Сайт компании и Роскомнадзор в 2026 году: чек-лист проверки от cookie и Яндекс Метрики до согласия на обработку данных

Откройте свой сайт и посмотрите на него глазами инспектора. Форма «Оставьте заявку» с галочкой, которая уже стоит. Счетчик аналитики, о котором никто не предупредил посетителя. Политика конфиденциальности, скачанная лет пять назад с чужого сайта. Для Роскомнадзора каждый такой пункт может стать отдельным нарушением со своим штрафом.

Главная особенность в том, что для поиска этих нарушений не нужна выездная проверка. Всё видно из браузера. Инспектору достаточно открыть главную страницу и форму обратной связи. То же самое может сделать недовольный клиент, который напишет жалобу, или конкурент.

Разбираемся, за что наказывают, сколько это стоит и как привести сайт в порядок без лишних затрат.

Что говорит закон

Основной документ — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Закон называет оператором персональных данных любую компанию или ИП, которые собирают сведения для идентификации человека. Через сайт данные собирают почти все: имена и телефоны из форм заявок, email из подписки, IP-адреса и cookie через системы аналитики.

За последние два года правила заметно ужесточились:

• • с 30 мая 2025 года действуют повышенные штрафы по ст. 13.11 КоАП РФ, в том числе оборотные штрафы за повторные утечки (Федеральный закон от 30.11.2024 № 420-ФЗ);
  • с 1 июля 2025 года ужесточены требования к локализации: при сборе персональных данных граждан РФ не допускаются запись, систематизация, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных за пределами России, кроме установленных законом исключений (ч. 5 ст. 18 152-ФЗ; Федеральный закон от 28.02.2025 № 23-ФЗ);
  • с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов, а не прятаться внутри оферты или пользовательского соглашения (ст. 9 152-ФЗ);

• с 1 декабря 2023 годадля российских владельцев сайтов и информационных систем, работающих в интернете на территории РФ, установлены специальные правила авторизации пользователей, находящихся в России. Допустимые способы — по номеру мобильного телефона, через Госуслуги (ЕСИА), Единую биометрическую систему либо другую систему авторизации, соответствующую установленным законом требованиям к защите информации и ее владельцу (ч. 10 ст. 8 149-ФЗ, введенная Федеральным законом от 31.07.2023 № 406-ФЗ).

Вывод простой: сайт, который был «нормальным» в 2022 году, в 2026-м почти наверняка нарушает требования.

За что наказывают: 8 типичных нарушений

1. Компания не подала уведомление в Роскомнадзор.Если вы собираете персональные данные, вы обязаны уведомить РКН о начале обработки (ст. 22 152-ФЗ). Исключений почти не осталось. Проверить, есть ли ваша компания в реестре операторов, можно на сайте Роскомнадзора за минуту. Инспектор делает то же самое.
2. На сайте нет политики обработки персональных данных.Ее нужно опубликовать на сайте, причем в свободном доступе, а не за авторизацией (ч. 2 ст. 18.1 152-ФЗ). Шаблон из интернета формально закрывает пункт, но обычно не описывает ваши реальные цели, сроки хранения и сервисы. Это само по себе нарушение.
3. Согласие оформлено неправильно.Типичные ошибки: галочка проставлена по умолчанию, согласие «зашито» в текст оферты, не указаны цели и перечень данных, нет срока и порядка отзыва. После изменений 2025 года согласие должно быть отдельным документом, на который пользователь осознанно соглашается.
4. Cookie и аналитика работают без предупреждения.Яндекс Метрика с Вебвизором записывает действия пользователя на сайте. Вместе с IP-адресом и идентификаторами cookie это может считаться персональными данными, и такую позицию занимает Роскомнадзор. Значит, нужно уведомить посетителя и получить его согласие либо иметь другое законное основание.
5. Используются иностранные сервисы.Google Analytics, Google Forms, иностранные CRM, чат-виджеты и сервисы рассылок передают данные за рубеж. Отсюда сразу два риска. Первый — нарушение локализации, если данные изначально собираются в иностранную базу. Второй — трансграничная передача без уведомления РКН (ст. 12 152-ФЗ).
6. Вход через Google или Apple ID.Если на сайте есть личный кабинет, авторизация через иностранные сервисы нарушает требования 406-ФЗ.
7. Компания не реагирует на запросы граждан.Человек вправе узнать, какие данные о нем хранятся, и потребовать их удаления. На ответ отводится 10 рабочих дней. Отсутствие ответа часто становится поводом для жалобы, а жалоба — для проверки.
8. Произошла утечка, а РКН не уведомили.Взлом CMS, открытая выгрузка заявок, доступ уволенного сотрудника к CRM считаются инцидентом. Сообщить о нем в Роскомнадзор нужно в течение 24 часов, а результаты внутреннего расследования направить в течение 72 часов(ч. 3.1 ст. 21 152-ФЗ).

