Требования Роскомнадзора по 152-ФЗ в 2026 году: что нужно сайту

Первая версия статьи вышла 30 мая 2025 года, в день, когда заработали новые штрафы. При обновлении мы сверили каждую норму с текстом законов, добавили изменения второй половины 2025 и 2026 года и убрали то, что так и осталось проектами.

Коротко: что нужно сайту в 2026 году

Если на сайте есть форма заявки, обратный звонок, онлайн-чат или личный кабинет, владелец сайта собирает персональные данные и считается их оператором (ст. 3 закона № 152-ФЗ «О персональных данных»). Размер компании не важен: требования одни и те же для завода, клиники и ИП с одностраничным сайтом.

Минимум для сайта в 2026 году:

1. Уведомление в Роскомнадзор подано до начала обработки данных (ч. 1 ст. 22).
2. Политика обработки персональных данных опубликована на сайте (ч. 2 ст. 18.1).
3. Согласие оформлено отдельно от политики, оферты и других документов. Это требование действует с 1 сентября 2025 года (ч. 1 ст. 9).
4. Данные при сборе записываются в базы на территории России. С 1 июля 2025 года использовать для этого базы за рубежом прямо запрещено (ч. 5 ст. 18).
5. Вход в личный кабинет работает только через российские способы: номер телефона, Госуслуги, биометрию или российский сервис. Обязанность действует с 1 декабря 2023 года, штрафы за её нарушение — с 7 июля 2026 года (ч. 10 ст. 8 закона № 149-ФЗ, ст. 13.55 КоАП).
6. Об утечке Роскомнадзору сообщают в течение 24 часов, о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21).

С 30 мая 2025 года штрафы выросли в десятки раз. За неподанное уведомление организация платит 100–300 тыс. руб., за нарушения с согласием — до 700 тыс. руб., за утечку — от 3 до 20 млн руб., за повторную утечку — до 3% годовой выручки.

Что изменилось в 2024–2026 годах

В таблице — изменения, которые касаются владельцев сайтов. Ссылки на тексты законов собраны в конце статьи.

В первой версии статьи мы писали о законопроекте, который запрещал прятать согласие внутри договора. Эта норма в итоге вошла в закон № 156-ФЗ и действует с 1 сентября 2025 года.

Одно требование не новое, но его часто пропускают: с 1 марта 2023 года оператор должен уведомить Роскомнадзор до того, как начнёт передавать персональные данные за границу (ст. 12 152-ФЗ).

Чек-лист: что проверить на сайте

1. Уведомление в Роскомнадзор

Найдите свою компанию в реестре операторов на портале персональных данных Роскомнадзора (pd.rkn.gov.ru): поиск работает по названию и ИНН. В записи видны номер и дата уведомления.

Поиск компании в реестре операторов персональных данных показывает, подавала ли она уведомление.

Если записи нет, подайте уведомление через Госуслуги или портал Роскомнадзора. Не подавать его можно только в узких случаях из ч. 2 ст. 22, например при обработке данных без средств автоматизации. Сайт с формой под исключения не подходит. Штраф за неподанное уведомление — 100–300 тыс. руб. для организаций и ИП (ч. 10 ст. 13.11 КоАП).

Уведомление нужно обновлять, когда меняются сведения в нём: цели, состав данных, сервисы, место хранения баз. Срок — до 15-го числа месяца, следующего за месяцем изменений. О прекращении обработки сообщают в течение 10 рабочих дней (ч. 7 ст. 22). С 1 сентября 2022 года закон расширил состав сведений в уведомлении. Если ваше подано раньше, сверьте его с действующей формой.

2. Политика обработки персональных данных

Оператор, который собирает данные через интернет, публикует политику на своём сайте (ч. 2 ст. 18.1). Ссылку обычно ставят в подвал и рядом с каждой формой. В политике написано, кто оператор, какие данные и зачем он собирает, на каком основании, сколько хранит и как человеку удалить свои данные или отозвать согласие. Если политики нет, штраф для организации — 30–60 тыс. руб. (ч. 3 ст. 13.11 КоАП).

