Ошибки на сайте, за которые могут оштрафовать: разбор новых требований Роскомнадзора

⚠️ Дисклеймер: Этот текст носит исключительно информационный характер и не является юридической консультацией. Все приведённые сведения взяты из открытых источников. Для получения профессиональной помощи рекомендуем обратиться к квалифицированному юристу в области персональных данных и права.

С 2025 года правила игры для всех, у кого есть сайт, серьёзно меняются. Роскомнадзор усилил контроль над обработкой персональных данных — теперь проверки проходят не вручную, а автоматически, с помощью алгоритмов и искусственного интеллекта. А это значит, что даже случайные «хвосты» в коде сайта могут привести к штрафам в миллионы рублей.

Любая форма обратной связи, кнопка «оставьте заявку», встроенный чат или подключённый Google Analytics — это уже повод признать вас оператором персональных данных. А значит, вы обязаны соблюдать весь набор требований закона 152-ФЗ. Неважно, вы крупная компания, малый бизнес или даже самозанятый.

Разберем, какие ошибки чаще всего допускают владельцы сайтов и как избежать крупных штрафов.

Ошибка 1: Отсутствие согласия на обработку персональных данных

Если вы используете формы на сайте (обратной связи, подписки, заказа), то по закону становитесь оператором персональных данных. Даже если вы запрашиваете только имя и email, это уже требует согласия пользователя. И просто кнопки «отправить» недостаточно. Требуется чек-бокс, где пользователь осознанно ставит галочку и подтверждает, что согласен на обработку данных. Без этой галочки любое хранение или использование информации уже считается нарушением.

Проблема в том, что на большинстве сайтов согласие реализовано неправильно: галочка установлена по умолчанию, нет ссылки на политику конфиденциальности или вовсе нет текста согласия. Важно помнить: автоматические алгоритмы видят структуру HTML-кода и могут зафиксировать такие нарушения. Даже если пользователь сам оставил данные, но галочка не была проставлена — это считается сбором данных без согласия.

Штраф:

• 300 000 – 700 000 рублей для организаций;
  
  
• 10 000 – 15 000 для физлиц (КоАП ч. 2 ст. 13.11).

Что делать:

• Добавьте чек-бокс со словами: «Я согласен на обработку персональных данных. Ознакомлен с Политикой конфиденциальности».
  
  
• Рядом — ссылки на саму политику и текст согласия.
  
  
• Обеспечить невозможность отправки формы без проставленной галочки.

Ошибка 2: Использование иностранных сервисов без разрешения

Трансграничная передача персональных данных — это любая ситуация, когда информация передаётся на сервер за пределами РФ. Даже если вы используете Google Analytics, облачные CRM, Telegram-бота или хостинг в Европе, это уже считается трансграничной передачей. И по закону такая передача возможна только после уведомления Роскомнадзора и получения согласия пользователя.

Многие владельцы сайтов не подозревают, что их сайт «общается» с иностранными сервисами. Например, даже отключённый, но не удалённый код Google Analytics продолжает считаться нарушением. Это особенно актуально для старых сайтов, где фрагменты кода могли остаться в шаблоне. Алгоритмы Роскомнадзора такие фрагменты видят.

Штрафы:

• Для организации и ИП - штраф 1 000 000 - 6 000 000 руб. (КоАП ч. 8 ст. 13.11);
  
  
• За повторное нарушение - 6 000 000 - 18 000 000 руб. (КоАП ч. 9 ст. 13.11).

Что делать:

1. Перенесите базы на российские серверы;
   
   
2. Если используете иностранные сервисы — уведомите Роскомнадзор;
   
   
3. Включите это в Политику конфиденциальности;
   
   
4. Получите согласие пользователя отдельно.

Даже если вы отключили сервис, но часть кода осталась в шаблоне сайта — это всё равно считается передачей данных.

Ошибка 3: Шаблонная политика конфиденциальности

Многие компании размещают на сайте шаблонную политику конфиденциальности, не адаптируя её под свою деятельность. Однако теперь это воспринимается как нарушение. Политика должна быть индивидуальной — с указанием, какие именно данные вы собираете, как вы их используете, где храните, как долго и кому передаёте. Должен быть указан способ отзыва согласия, порядок реагирования на утечку, сведения о защите данных.

Недопустимо оставлять общие формулировки. Алгоритмы проверяют соответствие указанной цели с фактическим функционалом сайта. Если, например, вы собираете адрес доставки, а в политике это не указано, — это нарушение. То же касается передачи данных в сторонние сервисы (например, в систему оплаты или доставки) — об этом тоже нужно писать отдельно.

