности на английском и русском, сертификаты безопасности (ISO 27001, SOC 2 и т.п.), описание мер защиты, подтверждение соблюдения GDPR или аналогичных стандартов. Эти документы хранят как доказательную базу.
Согласие субъекта. В тексте согласия на обработку ПДн должна быть прямая формулировка о трансграничной передаче: «Даю согласие на передачу моих персональных данных за пределы Российской Федерации в целях…». Без этого передача считается незаконной.
Минимизация данных. Передавайте только необходимый минимум: например, для аналитики — агрегированные данные без привязки к конкретным лицам.

Практический совет: по возможности заменяйте иностранные сервисы российскими аналогами. Например, вместо Google Analytics — Яндекс.Метрика, вместо зарубежных CRM — российские решения. Это снижает риски и упрощает отчётность.

Работа с запросами пользователей о персональных данных

С 2026 года Роскомнадзор проверяет не только документы, но и процессы. Вы обязаны организовать работу с обращениями субъектов ПДн:

Канал приёма запросов. На сайте должна быть форма или email для обращений по вопросам персональных данных. Контакты размещают в разделе «Политика конфиденциальности» и в футере.
Сроки ответа. На запрос о предоставлении сведений о своих ПДн — не позднее 10 рабочих дней. На запрос об уточнении, блокировании или удалении — не позднее 7 рабочих дней. При отказе — мотивированный письменный ответ с указанием оснований.
Документирование. Все запросы и ответы фиксируют в журнале: дата поступления, суть, результат, дата ответа, ФИО ответственного. Журнал хранят не менее 3 лет.
Идентификация заявителя. Перед предоставлением сведений нужно подтвердить личность пользователя (например, по коду из SMS, через авторизацию в личном кабинете или по скану документа). Это защищает от утечки данных третьим лицам.

Особенности для разных типов сайтов

Лендинги и сайты‑визитки. Даже если это одна страница с формой «Заказать звонок», вы — оператор ПДн. Нужны политика конфиденциальности, согласие в форме, cookie‑баннер и уведомление в РКН.
Блоги и медиа с подпиской. Если собираете email для рассылки, требуется отдельное согласие на рассылку + общее согласие на обработку ПДн. Подписка без явного согласия — нарушение.
Сайты с личным кабинетом. Здесь повышенные требования к защите: двухфакторная аутентификация, журнал входов, возможность просмотра и удаления своих данных пользователем, шифрование чувствительных полей.
Корпоративные порталы и интранет. Если доступ есть у внешних подрядчиков или клиентов, требования к ПДн распространяются и на эти части сайта.

Технические проверки и «скрытые» риски

Роскомнадзор в 2026 году активно использует автоматизированный мониторинг. Инспекторы смотрят не только на видимые страницы, но и на:

Код страницы. Скрытые скрипты, пиксели, трекинговые теги — даже если они не видны пользователю, их наличие фиксируется.
DOM‑структуру. Динамически подгружаемые элементы (например, формы из CDN) тоже учитываются.
Редиректы и iframe. Если форма или виджет загружается с иностранного домена, это может считаться трансграничной передачей.
Логи сервера. Проверяют наличие логов согласий (IP, время, версия политики), резервных копий и журналов безопасности.

Частая ошибка: сайт выглядит «чисто», но в коде остаётся старый пиксель Facebook или скрипт Google Analytics, который больше не используется. Для Роскомнадзора это всё равно считается обработкой и передачей данных. Такие элементы нужно полностью удалить из кода.

Что ещё важно учесть

Русификация. С 1 марта 2026 года основная информация на сайте (названия разделов, кнопки, описания) должна быть на русском языке. Латиницей можно дублировать, но не заменять. Исключение — зарегистрированные товарные знаки.
Домен и хостинг. Для коммерческих сайтов рекомендуется использовать доменные зоны .ru или .рф. Хостинг и базы данных — только на серверах в РФ.
Регулярный аудит. Проводите проверку сайта минимум раз в квартал: обновляйте политику конфиденциальности при изменениях функционала, проверяйте актуальность SSL‑сертификата, удаляйте неиспользуемые интеграции, тестируйте формы на корректность согласий.