Частая ошибка — политика, скопированная с чужого сайта. В ней описаны чужие цели и сервисы, а ваших нет. Такой документ не описывает вашу обработку данных и ни от чего не защищает.

3. Согласие — отдельным документом

С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подтверждает (ч. 1 ст. 9). Для сайта это значит:

• у каждой формы своя галочка согласия, и она не стоит заранее;
• текст согласия — отдельная страница или отдельный документ, а не пункт внутри политики, оферты или пользовательского соглашения;
• в согласии указано, кто оператор, какие данные, для каких целей, на какой срок и как отозвать согласие;
• согласие на рекламную рассылку берётся отдельно от согласия на обработку заявки.

Нарушения с согласием наказывают по ч. 1 или ч. 2 ст. 13.11 КоАП: организации платят от 150 до 700 тыс. руб., за повторное нарушение — до 1,5 млн руб.

Не просите в форме лишнего. Для заявки обычно хватает имени и телефона или почты. Чем меньше данных, тем меньше нужно защищать. А продавец не вправе отказать покупателю в договоре, если тот не хочет давать данные, которые для договора не нужны (п. 4 ст. 16 Закона о защите прав потребителей).

4. Где хранятся данные из форм

С 1 июля 2025 года при сборе данных граждан России нельзя использовать базы данных за рубежом (ч. 5 ст. 18). Запрет касается момента сбора: заявка с сайта сначала должна попасть в базу на территории России. Штраф для организации — 1–6 млн руб., повторно — 6–18 млн руб. (ч. 8 и 9 ст. 13.11 КоАП).

Что проверить:

• сервер сайта и база данных находятся в России;
• формы не отправляют данные напрямую в зарубежные сервисы: Google Forms, иностранные конструкторы форм, CRM и онлайн-чаты с серверами за рубежом;
• заявки на почту уходят через ваш сервер или российский почтовый сервис;
• на сайте нет reCAPTCHA и других зарубежных скриптов, которые получают данные посетителей. Для защиты от спама есть российские сервисы, например Yandex SmartCaptcha.

Роскомнадзор (24.03.2025) и Минцифры (12.05.2025) разъяснили: норма не запрещает передавать за границу данные, которые уже собраны в российскую базу. Для такой передачи действуют правила трансграничной передачи, в том числе предварительное уведомление Роскомнадзора (ст. 12).

5. Cookie и счётчики

Отдельной статьи про cookie в законе нет. Но если cookie, счётчики и данные форм позволяют связать визиты с конкретным человеком, это обработка персональных данных. На неё распространяются общие правила: цель, основание, описание в политике. Поэтому на сайте разумно:

• показывать уведомление о cookie со ссылкой на политику;
• перечислить в политике все счётчики и сервисы, которые стоят на сайте;
• не подключать зарубежные счётчики и пиксели, которые отправляют данные за границу.

Уведомление о cookie можно поставить, например, через бесплатный виджет AllWidgets, это наш сервис. Но одного баннера мало: без политики, согласия у форм и хранения данных в России сайт требованиям не соответствует.

6. Вход в личный кабинет

Если на сайте есть регистрация или личный кабинет, пользователей в России можно авторизовать только способами из ч. 10 ст. 8 закона № 149-ФЗ «Об информации»: по номеру телефона российского оператора, через Госуслуги (ЕСИА), через Единую биометрическую систему или через другую информационную систему, владелец которой — гражданин России или российская компания. Кнопки «Войти через Google» и «Войти через Apple» под это не подходят. С 7 июля 2026 года за нарушение штрафуют: организации — на 500–700 тыс. руб. (ст. 13.55 КоАП).

7. Что делать при утечке

Утечка — это не только взлом. Открытая ссылка на выгрузку заявок или доступ к CRM у бывшего сотрудника тоже могут к ней привести. Оператор сообщает о ней Роскомнадзору в течение 24 часов с момента, когда узнал об инциденте, и в течение 72 часов присылает результаты внутреннего расследования (ч. 3.1 ст. 21). Уведомление подают через портал персональных данных Роскомнадзора. Скрыть утечку дороже: 1–3 млн руб. для организации (ч. 11 ст. 13.11 КоАП) сверх штрафа за саму утечку.

