Сайт и закон — 2026: что обязан владелец сайта в России
Если на вашем сайте есть форма заявки, обратная связь, корзина, онлайн-чат или просто счётчик аналитики — по закону вы оператор персональных данных. Размер бизнеса значения не имеет. Разбираем, что государство требует от владельцев сайтов прямо сейчас и во сколько обходится бездействие.
Почему это перестало быть теорией. С 2025 года Роскомнадзор сканирует сайты автоматически — претензия приходит без жалоб пользователей. Скидку 50% за быструю оплату штрафов по «персональным» статьям отменили. Максимальный штраф за повторную утечку — до 500 млн ₽. За умышленную передачу данных россиян за рубеж с 2024 года введена уголовная ответственность до 8 лет.
Кто такой оператор персональных данных
Персональные данные — любая информация, по которой можно идентифицировать человека: имя, телефон, e-mail, адрес, IP-адрес, cookie-идентификатор, фотография. Одного e-mail, оставленного клиентом в форме, достаточно, чтобы 152-ФЗ «О персональных данных» распространялся на вас в полном объёме — будь вы ООО, ИП, самозанятый или физлицо с сайтом-визиткой.
Требования одинаковы для всех. Различаются только максимальные суммы штрафов: для юрлиц они принципиально выше.
Пять обязательных элементов любого сайта
- Политика обработки персональных данных — отдельная страница (не PDF), ссылка в подвале каждой страницы. Внутри: реквизиты оператора с ИНН и ОГРН, цели и состав данных, сроки хранения, права пользователей, сведения о cookies и третьих лицах — CRM, сервисе рассылок, платёжном провайдере, хостинге. Шаблонная политика, не отражающая реальный состав сервисов, — уже нарушение.
- Согласие на обработку данных — отдельный документ (с 01.09.2025). Нельзя вшивать в оферту, политику или пользовательское соглашение. Только отдельная страница и чекбокс под каждой формой, не отмеченный по умолчанию. Принцип: одна цель — один получатель — одно согласие.
- Cookie-баннер — появляется до запуска счётчиков и пикселей, с равноправными кнопками «Принять» и «Отклонить». При нажатии «Отклонить» — необязательные cookies реально не устанавливаются. Проверяется автоматически.
- Реквизиты владельца — наименование или ФИО, ИНН, ОГРН/ОГРНИП, адрес, контакт для запросов по персональным данным. Размещаются в подвале или на странице «Контакты».
- Уведомление Роскомнадзора — подаётся до начала обработки данных через pd.rkn.gov.ru (бесплатно). Требует актуализации при любых изменениях состава сервисов. Штраф за неподачу — до 300 тыс. ₽.
Не хотите разбираться во всём этом самостоятельно?
Просканируем ваш сайт в автоматическом режиме по всем пунктам и пришлём отчёт: что в порядке, а что срочно надо исправить.
Заказать сканирование →Иностранные сервисы — это трансграничная передача
Google Analytics, Google Fonts с серверов Google, reCAPTCHA, Mailchimp, Google Forms, иностранные виджеты чатов — всё это передача данных за границу. До установки: подать в РКН отдельное уведомление о трансграничной передаче, прописать сервис в политике, добавить чекбокс согласия.
Параллельно действует требование локализации: сбор и хранение данных россиян — только в РФ. Нарушение — от 300 тыс. ₽, повторное — до 18 млн ₽.
Практичное решение: Google Analytics → Яндекс.Метрика, Mailchimp → Unisender или SendPulse, Google Fonts → самохостинг на своём сервере, reCAPTCHA → Яндекс SmartCaptcha. Для большинства сайтов этого достаточно, чтобы снять вопрос трансграничной передачи целиком.
Утечки данных: правило 24 и 72 часов
О любой утечке нужно уведомить РКН в течение 24 часов, а в течение 72 часов — направить результаты расследования. Штраф за нарушение срока — до 3 млн ₽. Штраф за утечку зависит от масштаба: от 3 млн ₽ (1 000–10 000 субъектов) до 20 млн ₽ (биометрия). При повторной — 1–3% годовой выручки, не менее 20 млн ₽.
Реклама: маркировка, взнос и запретные площадки
Любая интернет-реклама до публикации регистрируется у оператора рекламных данных (ОРД), получает токен erid и пометку «Реклама». Пока креатив в сети — ежемесячная отчётность в ЕРИР. Штрафы за отсутствие маркировки: ИП — 100–200 тыс. ₽, юрлица — 200–500 тыс. ₽ за каждый креатив.
С 1 апреля 2025 года — обязательный взнос 3% от рекламного дохода. Владельцы сайтов и каналов, зарабатывающие на рекламе в интернете, обязаны уплачивать 3% от квартального дохода. Основание: ст. 18.2 ФЗ «О рекламе».