План действий, чтобы быстро привести сайт в соответствие

Проведите инвентаризацию. Составьте список всех форм, интеграций, сервисов, которые собирают или передают данные.
Проверьте локализацию. Убедитесь, что сервер и БД находятся в РФ, а при трансграничной передаче есть уведомление и согласия.
Обновите документы. Перепишите политику конфиденциальности под реальные процессы, добавьте разделы про cookie и трансграничную передачу.
Настройте технические элементы. Внедрите cookie‑баннер, настройте логирование согласий, проверьте SSL‑сертификат.
Подайте уведомления. Отправьте уведомление об обработке ПДн и, если нужно, о трансграничной передаче через портал РКН.
Организуйте процессы. Настройте приём и обработку запросов пользователей, заведите журнал обращений.
Проведите финальный тест. Проверьте сайт как обычный пользователь: все ли баннеры появляются, работают ли формы, открываются ли документы.

Требования к авторизации и идентификации пользователей

С июля 2026 года действуют жёсткие правила по способам входа на сайт, если у вас есть личные кабинеты, регистрация или авторизация:

Разрешённые способы. Вход должен быть возможен через российские методы: по номеру телефона РФ, через Госуслуги, Единую биометрическую систему (ЕБС) либо через российскую ID‑систему, принадлежащую юрлицу РФ.
Запрещённые способы. Использование исключительно Apple ID, Google ID, Microsoft Account и аналогичных иностранных систем авторизации — нарушение. Если такие способы есть, нужно обязательно добавить хотя бы один разрешённый вариант и сделать его приоритетным.
Хранение данных об авторизации. Для всех зарегистрированных пользователей нужно хранить на серверах в РФ сведения о фактах авторизации и действиях в течение 3 лет (раньше было 1 год). В логах фиксируют IP, устройство, время входа, факт смены пароля, попытки подбора.

Для ИТ‑разработчиков и интеграторов: при проектировании личного кабинета сразу закладывайте архитектуру под российские ID‑системы и логирование событий. Это не «опционально», а обязательное требование для организаторов распространения информации.

Маркировка интернет‑рекламы на сайте

Если на вашем сайте есть любая реклама (баннеры, партнёрские ссылки, нативные блоки, даже «наши рекомендации»), с 2026 года это регулируется через ЕРИР (Единый реестр интернет‑рекламы):

Обязательная маркировка. Каждое рекламное объявление должно содержать слово «Реклама», данные рекламодателя (наименование, ИНН) и уникальный идентификатор ERID.
Регистрация креативов. Креативы регистрируются через Оператора рекламных данных (ОРД) до показа.
Учёт показов. Нужно передавать в ОРД статистику: показы, клики, даты, площадки.
Исключения. Не считается рекламой только собственный контент без призыва к покупке (например, статья в блоге без промокодов и ссылок на товары). Но если есть промокод или «купить» — это уже реклама.

Практический нюанс: даже если рекламу размещает подрядчик, ответственность несёт владелец сайта. Поэтому в договоре с подрядчиком прописывают обязанность по маркировке и передаче данных в ОРД.

Хранение и удаление персональных данных

Роскомнадзор проверяет не только «сбор», но и «хранение» и «удаление»:

Сроки хранения. Для разных типов данных действуют разные сроки. Например, логи авторизации — 3 года, данные в CRM по заявкам — не дольше, чем нужно для цели (и не дольше срока, указанного в политике).
Право на удаление. Пользователь вправе запросить удаление своих данных. Процедура должна быть технически реализуема: не «мы удалим вручную через месяц», а понятный процесс с подтверждением и фиксацией факта удаления.
Архивация и резервное копирование. Бэкапы тоже считаются хранением ПДн. Они должны быть на серверах в РФ и защищены (шифрование, разграничение доступа, контроль целостности).