Данные не нужно хранить вечно: закон разрешает хранить их не дольше, чем этого требуют цели обработки (ч. 7 ст. 5). Заявки, по которым не было сделки, стоит удалять по понятному сроку. Чем меньше старых данных лежит на сайте и в почте, тем меньше утечёт при взломе.

Штрафы для организаций в 2026 году

Суммы для юридических лиц по ст. 13.11 КоАП в редакции закона № 420-ФЗ. Штрафы за утечку (ч. 12–18) назначают за действия или бездействие оператора, которые к ней привели: например, за необновлённый сайт или открытую выгрузку. Индивидуальные предприниматели по частям 1.1 и 8–18 отвечают как организации (примечание 1 к статье).

Отдельно: вход через иностранные сервисы — 500–700 тыс. руб. (ст. 13.55 КоАП), реклама без согласия получателя, например рассылка без отдельного согласия, — 100–500 тыс. руб. (ч. 1 ст. 14.3 КоАП).

Отдельно для клиник, школ и магазинов

• Клиники. Данные о здоровье относятся к специальной категории (ст. 10 152-ФЗ). Не просите в форме записи описывать жалобы и диагнозы, если без этого можно записать пациента. Утечка таких данных стоит 10–15 млн руб.
• Школы, детские центры, секции. За ребёнка согласие даёт его законный представитель. В форме должно быть видно, кто заполняет её и от чьего имени.
• Интернет-магазины. База покупателей быстро переходит порог в 1 тыс. человек, а с ним и штраф за утечку в 3–5 млн руб. Регулярные обновления, резервные копии и ограниченный доступ к админке обходятся дешевле.
• Работодатели. Резюме из формы «Вакансии» — тоже персональные данные. Для них нужны своя цель в политике и срок хранения.

Частые вопросы

У меня одностраничный сайт с одной формой. Мне это тоже нужно?
Да. Форма с именем и телефоном — уже обработка персональных данных. Исключений для малого бизнеса в законе нет.

Можно ли пользоваться Яндекс Метрикой?
Да, это российский сервис. Опишите Метрику в политике и покажите посетителям уведомление о cookie.

Сайт делал подрядчик. Кто отвечает за нарушения?
Оператор, то есть компания, которая собирает данные через сайт. Подрядчик может сделать техническую часть и подготовить шаблоны документов, но перед Роскомнадзором отвечает владелец сайта.

Нужен ли юрист?
Сайту с парой форм обычно хватает грамотных шаблонов и правильной технической настройки. Если вы обрабатываете данные о здоровье, биометрию или большую базу клиентов, покажите документы юристу. Мы делаем техническую часть и шаблоны документов, юридическую проверку документов не проводим.

Мы подали уведомление давно. Нужно подавать заново?
Если сведения в нём не менялись и уведомление подано после 1 сентября 2022 года, нет. Если появились новые формы, CRM, сервисы или цели, подайте изменения до 15-го числа следующего месяца.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных»
• Федеральный закон от 28.02.2025 № 23-ФЗ (базы данных на территории России при сборе)
• Федеральный закон от 24.06.2025 № 156-ФЗ, ст. 5 (согласие отдельно от иных документов)
• Федеральный закон от 08.08.2024 № 233-ФЗ (передача обезличенных данных)
• Статья 8 закона № 149-ФЗ «Об информации» (способы авторизации пользователей)
• Закон № 199-ФЗ от 26.06.2026: штрафы за авторизацию через иностранные сервисы с 7 июля 2026 года
• Статья 272.1 УК РФ
• Статья 16 Закона РФ «О защите прав потребителей»

Другие наши материалы: что делать, если вызывают в суд за картинку на сайте, сколько стоит сайт в Перми в 2026 году и что обычно не входит в дешёвые предложения.