Если на сайте есть форма заявки, чат или счётчик посещений, сайт обрабатывает персональные данные. С 30 мая 2025 года действуют новые штрафы — за неуведомление Роскомнадзора и за утечки, вплоть до процента от выручки. С 1 сентября 2025 года согласие должно быть отдельным документом, а с 1 марта 2026 года действуют правила о русском языке. Ниже семь пунктов, которые стоит проверить, со ссылками на статьи закона.
Это обзор требований, а не юридическая консультация. Для сложных случаев (медицина, дети, передача данных за рубеж) нужен юрист.
Коротко
| Что | Норма | Штраф для компании |
|---|---|---|
| Политика обработки данных на сайте | 152-ФЗ, ст. 18.1 | — |
| Согласие отдельным документом | 152-ФЗ, ст. 9 ч. 1 (с 1 сентября 2025) | 300–700 тыс. ₽, повторно до 1,5 млн ₽ |
| Уведомление Роскомнадзора до начала обработки | 152-ФЗ, ст. 22 | 100–300 тыс. ₽ |
| Базы данных граждан России — в России | 152-ФЗ, ст. 18 ч. 5 | — |
| Передача данных за рубеж — после уведомления | 152-ФЗ, ст. 12 | — |
| Информация для потребителей на русском | ЗоЗПП, ст. 10.1 (с 1 марта 2026) | — |
| Маркировка рекламы в интернете | 38-ФЗ, ст. 18.1 | — |
Штрафы по пунктам с прочерком мы здесь не приводим.
1. Политика обработки персональных данных
Оператор, который собирает данные через сайт, обязан опубликовать на нём свою политику. В ней называют оператора (компания или ИП, ИНН, адрес), цели, перечень данных, сроки хранения и права посетителя. Политика-шаблон с «ООО Ромашка» и чужим адресом сайта требование ст. 18.1 не выполняет.
В нашей проверке политики не нашлось у 24 из 53 сайтов на русском языке (45%), а в 30 из 34 найденных (88%) не было даты редакции. Подробнее об исследовании.
2. Согласие — отдельным документом
С изменениями в ст. 9 152-ФЗ (156-ФЗ от 24 июня 2025 года, действуют с 1 сентября 2025 года) согласие на обработку данных «должно быть оформлено отдельно от иных информации и (или) документов». Фраза «Нажимая кнопку, вы соглашаетесь с политикой» больше не подходит. Нужна отдельная страница согласия и галочка у формы, которая по умолчанию не отмечена.
Штраф за обработку без письменного согласия или с неправильным согласием (КоАП 13.11 ч. 2): для компании 300–700 тыс. ₽, для должностного лица 100–300 тыс. ₽, для гражданина 10–15 тыс. ₽. Повторное нарушение: до 1,5 млн ₽ для компании, до 1 млн ₽ для ИП.
3. Уведомление Роскомнадзора
Оператор подаёт уведомление до того, как начал обрабатывать данные. Исключения узкие: специальные государственные системы, обработка без средств автоматизации, транспортная безопасность. Форма на сайте к исключениям не относится. Роскомнадзор вносит оператора в открытый реестр в течение 30 дней, об изменениях сообщают до 15-го числа следующего месяца.
Штраф за неподачу уведомления (КоАП 13.11 ч. 10): 100–300 тыс. ₽ для компании, 30–50 тыс. ₽ для должностного лица.
4. Данные хранятся в России
Записывать и хранить персональные данные граждан России в базах за рубежом нельзя (152-ФЗ, ст. 18 ч. 5, в редакции 23-ФЗ от 28 февраля 2025 года). Если заявки с формы уходят в зарубежный сервис рассылок, CRM или таблицу, это нарушение.
5. Передача за рубеж — только после уведомления
Перед любой передачей данных за границу оператор оценивает получателя и уведомляет Роскомнадзор отдельно (152-ФЗ, ст. 12). В страны не из списка адекватных передавать можно только после того, как истёк срок рассмотрения уведомления.
Прямого запрета на Google Fonts или Google Analytics в законе нет. Вопрос в том, уходят ли через них данные посетителей за рубеж. В нашей выборке такие сервисы подключены у 31 из 54 сайтов (57%). Самое простое решение — грузить шрифты со своего сервера и использовать Яндекс Метрику.
6. Русский язык с 1 марта 2026 года
168-ФЗ от 24 июня 2025 года добавил в закон о защите прав потребителей статью 10.1: информация для потребителей, кроме рекламы, должна быть на русском. Иностранный текст допустим рядом, если совпадает по смыслу. Фирменные наименования и товарные знаки — исключение. Роспотребнадзор в разъяснении от 10 марта 2026 года прямо относит сайты к общедоступным местам, где действует это правило.
Что проверить: меню, кнопки, названия услуг, условия доставки и оплаты. «Order now», «Delivery» и «About us» без русского текста рядом — повод поправить.
7. Маркировка рекламы
Реклама в интернете помечается словом «реклама», указанием рекламодателя и идентификатором ERID (38-ФЗ, ст. 18.1). Для сайта это касается рекламных баннеров и платных публикаций, а не ваших собственных услуг на своих страницах.
Если данные утекли
Самые большие штрафы — за утечки (КоАП 13.11 ч. 11–15): 1–3 млн ₽ за то, что не сообщили об утечке; 3–15 млн ₽ в зависимости от числа пострадавших; при повторной утечке — от 1 до 3% выручки, но не меньше 20 млн и не больше 500 млн ₽. Поэтому заявки с сайта лучше хранить в одном защищённом месте, а не в почте трёх менеджеров.
Вопросы
Касается ли это ИП и самозанятых?
Да. Закон о персональных данных распространяется на любого оператора. По частям 1.1 и 8–18 статьи 13.11 КоАП ИП отвечают как юридические лица.
Нужна ли политика, если на сайте нет формы?
Если сайт ставит счётчик посещений или чат, он всё равно получает данные посетителей. Политику проще опубликовать, чем доказывать, что данные не собираются.
Как быстро проверить свой сайт?
Экспресс-аудит на wp.kombato.space/audit/ примерно за 10 секунд находит политику и согласие, проверяет галочку у формы и зарубежные сервисы. Юридический текст документов он оценивает по ключевым словам, это не замена юристу.