Если на сайте компании есть форма заявки, обратный звонок, личный кабинет или раздел вакансий, компания собирает персональные данные и отвечает за это как оператор. С осени 2025 года требования к сайтам ужесточились. С 1 сентября 2025 года согласие на обработку данных нужно оформлять отдельно от других документов. С 7 июля 2026 года действует штраф до 700 тыс. рублей для организаций за вход на сайт через иностранные сервисы. Это касается организаций и ИП с собственным сайтом, лендингом или приложением. Ниже разбираем, что проверить и какой штраф грозит за каждую ошибку.
Что на сайте считается персональными данными
Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 Федерального закона № 152-ФЗ «О персональных данных»). На обычном сайте это:
- имя, телефон и электронная почта из формы заявки или обратного звонка;
- данные в личном кабинете, история заказов, адрес доставки;
- резюме и анкеты из раздела «Вакансии»;
- отзывы с именем и фотографией клиента;
- ФИО и фотографии сотрудников на странице «Команда» или «Контакты».
Отдельный вопрос — файлы cookie и данные веб-аналитики. На наш взгляд, если сервис связывает идентификаторы посетителя с другими сведениями о нём, эти данные нужно считать персональными и обращаться с ними так же. Отдельного закона о cookie в России нет, поэтому действуют общие правила 152-ФЗ.
Политика обработки данных: где и как разместить
Оператор, который собирает данные через интернет, обязан опубликовать политику обработки персональных данных и сведения о защите данных на тех страницах сайта, через которые идёт сбор, и обеспечить к ним доступ (ч. 2 ст. 18.1 152-ФЗ).
Что проверить:
- ссылка на политику есть рядом с каждой формой, а не только в подвале главной страницы;
- ссылка работает и ведёт на актуальный документ, а не на страницу 404 или чужой шаблон;
- в политике названы те цели, данные и сервисы, которые вы используете на самом деле: CRM, рассылки, аналитика, подрядчики.
Если политики нет или к ней нет доступа, применяется ч. 3 ст. 13.11 КоАП.
Согласие: отдельно от оферты и пользовательского соглашения
С 1 сентября 2025 года согласие на обработку персональных данных нужно оформлять отдельно от иной информации и документов, которые подтверждает или подписывает человек (ч. 1 ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). Фраза «нажимая кнопку, вы соглашаетесь с офертой, политикой и обработкой данных» этому требованию, на наш взгляд, не отвечает.
Практичный вариант для сайта — отдельная галочка у формы со ссылкой на текст согласия. На наш взгляд, галочка не должна стоять заранее: закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным (там же, ч. 1 ст. 9).
Согласие нужно не всегда. Если данные нужны, чтобы исполнить договор, стороной которого является сам человек, или заключить договор по его инициативе (например, оформить и доставить заказ), обработка допускается без согласия (п. 5 ч. 1 ст. 6 152-ФЗ). Но для рассылок, аналитики и передачи данных партнёрам основание придётся искать отдельно.
Если вы публикуете ФИО и фотографии сотрудников или отзывы клиентов с именами, нужно отдельное согласие на распространение данных. Его оформляют отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ).
Какую часть ст. 13.11 КоАП применят, если согласие спрятано в оферте или его нет вовсе, практика пока не определилась. Возможны два варианта. Ч. 2 — обработка без письменного согласия там, где оно обязательно, или согласие без обязательных сведений: для организаций 300–700 тыс. рублей. Ч. 1 — обработка без законного основания: 150–300 тыс. рублей. Ч. 2 прямо говорит о письменном согласии (ч. 4 ст. 9 152-ФЗ), а галочка на сайте письменным согласием не является. Поэтому для обычной формы заявки вероятнее ч. 1. Но если закон требует письменного согласия, например для анкет соискателей со сведениями о здоровье, речь пойдёт уже о ч. 2. Закладывайтесь на худший вариант: исправить форму дешевле, чем спорить о квалификации.
Иностранные сервисы на сайте
Вход через Google, Apple ID и другие зарубежные системы. Если часть сайта или приложения доступна только после входа, российский владелец обязан авторизовать пользователей из России одним из способов, которые перечислены в законе. Это российский номер мобильного телефона, Госуслуги (ЕСИА), Единая биометрическая система или российская система авторизации (ч. 10 ст. 8 Федерального закона № 149-ФЗ «Об информации…»). Требование действует с 1 декабря 2023 года, а с 7 июля 2026 года за его нарушение есть штраф по ст. 13.55 КоАП (введена Федеральным законом от 26.06.2026 № 199-ФЗ). Перечень способов в законе закрытый, поэтому кнопка «Войти через Google» создаёт риск штрафа, даже если рядом есть российский способ входа. Её стоит убрать. Адрес почты Gmail в качестве логина использовать можно: нарушением считается именно вход через иностранную систему авторизации.
Формы, которые сохраняют данные за рубежом. При сборе данных граждан России, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных с использованием баз за пределами России не допускаются, кроме случаев, прямо названных в законе (ч. 5 ст. 18 152-ФЗ). Если форма на сайте отправляет заявки сразу в иностранную CRM, конструктор форм или таблицу, это риск по ч. 8 ст. 13.11 КоАП: для организаций штраф составляет от 1 до 6 млн рублей.
Иностранные счётчики и виджеты. Если сервис передаёт данные посетителей за рубеж, до начала передачи нужно уведомить Роскомнадзор о трансграничной передаче. Это уведомление подают отдельно от общего уведомления об обработке данных (ч. 3 ст. 12 152-ФЗ). Представители Роскомнадзора, например, публично называли трансграничной передачей использование Google Analytics. Отдельного штрафа за неподачу именно этого уведомления в ст. 13.11 КоАП нет. Суды назначают его по ст. 19.7 КоАП как непредставление сведений в госорган, для организаций это 3–5 тыс. рублей. Штраф небольшой, но проверка по такому поводу затрагивает и остальную обработку данных на сайте. На наш взгляд, проще отказаться от лишних счётчиков, чем доказывать законность передачи. Про общее уведомление мы писали отдельно: кто обязан подать уведомление в Роскомнадзор.