Рассылки
Рекламные email / SMS / push — только с предварительным согласием, оформленным отдельно от согласия на обработку ПДн. В каждом письме — механизм отписки.
Запрещённые площадки
С 1 сентября 2025 года запрещена реклама на ресурсах запрещённых организаций — прежде всего Instagram* и Facebook*. Под запрет подпадают таргет, интеграции, бартер и спонсорство. Информационный аккаунт без рекламы — разрешён, но ссылку нужно сопровождать пометкой о принадлежности Meta.
Технические требования к ресурсу
Рекомендательные технологии
Если сайт автоматически подбирает контент или товары под конкретного пользователя — обязательно уведомите об этом посетителей и опубликуйте правила алгоритма. Закон подписан 09.06.2026. Штраф для юрлиц — 500–700 тыс. ₽, при повторном — 1–1,4 млн ₽.
Авторизация пользователей
Авторизация россиян — только через российский способ: номер телефона, Госуслуги (ЕСИА), биометрию, VK ID или Яндекс ID. Вход только через Google или Apple как единственный вариант — нарушение. Иностранные методы можно предлагать дополнительно. Штраф — до 700 тыс. ₽.
Русский язык на сайте ✅ с 01.03.2026
Все сайты, адресованные российским потребителям, обязаны предоставлять информацию о товарах и услугах на русском языке. Иностранный язык допускается параллельно. Зарегистрированные товарные знаки переводить не нужно. Контролирует Роспотребнадзор.
Хостинг
Провайдер должен числиться в реестре хостинг-провайдеров РКН (с 01.02.2024). Данные россиян — физически в России, включая резервные копии.
Что изменилось и что изменится в 2026 году
| Дата | Что вступает в силу |
|---|---|
| 01.03.2026 ✅ Уже активно | Русский язык на сайтах. Вся информация для потребителей — на русском. Иностранный язык — только параллельно. |
| 09.06.2026 ✅ Уже активно | Штрафы за авторизацию через иностранные сервисы и нарушение правил рекомендательных технологий. До 700 тыс. ₽ для юрлиц, при повторном — до 1,4 млн ₽. |
| 01.09.2026 | Идентификация владельцев доменов .ru / .рф / .su через Госуслуги (569-ФЗ). Продлить домен — только с подтверждённой учётной записью ЕСИА. Домен без ЕСИА нельзя будет продлить — освободится и может быть перехвачен. |
| Весь 2026 | Массовые проверки операторов ПДн. РКН перешёл на автоматический мониторинг. Первые штрафы по новым составам уже выписаны без предупреждений. |
Домены — зона риска прямо сейчас. Проверьте, на кого зарегистрированы ваши домены. Домены на подрядчиках, агентствах или бывших сотрудниках без подтверждённого аккаунта Госуслуг к 01.09.2026 нельзя будет продлить.
Сводная таблица штрафов
КоАП РФ в редакции с 30.05.2025 и закон от 09.06.2026. Суммы в рублях.
| Нарушение | Физлицо | Должн. лицо | Юрлицо / ИП |
|---|---|---|---|
| Нет политики обработки ПДн | до 3 тыс. | 6–12 тыс. | 30–60 тыс. |
| Неподача уведомления в РКН | 5–10 тыс. | 30–50 тыс. | 100–300 тыс. |
| Обработка без надлежащего согласия | 10–15 тыс. | 100–300 тыс. | 300–700 тыс. |
| Трансграничная передача / хранение за рубежом | 10–50 тыс. | 100–200 тыс. | 300 тыс. — 6 млн |
| Хранение за рубежом — повторное | 30–50 тыс. | 100–200 тыс. | 6–18 млн |
| Несообщение об утечке в срок | 50–100 тыс. | 400–800 тыс. | 1–3 млн |
| Утечка 1 000–10 000 субъектов | 100–400 тыс. | 200–600 тыс. | 3–5 млн |
| Утечка 10 000–100 000 субъектов | 100–400 тыс. | 200–600 тыс. | 5–10 млн |
| Утечка свыше 100 000 субъектов / биометрия | 200–600 тыс. | 0,5–1 млн | 10–20 млн |
| Повторная утечка (оборотный штраф) | 400–600 тыс. | 0,8–1,2 млн | 1–3% выручки, мин. 20 млн, макс. 500 млн |
| Реклама без маркировки erid | 30–100 тыс. | 100–200 тыс. | 200–500 тыс. |
| Реклама на запрещённых площадках | 2–2,5 тыс. | 4–20 тыс. | 100–500 тыс. |
| Рекомендательные технологии / зарубежная авторизация | 10–20 тыс. | 30–50 тыс. | 500–700 тыс. / повторно до 1,4 млн |
Ст. 13.11 и 14.3 КоАП РФ, ред. с 30.05.2025; закон от 09.06.2026. Отдельно: ст. 272.1 УК РФ — до 8 лет лишения свободы за умышленную незаконную передачу ПДн россиян за рубеж.
