Требования Роскомнадзора к сайтам в 2026 году: маркетинговый чек-лист для бизнеса

Если ваш сайт собирает заявки, использует формы обратной связи, подписку или интеграции аналитики — вы являетесь оператором персональных данных и обязаны соблюдать требования 152-ФЗ «О персональных данных». Роскомнадзор проводит автоматическое сканирование сайтов и выписывает штрафы до 18 млн рублей. Давайте разберёмся, что конкретно нужно сделать.

1. Уведомление Роскомнадзора

Первый шаг — зарегистрироваться в реестре операторов персональных данных. Это обязательно для всех, кто собирает любые персональные данные. Уведомление подается через портал РКН: https://pd.rkn.gov.ru/operators-registry/notification/form/

Если вы никогда не подавали уведомление, но сайт работает, сделайте это прямо сейчас — за неуведомление штраф составляет до 300 000 руб. Подробная инструкция по заполнению формы доступна здесь: https://getcourse.ru/blog/1030544

Если вы используете зарубежные сервисы (Google Analytics, Notion, Mailchimp, Trello и др.), необходимо дополнительно подать уведомление о трансграничной передаче данных.

2. Обязательные документы на сайте

Политика обработки персональных данных и политика конфиденциальности — это два отдельных документа, но на практике их можно объединить в одном файле — это законом не запрещено. Документ должен быть размещён на отдельной странице, а ссылка на него — в футере каждой страницы сайта.

Что должно быть в документе: перечень собираемых данных, цели обработки, сроки хранения, способы защиты и порядок уничтожения. Скопированные из интернета шаблоны не подходят — политика должна отражать реальные процессы вашего сайта, интеграции с CRM, формы сбора. При проверке шаблонный документ приравнивается к отсутствию политики.

Сформировать документ удобно можно в генераторе политики Tilda: https://tilda.cc/ru/privacy-generator/

Помимо политики, в футере также нужно разместить кликабельные ссылки на документы. Если сайт принимает оплату, дополнительно нужна ссылка на Оферту.

Согласие на обработку персональных данных — обязательный элемент под каждой формой (регистрация, подписка, заказ, обратная связь). Явная ошибка: чек-бокс уже стоит по умолчанию. Все чекбоксы должны быть пустыми, отправка формы без согласия — невозможна.

3. Технические требования к сайту

Хостинг: персональные данные граждан РФ должны храниться на серверах на территории России. Используйте российский хостинг.

Трансграничная передача данных: удалите из HTML-кода сайта скрипты, передающие данные за рубеж (Google Analytics, Google Tag Manager, Facebook Pixel). Их наличие без уведомления о трансграничной передаче — автоматическое нарушение локализации.

Cookie-баннер: необходимо реализовать всплывающий баннер для новых посетителей с уведомлением о сборе cookie и ссылкой на политику. Файлы cookie приравниваются к персональным данным, отсутствие баннера — основание для штрафа.

CRM и облачные хранилища: используйте только российские CRM-системы и не храните базы пользователей в Google Drive, iCloud или других зарубежных сервисах.

Подрядчики: если обработку данных вы поручаете маркетинговому агентству или другому подрядчику, закрепите это поручение в договоре с указанием целей, перечня данных и обязательства хранить базы на серверах в РФ. Без этого пункта в договоре штраф до 300 000 руб.

4. Внутренние процессы и реагирование на запросы

Оператор обязан отвечать на запросы пользователей о целях сбора данных, сроках хранения или требованиях прекратить обработку — в течение 10 рабочих дней. Нарушение сроков ответа: штраф 40 000 – 80 000 руб.

В случае утечки данных: уведомить РКН в течение 24 часов, провести расследование за 72 часа. За неуведомление об утечке штраф от 1 до 3 млн руб. (норма действует с 30 мая 2025 года).

5. Штрафы за нарушения с примерами

Вот актуальная таблица штрафов на 2026 год:

— Отсутствие политики обработки ПД или закрытый доступ: ИП 10 000–20 000 руб., юрлица 30 000–60 000 руб.
— Обработка без согласия (или с нарушением формы согласия): ИП 100 000–300 000 руб., юрлица 300 000–700 000 руб. Повторно: ИП 500 000 – 1 млн, юрлица 1–1,5 млн руб.
— Нарушение локализации (данные россиян на зарубежных серверах): первично 1–6 млн руб., повторно 6–18 млн руб.
— Неуведомление РКН об начале обработки: До 300 000 руб.
— Нарушение сроков ответа на запросы: 40 000–80 000 руб.
— Неуведомление об утечке (24 часа): от 1 до 3 млн руб.
— Утечка до 10 000 человек: до 5 млн руб.
— Утечка до 100 000 человек: до 10 млн руб.
— Утечка свыше 100 000 человек: до 15 млн руб.

Реальные кейсы нарушений:

Кейс 1. Интернет-магазин получил штраф 60 000 рублей за то, что документ политики обработки ПДн не был размещён в открытом доступе на сайте.

Кейс 2. Фитнес-центр столкнулся с риском штрафа в 6,16 млн руб. сразу по нескольким основаниям: некорректно указаны цели обработки, отсутствие записи в реестре операторов ПДн и использование зарубежных аналитических скриптов без уведомления о трансграничной передаче.

6. Частые ошибки, которые приводят к штрафу

— Галочка согласия стоит по умолчанию — это нарушение принципа добровольности.
— Google Analytics или любая иностранная аналитика без уведомления о трансграничной передаче — нарушение локализации, штраф до 18 млн.
— Шаблонная политика, не отражающая реальные процессы сайта — приравнивается к отсутствию документа.
— Отсутствие cookie-баннера — основание для штрафа.

7. Чек-лист: что сделать прямо сейчас

✓ Подать уведомление в РКН: https://pd.rkn.gov.ru/operators-registry/notification/form/
✓ Разработать политику обработки ПД (политику конфиденциальности можно объединить в одном файле), разместить на сайте и добавить ссылку в футер. Сформировать документ можно здесь: https://tilda.cc/ru/privacy-generator/
✓ Добавить пустые чек-боксы согласия под все формы на сайте
✓ Установить cookie-баннер
✓ Удалить или прописать трансграничную передачу (Google Analytics, Facebook Pixel и др.)
✓ Проверить хостинг: данные должны храниться на российских серверах
✓ Закрепить поручение на обработку в договорах с подрядчиками
✓ Проводить периодический аудит документации и кода сайта

Полезные ссылки

Генератор политики Tilda: https://tilda.cc/ru/privacy-generator/
Подача уведомления в РКН: https://pd.rkn.gov.ru/operators-registry/notification/form/
Инструкция по заполнению формы РКН: https://getcourse.ru/blog/1030544
Проверка компании в реестре операторов ПДн: https://pd.rkn.gov.ru/operators-registry/operators-list/

Не знаете, числится ли ваша компания оператором персональных данных? Проверить, подано ли уведомление в РКН, можно напрямую в реестре операторов ПДн на сайте Роскомнадзора: https://pd.rkn.gov.ru/operators-registry/operators-list/ — достаточно ввести название организации или ИНН.