Требования Роскомнадзора к сайту

Форма обратной связи, заказ звонка, корзина, подписка, чат, онлайн-запись, опрос - всё это сбор персональных данных. Cookie и аналитика тоже могут относиться к обработке, если позволяют идентифицировать пользователя.

Оператор - тот, кто определяет цели и состав обработки. Обычно это владелец сайта, даже если сайт делает агентство, а хостинг - партнёр. Подрядчик может быть обработчиком, но ответственность за документы и законность остаётся на операторе.

Если сайт действительно только рассказывает о компании и не собирает данные, риск ниже. Но аналитика, встроенные карты, шрифты и виджеты могут передавать данные третьим лицам - проверьте, что именно загружается на странице.

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Человек должен понимать, кто получает данные, зачем, какие именно данные, на какой срок и как отозвать согласие.

С 1 сентября 2025 года согласие оформляется отдельно от иной информации и документов. Это значит: отдельный текст или отдельный экран, отдельная галочка, отдельная ссылка на политику - а не согласие, спрятанное в оферте.

Галочка не должна быть отмечена заранее. Отказ от необязательных cookie и рассылки не должен блокировать доступ к сайту. Отзыв согласия должен быть не сложнее, чем его выдача.

Cookie-баннер нужен не для красоты. До загрузки необязательных cookie и аналитики человек должен получить понятную информацию и выразить согласие. Кнопка «Отклонить» должна быть так же доступна, как «Принять».

Если используется Яндекс.Метрика, проверьте настройки: обезличивание, срок хранения, передачу данных, доступ к отчётам. Если сервис зарубежный, оцените трансграничную передачу и необходимость уведомления.

В политике опишите категории cookie: необходимые, аналитические, маркетинговые. Не называйте все cookie «необходимыми», если они нужны только для рекламы.

Первичный сбор и хранение персональных данных граждан РФ должны происходить в базах на территории России. Это не запрещает использовать зарубежные сервисы полностью, но требует оценить, где реально хранятся данные и кто к ним имеет доступ.

Перед трансграничной передачей оператор обычно обязан уведомить Роскомнадзор. Для стран с адекватной защитой действует уведомительный порядок, для остальных - разрешительный. Проверьте перечень стран и требования к уведомлению.

Составьте реестр сервисов: хостинг, CRM, почта, аналитика, CDN, карты, чаты, платёжные виджеты. Для каждого отметьте, где хранятся данные, есть ли передача за границу и на каком основании.

Статья 18.1 требует назначить ответственного, принять локальные акты, оценить вред, ознакомить сотрудников и организовать внутренний контроль. Статья 19 - выбрать и применить технические и организационные меры.

На практике это HTTPS, разграничение доступа, отдельные аккаунты, двухфакторная аутентификация для админки, шифрование резервных копий, журналы доступа, обновление зависимостей и проверка восстановления.

При утечке действует короткий регламент: первичное уведомление Роскомнадзора в течение 24 часов, результаты внутреннего расследования - в течение 72 часов. Заранее назначьте ответственного и шаблон уведомления.

Основной состав - статья 13.11 КоАП РФ. Размер штрафа зависит от нарушения: обработка без согласия, отсутствие политики, нарушение локализации, непредоставление информации, повторность.

В 2025-2026 годах усилили контроль за локализацией, трансграничной передачей и отдельными согласиями. Проверки проводятся дистанционно, в том числе с автоматическим анализом сайтов, поэтому «нас не заметят» - плохая стратегия.

Штраф - не единственный риск. Предписание, ограничение доступа к ресурсу, потеря данных и репутации часто дороже. Но и запугивать себя «миллионами за любую галочку» не стоит: смотрите состав нарушения и актуальную редакцию КоАП.