Персональные данные на сайте в 2026 году: требования РКН и штрафы

01 / Персональные данные

Что должен сделать владелец сайта в 2026 году

У владельца сайта обычно четыре параллельные задачи: определить законное основание обработки, раскрыть правила в политике, реализовать согласия там, где они нужны, и проверить обязанность уведомить Роскомнадзор. Отдельно проверяются хранение, защита и передача данных. Один плагин или текст в подвале не выполняет все эти задачи.

Это новая редакция заметки 2017 года. Старый адрес сохранён, но прежнее представление о едином «штрафе 75 000 рублей» больше не используется: ответственность зависит от нарушения и статуса оператора.

02 / Персональные данные

Кто является оператором и обработчиком персональных данных

Оператор — тот, кто определяет, зачем и какие персональные данные обрабатывать, а также организует обработку. Это может быть организация, ИП или физическое лицо. Если предприниматель собирает через сайт заявки для своих услуг, оператором обычно выступает он, а не разработчик сайта.

Обработчик по поручению — подрядчик, который выполняет определённые действия с данными по заданию оператора. Например, обслуживает базу заявок. Поручение должно определять данные, операции, цели, обязанности по конфиденциальности и защите. Само наличие договора на создание сайта ещё не означает, что разработчик постоянно обрабатывает заявки.

Роль хостинга, CRM, аналитической платформы и агентства нужно разбирать по фактическим функциям и условиям договоров. Один сервис может действовать по поручению в одной операции и самостоятельно определять цели в другой. Нельзя просто написать «за всё отвечает Яндекс» и снять с владельца сайта обязанности.

В терминологии закона «обработка» охватывает не только сбор, но и хранение, использование, передачу, удаление и другие действия. Даже если заявку прочитали один раз и не выгрузили в Excel, обработка уже могла состояться.

Основание: статья 3 закона № 152-ФЗ.

Основание: статья 6: основания и поручение обработки.

03 / Персональные данные

Нужна ли политика конфиденциальности каждому сайту

Обязанность связана с обработкой персональных данных, а не с самим фактом регистрации домена. Оператор, который собирает данные через сайт, должен опубликовать политику и обеспечить доступ к ней, в том числе на страницах сбора. Привычное название «Политика конфиденциальности» допустимо для навигации, но содержание должно описывать обработку персональных данных.

Для лендинга с телефоном в форме, интернет-магазина с заказами и сайта с личным кабинетом необходимость политики обычно очевидна. Сайт без форм тоже надо проверить: на нём могут работать аналитика, чат, рекламный пиксель или серверные журналы. И наоборот, для страницы, на которой действительно не обрабатываются персональные данные, некорректно выводить обязанность только из наличия сайта.

Разместите постоянную ссылку в подвале, рядом с формами и в панели настроек аналитики. Документ должен открываться без регистрации, принятия cookie и отправки заявки. Не прячьте его в картинку: основной текст должен быть читаемым и доступным.

Основание: часть 2 статьи 18.1 закона № 152-ФЗ.

Подробный разбор состава документа и примеры форм — в статье о политике и согласии для сайта.

04 / Персональные данные

Согласие: отдельное действие и отдельный документ

Согласие — одно из правовых оснований обработки. Закон также предусматривает, например, обработку, необходимую для исполнения договора или его заключения по инициативе человека. Поэтому нельзя утверждать, что любое действие с данными всегда требует галочки. Сначала определяют цель и основание, затем проектируют форму.

Когда используется согласие, оно должно быть конкретным, понятным и подтверждаемым. С 1 сентября 2025 года действует требование оформлять его отдельно от иной информации и документов, которые подтверждает пользователь. Одна отметка «принимаю оферту, политику, рекламу и всё остальное» — плохая конструкция.

Практический вариант для формы обратного звонка: незаполненный заранее чекбокс, понятная подпись и ссылка на отдельный текст согласия. Подписка на рекламу — самостоятельный необязательный выбор. Отказ от рекламы не должен мешать отправить обычное обращение.

Основание: статья 9 закона № 152-ФЗ.

05 / Персональные данные

Кому нужно подавать уведомление в Роскомнадзор

По общему правилу оператор уведомляет Роскомнадзор до начала обработки. Это относится и к ИП: небольшой оборот, один сотрудник или несколько заявок в месяц сами по себе не освобождают от уведомления.

В части 2 статьи 22 остались специальные исключения: определённые государственные информационные системы, обработка исключительно без средств автоматизации и отдельные случаи транспортной безопасности. Старые советы «если есть только договор с клиентом, уведомлять не нужно» нельзя применять как общее освобождение.

Для сайта с автоматизированной формой, CRM или учётом пользователей исключение про исключительно неавтоматизированную обработку обычно не подходит. Отсутствие формы не отвечает на вопрос автоматически: изучите состав аналитики, логи и обработку обращений вне сайта. Уведомляют о деятельности оператора, а не просто «регистрируют домен».

1. Проверьте, есть ли оператор в реестре и актуальны ли сведения.
2. Опишите фактические цели, категории людей и данных, основания, операции и способы обработки.
3. Уточните расположение баз, меры защиты, ответственного и наличие трансграничной передачи.
4. Подайте уведомление через официальный порядок и сохраните подтверждение отправки.
5. При изменениях поддерживайте сведения в актуальном состоянии.