Сколько это стоит: штрафы для юридических лиц

Важно понимать, что штрафы суммируются. Если на одном сайте нет уведомления в РКН, согласие оформлено с ошибками, а аналитика работает через Google, это три отдельных состава. Отдельно штрафуют должностных лиц, то есть руководителя или ответственного за обработку ПД.

Есть и последствия помимо штрафа. Роскомнадзор может выдать предписание, внести сайт в реестр нарушителей прав субъектов ПД и ограничить к нему доступ.

Как этого избежать: чек-лист проверки сайта

Пройдитесь по списку. Каждый пункт с ответом «нет» означает потенциальный штраф.

• 1. Компания есть в реестре операторов ПД, и сведения в уведомлении актуальны: цели, категории данных, адрес хранения.
  2. Политика обработки ПД опубликована на сайте, ссылка на нее есть в футере и рядом с каждой формой.
  3. Политика описывает реальность: ваши цели, перечень данных, сроки хранения, используемые сервисы и порядок удаления.
  4. В каждой форме есть отдельное согласие на обработку ПД, а галочка не проставлена заранее.
  5. Текст согласия содержит обязательные сведения: кто оператор, какие данные, для каких целей, какие действия с ними совершаются, срок действия и порядок отзыва.
  6. Есть cookie-баннер с реальным выбором, а не просто кнопка «Понятно». Аналитика, особенно Вебвизор, запускается после согласия посетителя.
  7. На сайте нет Google Analytics, Google Forms, Google Tag Manager и других иностранных сервисов, собирающих данные посетителей. Если они нужны, данные сначала должны попадать в российскую базу, а о трансграничной передаче подано уведомление в РКН.
  8. Формы, CRM и чаты хранят данные на серверах в России. Это нужно проверить у каждого подрядчика, в том числе у хостинга.
  9. Авторизация в личном кабинете работает только через российские способы входа.
  10. С подрядчиками заключены договоры поручения обработки ПД. Это касается веб-студии, CRM-сервиса, колл-центра и маркетингового агентства (ч. 3 ст. 6 152-ФЗ).
  11. Есть порядок ответа на запросы граждан и назначен человек, который отвечает в течение 10 рабочих дней.
  12. Есть план действий на случай утечки: кто фиксирует инцидент, кто уведомляет РКН и в какие сроки.

Если вы честно ответили «да» на все 12 пунктов, ваш сайт в лучшем положении, чем у большинства компаний малого и среднего бизнеса.

Какие документы нужно иметь

Документы делятся на две группы. Одни видит посетитель сайта, другие должны лежать в компании и предъявляться по запросу РКН.

Публичные документы на сайте:

• • политика обработки персональных данных;
  • согласие на обработку персональных данных, отдельное для каждой цели: заявка, рассылка, отклик на вакансию;
  • уведомление об использовании cookie и согласие на их использование;
  • оферта, если на сайте есть продажи или личный кабинет.

Внутренние документы компании:

• • уведомление в Роскомнадзор об обработке ПД и, при необходимости, уведомление о трансграничной передаче;
  • приказ о назначении ответственного за организацию обработки ПД;
  • положение об обработке и защите персональных данных;
  • перечень обрабатываемых ПД и список лиц, допущенных к ним;
  • акт оценки вреда, который может быть причинен субъектам ПД (по требованиям приказа РКН № 178 от 27.10.2022);
  • документы о мерах защиты: определение уровня защищенности и модель угроз (по Постановлению Правительства РФ № 1119);
  • договоры поручения обработки ПД с подрядчиками;
  • журнал учета обращений субъектов ПД;
  • регламент реагирования на инциденты и утечки;
  • согласия работников и кандидатов, если персональные данные сотрудников обрабатываются через сайт или связанные с ним сервисы.

Многие компании тратят силы на сайт и забывают про внутренний пакет. Во время проверки инспектор запрашивает именно его, и отсутствие документов само по себе является нарушением.

Коротко о главном

Сайт — самая открытая часть бизнеса и поэтому самая уязвимая с точки зрения персональных данных. Хорошая новость в том, что большинство нарушений устраняются за несколько дней: нужно подать уведомление, переписать политику, настроить форму согласия и cookie-баннер, а также убрать иностранные сервисы. Это обходится дешевле одного минимального штрафа.

Не уверены, что ваш сайт пройдет проверку? Наши юристы проведут экспресс-аудит сайта на соответствие 152-ФЗ. Мы проверим формы, аналитику, документы и подрядчиков, после чего подготовим полный пакет документов под вашу реальную работу. Оставьте заявку, и мы свяжемся с вами в течение рабочего дня.

Информация актуальна на дату публикации. Законодательство о персональных данных регулярно меняется, поэтому для решения конкретной ситуации рекомендуем обратиться к нашим специалистам.