Многие предприниматели считают сайт просто витриной. Но с точки зрения закона сайт, который собирает любые данные посетителей — имя, телефон, e-mail в форме заявки, — это работа с персональными данными. И к ней государство предъявляет строгие требования. В 2025–2026 годах штрафы резко выросли, поэтому соответствие закону стало вопросом не «на будущее», а на сегодня. Разберём обязательный минимум на примере нашего клиента — службы доставки SUPERFOOD, чей сайт обрабатывает данные тысяч заказчиков.
Что сайт обязан иметь по закону
1. Политика обработки персональных данных
Отдельный документ, размещённый на сайте (ФЗ-152). В нём должны быть обязательные разделы: цели и правовые основания обработки, перечень данных, сроки хранения, права субъекта. Роскомнадзор уже использует автоматические системы, которые проверяют наличие и содержание таких политик. Отсутствие документа — самостоятельное нарушение.
2. Согласие на обработку персональных данных
Перед отправкой любой формы пользователь должен дать явное и осознанное согласие — активным действием (галочка-чекбокс, а не текст мелким шрифтом). Согласие берётся до сбора данных.
3. Cookie-баннер
С 1 марта 2025 года обязателен баннер о файлах cookie: информирование, возможность отказаться от необязательных cookie и разделение их на категории (необходимые, аналитические, маркетинговые).
4. Уведомление в Роскомнадзор
Практически любой сайт с формой обратной связи делает его владельца оператором персональных данных, а значит, требуется подать уведомление в Роскомнадзор о намерении обрабатывать данные. За непредставление уведомления с 30 мая 2025 года штраф — от 1 до 3 млн рублей.
5. Хранение данных на серверах в России
Персональные данные россиян должны храниться на серверах, физически расположенных в РФ. Хранение баз в зарубежных сервисах (Google Drive, Notion, Dropbox и т.п.) — нарушение.
6. Сведения о продавце (для интернет-магазинов)
Если сайт продаёт товары или услуги, закон о защите прав потребителей требует указать данные продавца (наименование, ОГРН/ИНН, адрес), условия оплаты, доставки и возврата. У SUPERFOOD как у интернет-магазина эти сведения и cookie-согласие уже реализованы.
Штрафы в 2025–2026 годах
- Отсутствие политики обработки ПД — до 60 000 рублей для юрлица.
- Непредставление уведомления в РКН — от 1 до 3 млн рублей.
- Общие нарушения ст. 13.11 КоАП — до 300 000–700 000 рублей.
- Оборотные штрафы за утечку данных (с 30 мая 2025) — до 3% годовой выручки, при повторном нарушении до 500 млн рублей; нижний порог за утечку — от 3 млн рублей.
Как видно, «сэкономить» на юридическом оформлении сайта сегодня опаснее, чем когда-либо.
Что делать бизнесу
Проверьте свой сайт по этому списку: есть ли политика, работает ли чекбокс согласия, стоит ли cookie-баннер, подано ли уведомление в РКН, где хранятся данные. Если чего-то нет — это прямой риск штрафа при первой же проверке. Грамотное оформление документов и настройка форм закрывают большинство рисков.
Материал носит информационный характер и не является юридической консультацией. Нормы и размеры штрафов могут меняться — уточняйте актуальные требования у наших специалистов.