Рассмотрение уведомления и внесение в реестр бесплатны. Оплата подрядчику за помощь — отдельная услуга, не государственная пошлина. Наличие записи в реестре не является сертификатом, что сайт полностью соответствует закону.

Если уже обрабатываете данные без необходимого уведомления, не указывайте вымышленную дату начала. Разберите ситуацию с юристом, исправьте сведения и организационные процессы.

Основание: статья 22 закона № 152-ФЗ.

Основание: официальная форма уведомления Роскомнадзора.

06 / Персональные данные

Метрика, рекламные пиксели и окно выбора cookie

Cookie — небольшие записи в браузере. Они могут хранить выбор пользователя, поддерживать сессию или связывать посещения для аналитики и рекламы. Не каждый cookie содержит персональные данные, но идентификатор в совокупности с другими сведениями может относиться к определяемому человеку.

В 152-ФЗ нет единственного обязательного дизайна окна и требования показывать одинаковый баннер на любом сайте. Есть обязанности по законности обработки, информированию и получению согласия, когда оно является основанием. Для необязательной аналитики и рекламных пикселей разумная схема — не запускать их до выбора посетителя.

Окно должно объяснять назначение инструментов и давать понятный отказ. Кнопка «Только необходимые» оставляет базовые функции сайта. Нажатие «Принять» запускает только перечисленные и разрешённые цели; если аналитика и реклама имеют разные цели, удобнее предоставить отдельные переключатели.

Детальная схема и проверка запросов счётчиков — в статье о cookie и Яндекс Метрике.

Основание: условия использования Яндекс Метрики, пункт 2.1.

07 / Персональные данные

Где хранить данные и что проверить кроме документов

При сборе персональных данных граждан РФ закон ограничивает использование баз за пределами России для записи, систематизации, накопления, хранения, уточнения и извлечения. Исключения перечислены в законе. Российский домен или российская компания-разработчик ещё не доказывают, где находится база.

Проверьте весь маршрут заявки: браузер → обработчик формы → база → почта → CRM → интеграции. Внешний вид формы может быть российским, а встроенный сервис отправлять сведения напрямую за границу. Трансграничная передача рассматривается отдельно, в том числе с отдельным уведомлением по статье 12. Согласие на cookie не отменяет требования к локализации.

Не менее важны ограничение доступа, обновления CMS, резервные копии, защищённое соединение и удаление данных по срокам. Не храните экспорт заявок в открытой папке сайта. Не передавайте телефон или email в адресах страниц и параметрах аналитики.

При инциденте, предусмотренном частью 3.1 статьи 21, нужно направить первичное уведомление в РКН в течение 24 часов и результаты внутреннего расследования в течение 72 часов с момента выявления. Это отдельная процедура, не обычное уведомление о начале обработки.

Основание: часть 5 статьи 18: локализация.

Основание: статья 12: трансграничная передача.

Основание: статья 21: устранение нарушений и инциденты.

08 / Персональные данные

Штрафы за персональные данные на сайте

Ниже — основные составы статьи 13.11 КоАП РФ. Суммы в рублях, для первичного нарушения, если не указано иное. Конкретная квалификация зависит от фактов: отсутствие чекбокса само по себе не означает автоматическое применение любой строки таблицы.

* По общему правилу статьи 2.4 КоАП ИП отвечает как должностное лицо, если не предусмотрено иное. Для частей 8–18 примечание к статье 13.11 приравнивает ИП к юридическому лицу. В таблице под организацией понимается коммерческое юридическое лицо; для госорганов и НКО есть особенности.

Часть 2 относится именно к обязательному письменному согласию. Её нельзя без разбора подписывать «штраф за галочку на сайте». Для обычной формы надо установить основание обработки и применимую норму.

За утечки предусмотрены отдельные составы: по частям 12–14 для организаций и ИП диапазоны составляют 3–5, 5–10 и 10–15 млн ₽ в зависимости от масштаба. За повторные нарушения по части 15 — 1–3% выручки с пределами 20–500 млн ₽. Это не штраф за отсутствие баннера. Для специальных категорий и биометрии установлены отдельные санкции.

Наличие политики не защищает от ответственности за реальную утечку или незаконную передачу. Проверять надо одновременно документы и работу системы.

Основание: статья 13.11 КоАП РФ, включая примечания.

09 / Персональные данные

Чек-лист проверки сайта перед запуском рекламы

1. Составлен список всех форм, личных кабинетов, чатов, аналитики, пикселей и внешних подключений.
2. Для каждой цели определены данные, основание, срок и получатели.
3. Политика открывается из подвала и со страниц сбора данных.
4. Необходимые согласия оформлены отдельно; чекбоксы не проставлены заранее.
5. Реклама и рассылка не включены принудительно в согласие на обращение.
6. Счётчики на согласии молчат до выбора и после отказа, в том числе на внутренних страницах.
7. Есть способ изменить выбор и отозвать согласие.
8. Факт согласия и версия текста сохраняются в достаточном для подтверждения виде.
9. Проверены базы в РФ, интеграции и договоры с подрядчиками.
10. Уведомление РКН подано, если требуется; сведения соответствуют реальности.

Проверку повторяют после подключения новых виджетов, смены CRM, добавления форм или смены целей обработки. Новый рекламный пиксель может изменить состав обработки даже без изменения дизайна сайта.

10 / Персональные данные

Вопросы и ответы