Если у вас есть сайт и вы работаете с персональными данными пользователей — будьте готовы к проверке Роскомнадзора. В 2026 году требования ужесточились, а штрафы выросли до десятков миллионов рублей. Разбираем, что именно нужно сделать и какие последствия ждут нарушителей.
Кто попадает под проверку
Под контроль Роскомнадзора попадают все операторы персональных данных — то есть любой бизнес, который через сайт собирает имена, е-майлы, номера телефонов или работает с CRM-системой. Проверки бывают плановыми (раз в 3 года) и внеплановыми — по жалобам пользователей или в случае утечки данных.
Чек-лист: что обязан сделать владелец сайта
1. Зарегистрироваться в Роскомнадзоре как оператор ПДн. Владелец любого сайта с формами, чатами или личным кабинетом обязан подать уведомление о начале обработки персональных данных. Если на сайте установлены счётчики (Google Analytics и пр.) или база хранится за рубежом — потребуется дополнительное уведомление о трансграничной передаче.
2. Перевести данные на российский хостинг. С 1 июня 2025 года запрещено хранить и передавать персональные данные граждан РФ на зарубежных серверах. Сайт должен работать на российском хостинге. Из кода сайта необходимо удалить все скрипты, передающие данные за рубеж, а от иностранных облачных сервисов (Google Drive, iCloud и т. д.) — отказаться.
3. Разместить необходимые документы. В футере сайта должны быть ссылки на: Политику обработки персональных данных, Политику конфиденциальности (с указанием перечня собираемых данных, целей обработки и реквизитов оператора), форму согласия на обработку ПДн, а если есть онлайн-оплата — то и оферту. Политика конфиденциальности должна быть оформлена отдельно от пользовательского соглашения.
4. Правильно настроить формы обратной связи. В каждой форме должен быть пустой (не отмеченный по умолчанию!) чек-бокс согласия на обработку персональных данных. Если вы отправляете рекламную рассылку — добавьте отдельный чек-бокс для согласия на её получение. Отправка должна быть невозможна без заполнения этих полей. Факт согласия рекомендуется фиксировать в лог-файлах (IP-адрес и время).
5. Установить cookie-баннер. При первом входе на сайт пользователь должен видеть всплывающее уведомление о сборе cookie-файлов со ссылками на соответствующие политики и возможностью отказаться от необязательных.
6. Русифицировать информацию о компании. С 1 марта 2026 года все сведения о компании на сайте должны быть на русском языке.
Штрафы за нарушения: цифры и примеры
Несоблюдение требований РКН грозит ощутимыми финансовыми потерями. Вот конкретные цифры и примеры:
— Отсутствие политики конфиденциальности на сайте (ч. 3 ст. 13.11 КоАП РФ): для юридических лиц — 30 000–60 000 руб., для ИП — 10 000–20 000 руб.
— Использование данных без надлежащего согласия (ч. 2 ст. 13.11 КоАП РФ), в том числе предустановленная галочка согласия в формах: для юрлиц — 300 000–700 000 руб., для ИП — 100 000–300 000 руб.
— Нарушение требования о локализации данных (ч. 8 ст. 13.11 КоАП РФ) — хранение данных россиян на зарубежных серверах или использование зарубежной CRM/аналитики без уведомления: от 1 до 6 млн руб. При повторном нарушении — до 18 млн руб.
— Неуведомление РКН об утечке данных в течение 24 часов (ч. 11 ст. 13.11 КоАП РФ): заштраф от 1 до 3 млн руб.
— Крупная утечка (более 100 000 субъектов) (ч. 14 ст. 13.11 КоАП РФ): штраф от 10 до 15 млн руб.
Реальный кейс
Крупный фитнес-центр чуть не получил штраф более 6 млн рублей. Причины две: в уведомлении в РКН были неправильно указаны цели обработки, а в коде сайта остался скрипт, передающий данные за рубеж. Устранение нарушений потребовало вмешательства юристов в течение 7 дней.
Что делать прям сейчас
Пройдите по каждому пункту чек-листа и оцените свой сайт. Особое внимание обратите на хостинг, наличие согласий в формах и политику конфиденциальности — это наиболее частые причины претензий. Если вы не уверены, что всё сделано правильно, лучше проверить сайт заранее, чем ждать прихода инспекторов.
