Данные: штрафы.

Что изменилось в деньгах

С 30 мая 2025 года действуют штрафы по закону № 420-ФЗ, и они уже не «предупреждение и десять тысяч». Не уведомили Роскомнадзор о том, что обрабатываете персональные данные, — от 100 до 300 тысяч рублей для компании. Не сообщили об утечке — от 1 до 3 миллионов. Сама утечка оценивается по масштабу: от 3–5 миллионов за данные тысячи человек до 10–15 миллионов за сто тысяч. За повторную утечку — оборотный штраф от 1 до 3 % годовой выручки, минимум 20–25 миллионов, потолок 500 миллионов.

Важная деталь: скидка 50 % при быстрой уплате ко всем составам статьи 13.11 КоАП не применяется. То есть сумма в постановлении — это сумма к оплате.

Второе изменение — не в законе, а в практике. С сентября 2025 года Роскомнадзор перестроил контроль: вместо плановых проверок — работа по жалобам. Пожаловаться может любой посетитель сайта, которому не понравилась предустановленная галочка. Под удар первыми попадает малый и средний бизнес: шаблонные сайты с формами десятилетней давности.

Что считается нарушением на сайте

Ведомство исходит из того, что согласие должно быть конкретным, информированным и сознательным. На языке вёрстки это означает четыре вещи.

Предустановленная галочка. Чекбокс «согласен на обработку», отмеченный по умолчанию, — нарушение сам по себе, независимо от того, случилась утечка или нет.

Согласие, слитое с отправкой. Формулировка «нажимая кнопку, вы соглашаетесь» без отдельного действия пользователя считается юридически слабой. Нужен отдельный чекбокс, а форма без него не должна отправляться.

Политика в подвале мелким шрифтом. Ссылка на политику обработки данных должна быть видна в самой форме в момент сбора данных и открываться до отправки, а не искаться в футере.

Аналитика до согласия. Счётчики, пиксели рекламных систем и cookie не должны загружаться, пока посетитель не дал согласие. Баннер «мы используем cookie» с одной кнопкой «ок», который ничего не блокирует, формально ничего не решает.

Отдельно — разные согласия на разные цели. Регистрация, рассылка и аналитика — три разные обработки, и одно общее согласие «на всё» их не покрывает.

Что проверить за один вечер

• Уведомление в Роскомнадзор. Проверить, есть ли компания в реестре операторов и совпадают ли заявленные цели с тем, что реально собирает сайт. Нет — подать уведомление: это самый дешёвый пункт списка и самый частый штраф.
• Каждая форма на сайте. Заявка, обратный звонок, подписка, калькулятор, чат. В каждой — отдельный незаполненный чекбокс, ссылка на политику внутри формы, блокировка отправки без согласия.
• Политика обработки. Актуальная версия, дата, цели, сроки хранения, перечень третьих лиц (CRM, рассылка, коллтрекинг). Скопированный шаблон с чужим названием компании — типовая находка при проверке.
• Cookie-баннер. Кнопки «принять» и «отклонить», а не одна «ок»; счётчики стартуют после согласия; выбор запоминается.
• Журнал согласий. Техническая фиксация: дата и время, версия формы, версия политики, откуда пришло согласие. При проверке запрашивают именно это, а не текст документа.
• Передача за рубеж. Виджеты и сервисы, которые отправляют данные на зарубежные серверы (формы, чаты, аналитика), требуют отдельного основания. Проще заменить, чем оформлять.

Где это пересекается с рекламой

С июля 2026 года модерация Директа сама отправляет на ручную проверку коммерческие сайты без политики конфиденциальности и реквизитов — подробно в разборе изменений Директа. То есть один и тот же недочёт теперь стоит и штрафа, и остановленной рекламы. Приводя формы в порядок ради Роскомнадзора, вы одновременно снимаете барьер для запуска кампаний.

Чего делать не стоит

Не стоит «прятать» формы: убирать чекбокс совсем, чтобы не портить конверсию. Форма без согласия — это сбор данных без основания, и он дороже, чем потеря нескольких процентов заявок. Не стоит ставить один баннер cookie «для галочки», не блокируя счётчики: проверяющие смотрят сетевые запросы, а не наличие баннера. И не стоит откладывать уведомление в реестр до первой проверки — это единственный пункт, который нельзя исправить задним числом.

Про то, как строится работа с данными клиентов шире — хранение, доступы, CRM — мы писали в материале о защите данных клиентов; этот текст — про сайт как точку сбора.

Коротко

• Штрафы с 30 мая 2025: уведомление 100–300 тыс., утечка от 3 млн, повторная — до 3 % выручки.
• Роскомнадзор с сентября 2025 работает по жалобам; шаблонные сайты в зоне риска.
• Нарушения: галочка по умолчанию, согласие без отдельного действия, политика только в футере, счётчики до согласия.
• Чек-лист: реестр операторов, каждая форма, актуальная политика, cookie-баннер с отказом, журнал согласий.
• Те же требования к сайту с июля предъявляет модерация Директа.

Частые вопросы

Нужно ли уведомлять Роскомнадзор, если на сайте только форма обратного звонка?

Да. Имя и телефон — персональные данные, их сбор требует уведомления об обработке.

Достаточно ли текста «нажимая кнопку, вы соглашаетесь»?

Нет. Нужен отдельный незаполненный чекбокс и блокировка отправки без него.

Обязателен ли баннер cookie?

Нужно согласие до запуска счётчиков и пикселей. Баннер — способ его получить, но только если он реально блокирует загрузку до выбора.

Что запрашивают при проверке?

Не только политику, но и подтверждение согласия: дату, способ получения, версию формы и политики. Без журнала доказать согласие нечем.