Зайти на страницу Яндекс Директ https://direct.yandex.ru и открыть меню пользователя и нажать на Представители

Нажать добавить управляющий аккаунт

Указать тип доступа Чтение и логин пользователя audit@sudakov-promo.ru и нажать добавить.
Можете скопировать название из поля ниже

audit@sudakov-promo.ru

Если у вас есть сайт и вы работаете с персональными данными пользователей — будьте готовы к проверке Роскомнадзора. В 2026 году требования ужесточились, а штрафы выросли до десятков миллионов рублей. Разбираем, что именно нужно сделать и какие последствия ждут нарушителей.

Кто попадает под проверку

Под контроль Роскомнадзора попадают все операторы персональных данных — то есть любой бизнес, который через сайт собирает имена, е-майлы, номера телефонов или работает с CRM-системой. Проверки бывают плановыми (раз в 3 года) и внеплановыми — по жалобам пользователей или в случае утечки данных.

Чек-лист: что обязан сделать владелец сайта

1. Зарегистрироваться в Роскомнадзоре как оператор ПДн. Владелец любого сайта с формами, чатами или личным кабинетом обязан подать уведомление о начале обработки персональных данных. Если на сайте установлены счётчики (Google Analytics и пр.) или база хранится за рубежом — потребуется дополнительное уведомление о трансграничной передаче.

2. Перевести данные на российский хостинг. С 1 июня 2025 года запрещено хранить и передавать персональные данные граждан РФ на зарубежных серверах. Сайт должен работать на российском хостинге. Из кода сайта необходимо удалить все скрипты, передающие данные за рубеж, а от иностранных облачных сервисов (Google Drive, iCloud и т. д.) — отказаться.

3. Разместить необходимые документы. В футере сайта должны быть ссылки на: Политику обработки персональных данных, Политику конфиденциальности (с указанием перечня собираемых данных, целей обработки и реквизитов оператора), форму согласия на обработку ПДн, а если есть онлайн-оплата — то и оферту. Политика конфиденциальности должна быть оформлена отдельно от пользовательского соглашения.

4. Правильно настроить формы обратной связи. В каждой форме должен быть пустой (не отмеченный по умолчанию!) чек-бокс согласия на обработку персональных данных. Если вы отправляете рекламную рассылку — добавьте отдельный чек-бокс для согласия на её получение. Отправка должна быть невозможна без заполнения этих полей. Факт согласия рекомендуется фиксировать в лог-файлах (IP-адрес и время).

5. Установить cookie-баннер. При первом входе на сайт пользователь должен видеть всплывающее уведомление о сборе cookie-файлов со ссылками на соответствующие политики и возможностью отказаться от необязательных.

6. Русифицировать информацию о компании. С 1 марта 2026 года все сведения о компании на сайте должны быть на русском языке.

Штрафы за нарушения: цифры и примеры

Несоблюдение требований РКН грозит ощутимыми финансовыми потерями. Вот конкретные цифры и примеры:

— Отсутствие политики конфиденциальности на сайте (ч. 3 ст. 13.11 КоАП РФ): для юридических лиц — 30 000–60 000 руб., для ИП — 10 000–20 000 руб.

— Использование данных без надлежащего согласия (ч. 2 ст. 13.11 КоАП РФ), в том числе предустановленная галочка согласия в формах: для юрлиц — 300 000–700 000 руб., для ИП — 100 000–300 000 руб.

— Нарушение требования о локализации данных (ч. 8 ст. 13.11 КоАП РФ) — хранение данных россиян на зарубежных серверах или использование зарубежной CRM/аналитики без уведомления: от 1 до 6 млн руб. При повторном нарушении — до 18 млн руб.

— Неуведомление РКН об утечке данных в течение 24 часов (ч. 11 ст. 13.11 КоАП РФ): заштраф от 1 до 3 млн руб.

— Крупная утечка (более 100 000 субъектов) (ч. 14 ст. 13.11 КоАП РФ): штраф от 10 до 15 млн руб.

Реальный кейс

Крупный фитнес-центр чуть не получил штраф более 6 млн рублей. Причины две: в уведомлении в РКН были неправильно указаны цели обработки, а в коде сайта остался скрипт, передающий данные за рубеж. Устранение нарушений потребовало вмешательства юристов в течение 7 дней.