Кнопки и логотипы запрещённых соцсетей
В марте 2022 года суд признал компанию Meta Platforms Inc. экстремистской организацией и запретил её деятельность в России. Решение касается Facebook и Instagram, мессенджер WhatsApp под запрет не попал. Прямого запрета вести страницы в этих соцсетях в законе нет. Риск создаёт публичная демонстрация символики экстремистской организации: за неё предусмотрена ответственность по ч. 1 ст. 20.3 КоАП.
Суды применяют эту статью к логотипам Instagram и Facebook на сайтах и в соцсетях. По подсчёту издания «Вёрстка» (май 2026 года), с 2022 года составили не меньше 50 протоколов за такие логотипы на сайтах, вывесках и в рекламных материалах, по 47 из них назначены наказания, и среди наказанных есть организации. Отвечать будет владелец сайта, даже если логотип поставил подрядчик. Текстовая ссылка без логотипа прямо под этот состав, на наш взгляд, не подпадает, но устойчивой практики по таким ссылкам нет, а единичные штрафы за ссылку на Instagram известны. Безопаснее убрать с сайта иконки Instagram и Facebook, в том числе в шапке, подвале и встроенных виджетах.
Штрафы
| Нарушение | Норма КоАП | Должностное лицо | ИП | Организация |
|---|---|---|---|---|
| Нет политики обработки данных или доступа к ней | ч. 3 ст. 13.11 | 6–12 тыс. ₽ | 10–20 тыс. ₽ | 30–60 тыс. ₽ |
| Обработка данных в случаях, не предусмотренных законом, или с целями, несовместимыми с целями сбора | ч. 1 ст. 13.11 | 50–100 тыс. ₽ | 50–100 тыс. ₽ (как должностное лицо) | 150–300 тыс. ₽ |
| Обработка без письменного согласия, когда оно обязательно, или согласие без обязательных сведений | ч. 2 ст. 13.11 | 100–300 тыс. ₽ | 100–300 тыс. ₽ (как должностное лицо) | 300–700 тыс. ₽ |
| То же повторно | ч. 2.1 ст. 13.11 | 300–500 тыс. ₽ | 500 тыс. – 1 млн ₽ | 1–1,5 млн ₽ |
| Не подано уведомление о трансграничной передаче данных | ст. 19.7 | 300–500 ₽ | 300–500 ₽ (как должностное лицо) | 3–5 тыс. ₽ |
| Хранение и запись данных россиян в зарубежных базах | ч. 8 ст. 13.11 | 100–200 тыс. ₽ | 1–6 млн ₽ (как организация) | 1–6 млн ₽ |
| Не подано уведомление об обработке данных в Роскомнадзор | ч. 10 ст. 13.11 | 30–50 тыс. ₽ (только должностные лица госорганов и НКО) | 100–300 тыс. ₽ (как организация) | 100–300 тыс. ₽ |
| Вход на сайт или в приложение не теми способами, которые перечислены в законе | ст. 13.55 | 30–50 тыс. ₽ | 30–50 тыс. ₽ (как должностное лицо) | 500–700 тыс. ₽ |
| Публичная демонстрация символики экстремистской организации | ч. 1 ст. 20.3 | 1–4 тыс. ₽ | 1–4 тыс. ₽ (как должностное лицо) | 10–50 тыс. ₽ |
По ч. 1 ст. 20.3 штраф назначают с конфискацией предмета правонарушения. Если в статье КоАП ИП не названы, они отвечают как должностные лица (примечание к ст. 2.4 КоАП). По частям 1.1 и 8–18 ст. 13.11 ИП отвечают как организации (примечание 1 к ст. 13.11). В частях 10–18 ст. 13.11 под должностным лицом понимается только должностное лицо госоргана или некоммерческой организации, поэтому руководителя коммерческой компании по этим частям не штрафуют (примечание 2). А некоммерческую организацию по этим частям не штрафуют как юридическое лицо (примечание 3).
Чек-лист: проверка сайта
- Составьте список всех страниц, где сайт собирает данные: формы, чаты, личный кабинет, вакансии, подписка на рассылку.
- Проверьте, что у каждой формы есть рабочая ссылка на актуальную политику.
- Сверьте политику с тем, как вы работаете на самом деле: цели, состав данных, сервисы, подрядчики.
- Вынесите согласие на обработку в отдельный документ и поставьте у формы отдельную галочку, которая не отмечена заранее.
- Для фотографий сотрудников и отзывов с именами получите отдельное согласие на распространение данных.
- Уберите вход через Google, Apple ID и другие иностранные сервисы и проверьте, что на сайте работает российский способ входа.
- Узнайте у разработчика, куда уходят заявки с сайта. Запись и хранение данных россиян должны идти в базах на территории России.
- Проверьте счётчики, виджеты и шрифты на сайте: какие из них передают данные за рубеж и нужны ли они вам.
- Уберите логотипы и встроенные виджеты Instagram и Facebook.
- Проверьте, подано ли уведомление об обработке персональных данных в Роскомнадзор, и при необходимости уведомление о трансграничной передаче.
- Пропишите в договоре с разработчиком сайта, что он соблюдает эти требования и возмещает убытки, если нарушение возникло по его вине.
Такую проверку стоит проводить не только при запуске сайта, но и после каждой доработки: новая форма или виджет могут незаметно нарушить требования.