Многие предприниматели считают сайт просто витриной. Но с точки зрения закона сайт, который собирает любые данные посетителей — имя, телефон, e-mail в форме заявки, — это работа с персональными данными. И к ней государство предъявляет строгие требования. В 2025–2026 годах штрафы резко выросли, поэтому соответствие закону стало вопросом не «на будущее», а на сегодня. Разберём обязательный минимум на примере нашего клиента — службы доставки SUPERFOOD, чей сайт обрабатывает данные тысяч заказчиков.
Что сайт обязан иметь по закону
1. Политика обработки персональных данных
Отдельный документ, размещённый на сайте (152-ФЗ). В нём должны быть обязательные разделы: цели и правовые основания обработки, перечень данных, сроки хранения, права субъекта. Роскомнадзор уже использует автоматические системы, которые проверяют наличие и содержание таких политик. Отсутствие документа — самостоятельное нарушение.
2. Согласие на обработку персональных данных
Перед отправкой любой формы пользователь должен дать явное и осознанное согласие — активным действием (галочка-чекбокс, а не текст мелким шрифтом). Согласие берётся до сбора данных, а с 1 сентября 2025 года оформляется отдельно от других документов: «зашить» его в пользовательское соглашение или оферту нельзя (Федеральный закон от 24.06.2025 № 156-ФЗ).
3. Cookie-баннер
Отдельной нормы о cookie-баннере в законе нет, но если сайт использует метрики и cookie, позволяющие идентифицировать посетителя, это обработка персональных данных и на неё нужно согласие. Практичное решение — баннер: информирование, возможность отказаться от необязательных cookie и разделение их на категории (необходимые, аналитические, маркетинговые).
4. Уведомление в Роскомнадзор
Практически любой сайт с формой обратной связи делает его владельца оператором персональных данных, а значит, требуется подать уведомление в Роскомнадзор о намерении обрабатывать данные. За непредставление уведомления с 30 мая 2025 года организации грозит штраф от 100 000 до 300 000 рублей (ч. 10 ст. 13.11 КоАП РФ).
5. Хранение данных на серверах в России
Персональные данные россиян должны храниться на серверах, физически расположенных в РФ. Хранение баз в зарубежных сервисах (Google Drive, Notion, Dropbox и т.п.) — нарушение: штраф для организации от 1 до 6 млн рублей, при повторном нарушении — до 18 млн рублей.
6. Сведения о продавце (для интернет-магазинов)
Если сайт продаёт товары или услуги, закон о защите прав потребителей требует указать данные продавца (наименование, ОГРН/ИНН, адрес), условия оплаты, доставки и возврата. У SUPERFOOD как у интернет-магазина эти сведения и cookie-согласие уже реализованы.
Штрафы в 2025–2026 годах
- Отсутствие политики обработки ПД — до 60 000 рублей для юрлица.
- Непредставление уведомления в РКН о начале обработки — от 100 000 до 300 000 рублей; неуведомление РКН об утечке — от 1 до 3 млн рублей.
- Обработка без законного основания — от 150 000 до 300 000 рублей; без согласия или с нарушением требований к нему — от 300 000 до 700 000 рублей, при повторном нарушении — до 1,5 млн рублей.
- Штрафы за утечку данных (с 30 мая 2025) — от 3 до 15 млн рублей в зависимости от числа пострадавших, для специальных категорий и биометрии — до 20 млн рублей; за повторную утечку — оборотный штраф 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей.
Как видно, «сэкономить» на юридическом оформлении сайта сегодня опаснее, чем когда-либо.
Что делать бизнесу
Проверьте свой сайт по этому списку: есть ли политика, работает ли чекбокс согласия, стоит ли cookie-баннер, подано ли уведомление в РКН, где хранятся данные. Если чего-то нет — это прямой риск штрафа при первой же проверке. Грамотное оформление документов и настройка форм закрывают большинство рисков.
Материал носит информационный характер и не является юридической консультацией. Нормы и размеры штрафов могут меняться — уточняйте актуальные требования у наших специалистов.