Для разработчиков: в личном кабинете добавьте кнопку «Удалить аккаунт» с понятным процессом: подтверждение по SMS/почте, уведомление о том, что данные будут удалены, и реальное удаление из всех систем (CRM, рассылок, аналитики).

Требования к мобильным версиям и PWA

Если у сайта есть мобильная версия, адаптив или PWA‑приложение, требования те же, что и для основного сайта:

Политика конфиденциальности, согласие на обработку ПДн, cookie‑баннер должны быть доступны и в мобильной версии.
Если PWA использует авторизацию — действуют те же правила по способам входа и хранению логов.
Доступность (контрастность, навигация с клавиатуры, alt‑тексты) проверяется и на мобильных устройствах.

Особенности для SaaS‑сервисов и облачных платформ

Если вы разрабатываете или размещаете SaaS‑сервис (личный кабинет, CRM, конструктор сайтов), требования усиливаются:

Локализация данных. Первичный сбор и хранение ПДн пользователей из РФ — только на серверах в России. Даже если сервис «международный», для пользователей из РФ должна быть отдельная инфраструктура.
Разделение данных. В архитектуре сервиса нужно предусмотреть возможность изолированного хранения данных российских пользователей.
Договоры с клиентами. В оферте и SLA прописывают, где хранятся данные, как обеспечивается безопасность, как обрабатываются запросы на удаление и исправление данных.

Как Роскомнадзор выявляет нарушения: что реально проверяют

В 2026 году проверки стали автоматизированными и глубокими:

ИИ‑сканеры анализируют код страницы: ищут скрытые пиксели, скрипты аналитики, формы без согласия, iframe с иностранных доменов.
Проверка редиректов. Если форма или виджет загружается с зарубежного домена — это риск трансграничной передачи.
Анализ логов и SSL. Проверяют наличие HTTPS, актуальность сертификата, отсутствие устаревших протоколов.
Тестирование форм. Система может «прокликать» форму, проверить, есть ли чекбокс согласия, не стоит ли он по умолчанию, открывается ли политика конфиденциальности.
Проверка доступности. Автоматически проверяют контрастность, наличие alt‑текстов, возможность масштабирования.

Что чаще всего находят: старый пиксель Facebook/Meta, Google Analytics, предустановленную галочку согласия, отсутствие ссылки на политику в cookie‑баннере, формы, которые отправляют данные на зарубежный сервис.

Практические рекомендации для ИТ‑команд и владельцев сайтов

Проведите технический аудит. Выгрузите весь код сайта и проверьте, какие скрипты и пиксели загружаются. Удалите всё, что не используется.
Настройте логирование согласий. Для каждой формы фиксируйте: IP, время, версию политики, факт активации чекбокса.
Проверьте все интеграции. CRM, чат‑боты, виджеты, формы обратной связи — каждый внешний сервис может быть каналом передачи данных.
Обновите документацию. Политика конфиденциальности должна отражать реальную архитектуру: какие данные собираются, где хранятся, кому передаются, как удаляются.
Подготовьте регламент обработки запросов. Опишите процесс: как принимать обращения, как подтверждать личность, как удалять данные, как фиксировать результат.

Чек‑лист быстрой самопроверки (10 минут)

Пройдите по этим пунктам, чтобы быстро оценить риски:

На всех страницах в футере есть реквизиты владельца (ИНН, ОГРН, адрес, контакты).
Политика конфиденциальности открыта, актуальна, содержит разделы про cookie и трансграничную передачу.
В каждой форме есть пустой чекбокс согласия со ссылкой на политику.
При первом заходе появляется cookie‑баннер с выбором категорий и ссылкой на политику.
Сайт работает по HTTPS, сертификат валиден, редирект с HTTP настроен.
Есть канал для обращений по ПДн (форма/email), указаны сроки ответов.
Нет предустановленных галочек, нет скрытых скриптов аналитики, нет iframe с зарубежных доменов.
Для личного кабинета есть российские способы авторизации и возможность удалить аккаунт.
Если есть реклама — есть маркировка «Реклама» и ERID, данные передаются в ОРД.
Сервер и базы данных находятся в РФ, либо оформлена трансграничная передача.