Чек-лист для самопроверки
Упорядочен по размеру штрафа и вероятности обнаружения. Красные метки — автоматически фиксируются РКН при сканировании.
Чекбокс согласия пустым по умолчанию, ссылка на отдельный документ согласия
С 01.09.2025 согласие — только отдельный документ. Чекбокс обязан быть пустым. Штраф — 300–700 тыс. ₽.
Уведомление подано в РКН, запись актуальна
Подаётся на pd.rkn.gov.ru до начала обработки. При новых сервисах — обновляется до 15-го числа следующего месяца. Штраф — до 300 тыс. ₽.
Cookie-баннер с равноправными «Принять» и «Отклонить» — счётчики до согласия не запускаются
Кнопки одного размера. При нажатии «Отклонить» — необязательные cookies не ставятся фактически.
Политика обработки ПДн — отдельная HTML-страница, ссылка в подвале
Не PDF, не раздел внутри другой страницы. Ссылка кликабельна и видима. Штраф — 30–60 тыс. ₽.
Иностранные счётчики и шрифты заменены или оформлена трансграничная передача
Google Analytics, Google Fonts с CDN, Mailchimp, Google Forms — передают данные за рубеж. Замена: Яндекс.Метрика, локальные шрифты, российские сервисы. Штраф — 300 тыс. — 6 млн ₽.
Данные хранятся в РФ, хостинг есть в реестре РКН
Проверить реестр: rkn.gov.ru. Если хостинг иностранный — перенос или оформление трансграничной передачи.
Реквизиты владельца и контакт для запросов по ПДн опубликованы
ФИО или наименование, ИНН, ОГРН, адрес, e-mail для запросов об удалении и уточнении данных.
Домены оформлены на фактического владельца, аккаунт на Госуслугах подтверждён
К 01.09.2026 продлить домен .ru/.рф/.su — только с подтверждённой ЕСИА. Домены на подрядчиках — зона риска.
Интернет-реклама маркируется (erid), ежемесячная отчётность в ЕРИР
Каждый рекламный креатив — регистрация у ОРД, токен erid, пометка «Реклама». При доходе от рекламы — взнос 3% квартально. Штраф — 200–500 тыс. ₽ за каждый немаркированный материал.
Платное промо в Instagram* и Facebook* — остановлено
С 01.09.2025 реклама на ресурсах запрещённых организаций запрещена. Информационный аккаунт — можно, таргет и интеграции — нельзя.
Пункт 11 — Скрытые исходящие запросы к зарубежным серверам
Большинство сайтов в фоновом режиме передают данные посетителей на сторонние зарубежные серверы — через плагины, виджеты, встроенные скрипты. Владелец об этом не знает. Именно здесь РКН фиксирует нарушения чаще всего.
Пункт 12 — Соответствие текста политики реальным сервисам сайта
Политика должна перечислять каждый сервис, которому вы передаёте данные: CRM, платёжную систему, чат, сервис рассылок, коллтрекинг. Если хотя бы один не упомянут — нарушение уже есть.
Пункт 13 — Оценка уголовного риска по ст. 272.1 УК РФ
С декабря 2024 года умышленная незаконная передача данных россиян иностранным получателям влечёт уголовную ответственность до 8 лет. Подпасть можно незаметно — через сторонние скрипты с иностранными серверами сбора данных.
Не хотите разбираться во всём этом самостоятельно?
- Аудит по 40+ параметрам, включая скрытые запросы
- Исправления в рамках тарифа — без отдельных счётов
- Мониторинг изменений законодательства
- Персональный менеджер и поддержка по e-mail
Нужен только анализ — без обязательств?
Проведём AI-аудит по полному чек-листу и пришлём подробный отчёт: что нарушено, что под угрозой, что исправить в первую очередь.
Заказать анализ →Носит рекомендательный характер, не является юридическим заключением.
Материал носит информационный характер и не является юридической консультацией. Актуально на июнь 2026 года.
Источники: 152-ФЗ «О персональных данных» (ред. с 30.05.2025), КоАП РФ (ст. 13.11, 14.3), УК РФ ст. 272.1, 38-ФЗ «О рекламе» (ст. 18, 18.1, 18.2), 149-ФЗ «Об информации» (ст. 10.2-2), 569-ФЗ от 29.12.2025, закон от 09.06.2026.
* Instagram и Facebook принадлежат Meta — организации, признанной экстремистской и запрещённой в РФ.