Что делать прям сейчас

Пройдите по каждому пункту чек-листа и оцените свой сайт. Особое внимание обратите на хостинг, наличие согласий в формах и политику конфиденциальности — это наиболее частые причины претензий. Если вы не уверены, что всё сделано правильно, лучше проверить сайт заранее, чем ждать прихода инспекторов.

Почему это важно уже сейчас

С 2026 года Роскомнадзор фиксирует нарушения cookie-требований в автоматическом режиме: роботы РКН обходят сайты и проверяют наличие баннера, кнопку «Отклонить» и соответствие реального поведения сайта задекларированным настройкам.
По данным независимых аудитов, более 85% российских сайтов имеют нарушения в части cookie: у одних нет баннера вовсе, у других баннер есть, но кнопки «Отклонить» нет, третьи запускают трекеры до того, как пользователь что-либо нажал.
Штраф за нарушение — до 300 000 рублей по ст. 13.11 КоАП. Жалоба от любого пользователя или конкурента запускает автоматическую проверку в течение 30 дней. Хорошая новость: правильный cookie-баннер устанавливается за 30–60 минут и стоит от 0 рублей.

Cookie — это небольшие текстовые файлы, которые сайт записывает в браузер посетителя. Они позволяют сайту «запоминать» пользователя между сессиями, отслеживать его действия и передавать данные третьим сервисам.
Согласно позиции Роскомнадзора и судебной практике, cookie-файлы, позволяющие идентифицировать конкретного пользователя, являются персональными данными по смыслу ст. 3 ФЗ № 152-ФЗ. Значит, запись таких cookie — это обработка персональных данных, для которой требуется: законное основание (в большинстве случаев — согласие), информирование о целях обработки и возможность отказаться.

Согласно ст. 9 152-ФЗ, согласие на обработку персональных данных должно быть: свободным (пользователь не должен быть вынужден соглашаться), конкретным (человек понимает, на что именно соглашается), информированным (есть доступ к политике обработки данных) и однозначным (активное действие, а не предустановленная галочка).
Ст. 13.11 ч. 2 КоАП: обработка персональных данных без законного основания влечёт штраф: на должностных лиц — 20 000–40 000 ₽, на организации — 100 000–300 000 ₽. Важно: запуск Google Analytics или Яндекс.Метрики до получения cookie-согласия — это именно то нарушение, которое фиксируется при автоматических проверках РКН в 2026 году.

Согласно требованиям 152-ФЗ и разъяснениям РКН, корректный cookie-баннер должен содержать:

1. Текст с объяснением — пользователь должен понимать: что сайт использует cookie, для каких целей (аналитика, реклама, функциональность) и кто является оператором данных.

2. Кнопка «Принять все» — явное согласие на использование всех категорий cookie, включая аналитику и маркетинг.

3. Кнопка «Отклонить» или «Только необходимые» — это требование нарушают чаще всего. Без возможности отказа баннер не является действительным согласием. Роботы РКН проверяют наличие этой кнопки в первую очередь.

4. Ссылка на Cookie-политику — отдельный документ с перечнем всех используемых cookie: название, тип, срок жизни, назначение, третья сторона.

5. Техническое соответствие — если пользователь нажал «Отклонить», аналитические и маркетинговые скрипты должны действительно не запускаться. Баннер без технической блокировки скриптов — это нарушение, даже при наличии правильного текста.

Пассивное согласие. Фраза «Продолжая использовать сайт, вы соглашаетесь...» не является однозначным действием пользователя и не имеет юридической силы.

Отсутствие кнопки «Отклонить». Баннер без возможности отказа — это уведомление, а не согласие. Именно этот элемент роботы РКН проверяют в первую очередь.

Неверная интеграция. Запуск трекеров (Яндекс.Метрика, Google Analytics, Facebook Pixel) до того, как пользователь нажал кнопку согласия — прямое нарушение закона.

Ограниченное отображение. Баннер показывается только на главной странице, а не при каждом первом визите на любую страницу сайта.

Манипуляция дизайном. Визуальный дисбаланс, где кнопка «Принять» яркая и крупная, а «Отклонить» — серая и мелкая, расценивается регулятором как нарушение принципа добровольности.

Правильная схема работы выглядит так: при загрузке страницы все аналитические и маркетинговые скрипты заблокированы. Активация происходит только после события «Принять».

Для реализации на Tilda, WordPress или кастомных сайтах используются либо специализированные плагины (Complianz, CookieYes), либо ручная настройка условной загрузки скриптов через проверку localStorage.