Кто попадает под проверку
Под контроль Роскомнадзора попадают все операторы персональных данных — то есть любой бизнес, который через сайт собирает имена, е-майлы, номера телефонов или работает с CRM-системой. Проверки бывают плановыми (раз в 3 года) и внеплановыми — по жалобам пользователей или в случае утечки данных.
Чек-лист: что обязан сделать владелец сайта
1. Зарегистрироваться в Роскомнадзоре как оператор ПДн. Владелец любого сайта с формами, чатами или личным кабинетом обязан подать уведомление о начале обработки персональных данных. Если на сайте установлены счётчики (Google Analytics и пр.) или база хранится за рубежом — потребуется дополнительное уведомление о трансграничной передаче.
2. Перевести данные на российский хостинг. С 1 июня 2025 года запрещено хранить и передавать персональные данные граждан РФ на зарубежных серверах. Сайт должен работать на российском хостинге. Из кода сайта необходимо удалить все скрипты, передающие данные за рубеж, а от иностранных облачных сервисов (Google Drive, iCloud и т. д.) — отказаться.
3. Разместить необходимые документы. В футере сайта должны быть ссылки на: Политику обработки персональных данных, Политику конфиденциальности (с указанием перечня собираемых данных, целей обработки и реквизитов оператора), форму согласия на обработку ПДн, а если есть онлайн-оплата — то и оферту. Политика конфиденциальности должна быть оформлена отдельно от пользовательского соглашения.
4. Правильно настроить формы обратной связи. В каждой форме должен быть пустой (не отмеченный по умолчанию!) чек-бокс согласия на обработку персональных данных. Если вы отправляете рекламную рассылку — добавьте отдельный чек-бокс для согласия на её получение. Отправка должна быть невозможна без заполнения этих полей. Факт согласия рекомендуется фиксировать в лог-файлах (IP-адрес и время).
5. Установить cookie-баннер. При первом входе на сайт пользователь должен видеть всплывающее уведомление о сборе cookie-файлов со ссылками на соответствующие политики и возможностью отказаться от необязательных.
6. Русифицировать информацию о компании. С 1 марта 2026 года все сведения о компании на сайте должны быть на русском языке.
Штрафы за нарушения: цифры и примеры
Несоблюдение требований РКН грозит ощутимыми финансовыми потерями. Вот конкретные цифры и примеры:
— Отсутствие политики конфиденциальности на сайте (ч. 3 ст. 13.11 КоАП РФ): для юридических лиц — 30 000–60 000 руб., для ИП — 10 000–20 000 руб.
— Использование данных без надлежащего согласия (ч. 2 ст. 13.11 КоАП РФ), в том числе предустановленная галочка согласия в формах: для юрлиц — 300 000–700 000 руб., для ИП — 100 000–300 000 руб.
— Нарушение требования о локализации данных (ч. 8 ст. 13.11 КоАП РФ) — хранение данных россиян на зарубежных серверах или использование зарубежной CRM/аналитики без уведомления: от 1 до 6 млн руб. При повторном нарушении — до 18 млн руб.
— Неуведомление РКН об утечке данных в течение 24 часов (ч. 11 ст. 13.11 КоАП РФ): заштраф от 1 до 3 млн руб.
— Крупная утечка (более 100 000 субъектов) (ч. 14 ст. 13.11 КоАП РФ): штраф от 10 до 15 млн руб.
Реальный кейс
Крупный фитнес-центр чуть не получил штраф более 6 млн рублей. Причины две: в уведомлении в РКН были неправильно указаны цели обработки, а в коде сайта остался скрипт, передающий данные за рубеж. Устранение нарушений потребовало вмешательства юристов в течение 7 дней.
Что делать прям сейчас
Пройдите по каждому пункту чек-листа и оцените свой сайт. Особое внимание обратите на хостинг, наличие согласий в формах и политику конфиденциальности — это наиболее частые причины претензий. Если вы не уверены, что всё сделано правильно, лучше проверить сайт заранее, чем ждать прихода инспекторов.