Документооборот и хранение: что реально нужно иметь и где

Роскомнадзор в 2026 году смотрит не только на «видимые» документы на сайте, но и на внутренние регламенты оператора ПДн. У вас должны быть:

Приказ о назначении ответственного за обработку ПДн (ФИО, должность, полномочия, контакты). Хранится в офисе/в электронном архиве компании, но по запросу РКН предоставляется в течение 10 рабочих дней.
Положение об обработке и защите ПДн — внутренний документ, где описано: какие категории данных обрабатываются, кто имеет доступ, как организовано шифрование, как устроены бэкапы, как фиксируются инциденты.
Реестр процессов обработки ПДн (Data Processing Inventory) — таблица: цель обработки, категории субъектов, категории данных, сроки хранения, места хранения (сервер/облако/CRM), третьи лица (интеграции), правовые основания. Это база для уведомления в РКН и для ответов на запросы пользователей.
Журнал учёта обращений субъектов ПДн — дата, суть, результат, срок ответа, подтверждение идентификации заявителя. Хранится минимум 3 года.
Акты/журналы уничтожения ПДн — если данные удаляются, это фиксируется: дата, перечень данных, способ уничтожения (затирание, форматирование, удаление из БД и CRM), ФИО ответственного.

Для ИТ‑разработчиков: закладывайте возможность выгрузки реестра процессов и журнала обращений в машиночитаемом виде (CSV/XML) — это частый запрос при проверках.

Виды проверок и как они проходят в 2026 году

Автоматизированный мониторинг (ИИ‑сканеры). Круглосуточный обход сайтов: ищут отсутствие политики, cookie‑баннер, предустановленные галочки, iframe/скрипты с иностранных доменов, формы, отправляющие данные за рубеж.
Документарная проверка. РКН запрашивает документы (уведомление, политику, реестр процессов, приказы, журналы). Срок предоставления — обычно 10–15 рабочих дней.
Выездная проверка. Инспекторы могут запросить доступ к серверам, логам, бэкапам, настройкам CRM/аналитики.
Контрольная закупка. Инспектор заполняет форму, проверяет, появляется ли баннер, есть ли пустой чекбокс, открывается ли политика, уходит ли данные на иностранные сервисы.

Что чаще всего приводит к предписанию: старый пиксель Meta/Google Analytics, iframe виджета с зарубежного домена, форма, которая сразу пишет в зарубежную CRM, cookie‑баннер без возможности отказаться от отдельных категорий.

Ответственность и штрафы в 2026 году (ключевые статьи КоАП РФ)

Ст. 13.11 КоАП РФ (нарушения в сфере ПДн). Отсутствие политики конфиденциальности, предустановленная галочка, сбор данных без уведомления РКН — штрафы для юрлиц от 300 000 до 700 000 рублей. Повторное нарушение — выше.
Нарушение локализации ПДн (хранение/обработка на зарубежных серверах без оформления трансграничной передачи) — штраф для юрлиц от 1 до 3 млн рублей, при повторном — до 18 млн рублей.
Неисполнение обязанности по маркировке рекламы и передаче данных в ЕРИР — отдельные штрафы по ст. 14.3 КоАП РФ; ответственность несёт владелец площадки.
Несвоевременный ответ на запрос субъекта ПДн или отказ без мотивировки — штраф и предписание.

Практический совет: держите наготове «папку для РКН» — набор документов в PDF/XML, ссылку на политику, скриншот cookie‑баннера, список интеграций и схему потоков данных. Это сильно ускоряет ответы на запросы.

Потоки данных и схема для ИТ‑архитектуры

Если вы проектируете сайт/сервис, в 2026 году РКН смотрит на цепочку передачи данных. Для аудита удобно строить простую схему:

Пользователь → Форма на сайте (HTTPS) → Сервер в РФ (БД) → Интеграции (CRM, аналитика, рассылки) → При необходимости — трансграничная передача (с уведомлением и согласием)

На каждом шаге должны быть:

шифрование (TLS 1.2+),
фиксация согласия (лог: IP, время, версия политики, факт клика),
минимизация данных (не собирайте лишнего),
контроль, куда уходят данные (никаких «скрытых» пикселей).