Данные о согласии нужно фиксировать: дата и время, выбранные категории cookie, версия политики. Это важно для подтверждения согласия при возможных проверках РКН.

Ответственность за нарушения регулируется ст. 13.11 КоАП РФ:

Юридические лица: от 100 000 до 300 000 ₽ за отсутствие согласия или кнопки «Отклонить».
Индивидуальные предприниматели: от 40 000 до 80 000 ₽.
Повторные нарушения: до 500 000 ₽ и возможная дисквалификация руководителя.
Несоответствие политики cookie: до 100 000 ₽ для юрлиц.

Готовые сервисы (CookieYes, Cookiebot): стоимость 0–4 500 ₽/мес. Подходят для любого сайта, автоматически сканируют cookie и обеспечивают техническую блокировку скриптов. Оптимальный выбор для большинства владельцев сайтов.

Плагины для CMS (WordPress): оптимальны для пользователей популярных конструкторов, например Complianz.

Ручная реализация: бесплатно, но требует 4–8 часов работы разработчика для настройки блокировки скриптов. Подходит тем, кто доверяет настройку своему разработчику.

Нужен ли баннер, если нет интернет-магазина?
Да, если сайт использует Яндекс.Метрику, Google Analytics или пиксели соцсетей — это обработка персональных данных и закон требует согласия.

Можно ли вставить согласие на cookie в форму заявки?
Нет. Трекеры запускаются до отправки формы, поэтому требуется отдельный cookie-баннер.

Достаточно ли стандартной галочки в Tilda?
Нет. Стандартная галочка в форме — это согласие на обработку данных формы, а не на cookie-трекинг.

Как часто нужно показывать баннер?
Рекомендуемая практика — обновлять согласие раз в 6–12 месяцев или при изменении политики cookie.

Если ваш сайт собирает заявки, использует формы обратной связи, подписку или интеграции аналитики — вы являетесь оператором персональных данных и обязаны соблюдать требования 152-ФЗ «О персональных данных». Роскомнадзор проводит автоматическое сканирование сайтов и выписывает штрафы до 18 млн рублей. Давайте разберёмся, что конкретно нужно сделать.

1. Уведомление Роскомнадзора

Первый шаг — зарегистрироваться в реестре операторов персональных данных. Это обязательно для всех, кто собирает любые персональные данные. Уведомление подается через портал РКН: https://pd.rkn.gov.ru/operators-registry/notification/form/

Если вы никогда не подавали уведомление, но сайт работает, сделайте это прямо сейчас — за неуведомление штраф составляет до 300 000 руб. Подробная инструкция по заполнению формы доступна здесь: https://getcourse.ru/blog/1030544

Если вы используете зарубежные сервисы (Google Analytics, Notion, Mailchimp, Trello и др.), необходимо дополнительно подать уведомление о трансграничной передаче данных.

2. Обязательные документы на сайте

Политика обработки персональных данных и политика конфиденциальности — это два отдельных документа, но на практике их можно объединить в одном файле — это законом не запрещено. Документ должен быть размещён на отдельной странице, а ссылка на него — в футере каждой страницы сайта.

Что должно быть в документе: перечень собираемых данных, цели обработки, сроки хранения, способы защиты и порядок уничтожения. Скопированные из интернета шаблоны не подходят — политика должна отражать реальные процессы вашего сайта, интеграции с CRM, формы сбора. При проверке шаблонный документ приравнивается к отсутствию политики.

Сформировать документ удобно можно в генераторе политики Tilda: https://tilda.cc/ru/privacy-generator/

Помимо политики, в футере также нужно разместить кликабельные ссылки на документы. Если сайт принимает оплату, дополнительно нужна ссылка на Оферту.

Согласие на обработку персональных данных — обязательный элемент под каждой формой (регистрация, подписка, заказ, обратная связь). Явная ошибка: чек-бокс уже стоит по умолчанию. Все чекбоксы должны быть пустыми, отправка формы без согласия — невозможна.

3. Технические требования к сайту

Хостинг: персональные данные граждан РФ должны храниться на серверах на территории России. Используйте российский хостинг.

Трансграничная передача данных: удалите из HTML-кода сайта скрипты, передающие данные за рубеж (Google Analytics, Google Tag Manager, Facebook Pixel). Их наличие без уведомления о трансграничной передаче — автоматическое нарушение локализации.

Cookie-баннер: необходимо реализовать всплывающий баннер для новых посетителей с уведомлением о сборе cookie и ссылкой на политику. Файлы cookie приравниваются к персональным данным, отсутствие баннера — основание для штрафа.

CRM и облачные хранилища: используйте только российские CRM-системы и не храните базы пользователей в Google Drive, iCloud или других зарубежных сервисах.

Подрядчики: если обработку данных вы поручаете маркетинговому агентству или другому подрядчику, закрепите это поручение в договоре с указанием целей, перечня данных и обязательства хранить базы на серверах в РФ. Без этого пункта в договоре штраф до 300 000 руб.

4. Внутренние процессы и реагирование на запросы

Оператор обязан отвечать на запросы пользователей о целях сбора данных, сроках хранения или требованиях прекратить обработку — в течение 10 рабочих дней. Нарушение сроков ответа: штраф 40 000 – 80 000 руб.

В случае утечки данных: уведомить РКН в течение 24 часов, провести расследование за 72 часа. За неуведомление об утечке штраф от 1 до 3 млн руб. (норма действует с 30 мая 2025 года).

5. Штрафы за нарушения с примерами

Вот актуальная таблица штрафов на 2026 год:

— Отсутствие политики обработки ПД или закрытый доступ: ИП 10 000–20 000 руб., юрлица 30 000–60 000 руб.
— Обработка без согласия (или с нарушением формы согласия): ИП 100 000–300 000 руб., юрлица 300 000–700 000 руб. Повторно: ИП 500 000 – 1 млн, юрлица 1–1,5 млн руб.
— Нарушение локализации (данные россиян на зарубежных серверах): первично 1–6 млн руб., повторно 6–18 млн руб.
— Неуведомление РКН об начале обработки: До 300 000 руб.
— Нарушение сроков ответа на запросы: 40 000–80 000 руб.
— Неуведомление об утечке (24 часа): от 1 до 3 млн руб.
— Утечка до 10 000 человек: до 5 млн руб.
— Утечка до 100 000 человек: до 10 млн руб.
— Утечка свыше 100 000 человек: до 15 млн руб.

Реальные кейсы нарушений:

Кейс 1. Интернет-магазин получил штраф 60 000 рублей за то, что документ политики обработки ПДн не был размещён в открытом доступе на сайте.

Кейс 2. Фитнес-центр столкнулся с риском штрафа в 6,16 млн руб. сразу по нескольким основаниям: некорректно указаны цели обработки, отсутствие записи в реестре операторов ПДн и использование зарубежных аналитических скриптов без уведомления о трансграничной передаче.

6. Частые ошибки, которые приводят к штрафу

— Галочка согласия стоит по умолчанию — это нарушение принципа добровольности.
— Google Analytics или любая иностранная аналитика без уведомления о трансграничной передаче — нарушение локализации, штраф до 18 млн.
— Шаблонная политика, не отражающая реальные процессы сайта — приравнивается к отсутствию документа.
— Отсутствие cookie-баннера — основание для штрафа.

7. Чек-лист: что сделать прямо сейчас

✓ Подать уведомление в РКН: https://pd.rkn.gov.ru/operators-registry/notification/form/
✓ Разработать политику обработки ПД (политику конфиденциальности можно объединить в одном файле), разместить на сайте и добавить ссылку в футер. Сформировать документ можно здесь: https://tilda.cc/ru/privacy-generator/
✓ Добавить пустые чек-боксы согласия под все формы на сайте
✓ Установить cookie-баннер
✓ Удалить или прописать трансграничную передачу (Google Analytics, Facebook Pixel и др.)
✓ Проверить хостинг: данные должны храниться на российских серверах
✓ Закрепить поручение на обработку в договорах с подрядчиками
✓ Проводить периодический аудит документации и кода сайта

Полезные ссылки

Генератор политики Tilda: https://tilda.cc/ru/privacy-generator/
Подача уведомления в РКН: https://pd.rkn.gov.ru/operators-registry/notification/form/
Инструкция по заполнению формы РКН: https://getcourse.ru/blog/1030544
Проверка компании в реестре операторов ПДн: https://pd.rkn.gov.ru/operators-registry/operators-list/

Не знаете, числится ли ваша компания оператором персональных данных? Проверить, подано ли уведомление в РКН, можно напрямую в реестре операторов ПДн на сайте Роскомнадзора: https://pd.rkn.gov.ru/operators-registry/operators-list/ — достаточно ввести название организации или ИНН.