Частые ошибки в архитектуре:

Форма отправляет данные сразу в зарубежную CRM без промежуточного хранения в РФ.
Виджет чата/обратной связи подгружается с иностранного домена.
В коде остаются старые пиксели/скрипты, которые не используются, но технически собирают данные.

Что делать, если у вас микросервисная архитектура или распределённая система

Для ИТ‑команд с микросервисами, контейнерами, несколькими БД и облаками требования те же, но акцент смещается на контроль потоков:

Единая точка фиксации согласий. Не храните факт согласия в 5 разных местах — нужна одна система (или синхронизация), где видно: пользователь X дал согласие Y в момент Z, версия политики такая‑то.
Контроль внешних вызовов. Все исходящие запросы (к CRM, аналитике, рассылкам) должны проходить через шлюз/прокси с логированием: куда, какие данные, когда.
Изоляция ПДн. Данные пользователей из РФ не должны попадать в общие «международные» хранилища без отдельного учёта и оформления трансграничной передачи.
Бэкапы и репликация. Если реплицируете БД в другие регионы — это тоже хранение ПДн. Нужны отдельные правила и уведомления.

Практические шаблоны формулировок (можно брать в работу)

Текст рядом с чекбоксом согласия:

«Я даю согласие на обработку моих персональных данных (имя, телефон, email) ООО „Ромашка“ (ИНН 1234567890) в целях обработки заявки и информирования о товарах и услугах. Согласие действует до отзыва. С политикой конфиденциальности ознакомлен(а) и согласен(а).»

Cookie‑баннер (минимальный вариант):

«Этот сайт использует файлы cookie. Продолжая пользоваться сайтом, вы соглашаетесь с их использованием. Мы используем функциональные cookie (обязательно) и аналитические cookie (по вашему выбору). Вы можете отказаться от необязательных cookie. Подробнее в политике конфиденциальности.»

Отдельное согласие на рассылку:

«Разрешаю отправлять мне рекламные и информационные сообщения по email/SMS. Согласие можно отозвать в любой момент по ссылке в письме или через форму на сайте.»

Как быстро проверить сайт: пошаговый мини‑аудит (30–60 минут)

Пройдите как пользователь. Откройте главную, добавьте товар в корзину, оформите заказ, подпишитесь на рассылку, зайдите в личный кабинет. На каждом шаге фиксируйте: появляется ли cookie‑баннер, есть ли чекбокс согласия, открывается ли политика.
Проверьте код. Откройте DevTools → Network и посмотрите, какие домены загружаются. Если видите зарубежные пиксели/трекеры — это риск.
Проверьте интеграции. CRM, чат, виджеты, формы — узнайте, где физически хранятся данные и куда они передаются.
Соберите документы. Политика конфиденциальности, приказ об ответственном, реестр процессов. Проверьте, что уведомление в РКН подано.
Проверьте мобильную версию и PWA. Всё то же самое должно работать и там.

Особенности для разных ИТ‑проектов (коротко по сегментам)

Конструкторы сайтов и no‑code платформы. Ответственность за ПДн несёт владелец сайта, а не платформа. Но платформа должна давать инструменты: пустой чекбокс, cookie‑баннер, возможность добавить политику.
Сервисы с UGC (отзывы, комментарии, профили). Каждый комментарий — это ПДн, если можно установить личность. Нужны правила модерации, возможность удаления, механизм запросов.
Чат‑боты и голосовые ассистенты. Если бот собирает имя/телефон/email — это обработка ПДн. Должны быть согласие, политика, хранение в РФ.
Партнёрские витрины и агрегаторы. Если вы собираете данные пользователей для передачи партнёрам — это отдельная цель обработки и отдельное согласие.