Политика должна содержать:

• перечень собираемых данных;
  
  
• цели обработки;
  
  
• сроки хранения;
  
  
• способы отзыва согласия;
  
  
• действия при утечке;
  
  
• порядок уничтожения;
  
  
• возможность передачи третьим лицам.

Штраф: 

От 30 000 до 60 000 руб. (ч.3 ст.13.11 КоАП РФ)

Также сайт может быть заблокирован по закону №149-ФЗ, ст.15.5.

Что делать:

Все просто – обратитесь к юристу, чтобы тот адаптировал политику конфиденциальности под ваш бизнес и прописал условия обработки данных именно в вашем случае. 

Ошибка 4: Избыточный сбор данных

Согласно ст. 5 закона 152-ФЗ, данные должны собираться строго в объёме, необходимом для достижения конкретной цели. То есть, если вы хотите отправить пользователю чек-лист на email, то запрашивать его номер телефона или домашний адрес — неправомерно. Избыточные поля формально считаются нарушением.

Это одна из самых распространённых ошибок. Владельцы сайтов хотят «собирать побольше» на будущее — может пригодится для продаж. Но закон это запрещает. Указанные цели обработки в политике должны соответствовать тому, какие именно данные вы запрашиваете и зачем. Если несоответствие будет зафиксировано, штраф неминуем.

Штрафы:

• до 30 мая 2025 года — 60 000–100 000 руб.
  
  
• после — 150 000–300 000 руб.
  (ч.1 ст.13.11 КоАП РФ)

Проверьте:

• нет ли лишних полей в формах;
  
  
• соответствуют ли цели в Политике фактическим действиям;
  
  
• описаны ли конкретные действия с каждым видом данных.

Ошибка 5: Cookie без предупреждения

Cookie-файлы могут содержать идентификаторы, по которым можно узнать пользователя — это значит, что они тоже считаются персональными данными. Если на сайте не реализован pop-up с уведомлением о cookies и согласием, вы нарушаете закон. Особенно, если cookies обрабатываются не только вашим сайтом, но и сторонними сервисами — аналитикой, ретаргетингом, онлайн-консультантами.

Простой баннер с текстом «Мы используем cookies» больше не работает. Нужно указать, какие сервисы участвуют в обработке, и дать ссылку на политику, в которой описано, как можно отказаться от cookies. Если пользователь не дал согласие, но данные собираются — это прямое нарушение.

Штраф: 

• До 30 мая 2025 года — 60 000–100 000 руб.; 
  
  
• После  30 мая 2025 года — 150 000–300 000 руб.

6. Задержка с подачей уведомления в Роскомнадзор

Даже если всё на сайте оформлено правильно — есть политика, есть чек-боксы, всё работает — но вы забыли подать уведомление в Роскомнадзор, это уже основание для штрафа. И особенно строго за этим будут следить с 30 мая 2025 года.

Причем важно не только само уведомление, но и его корректность: должны быть указаны все сайты, домены, виды деятельности и адреса, где фактически хранятся данные. Если у вас несколько сайтов или субдоменов, они должны быть перечислены в реестре.

Штраф: 

От 100 000 до 300 000 руб. (ч.10 ст.13.11 КоАП РФ).

7. Нет защиты данных и плана на случай утечки

Даже если вы соблюдаете все формальности, это не освобождает от ответственности за безопасность. Компания обязана внедрить технические и организационные меры защиты данных. А также — иметь чёткий план действий на случай утечки.

Если данные всё же утекли (в результате атаки, ошибки или утраты доступа), вы обязаны уведомить Роскомнадзор в кратчайшие сроки и провести расследование. Иначе — штраф. Причём с 2025 года штраф зависит от количества затронутых пользователей: чем больше — тем выше санкции. А при повторной утечке — оборотный штраф от 1 до 3% от выручки.

Штраф: 

• От 1 до 15 миллионов рублей; 
  
  
• При повторной утечке — до 500 миллионов рублей (или 1–3% от выручки).

Заключение

Эти семь ошибок — не просто бюрократические недочёты. Это реальные риски, которые могут стоить бизнесу десятков миллионов рублей. Особенно в условиях, когда алгоритмы Роскомнадзора работают в автоматическом режиме и сканируют сайты без участия людей.

Именно поэтому важно отнестись к проверке серьёзно: адаптировать политику, пересмотреть формы, очистить код сайта, отказаться от зарубежных сервисов без разрешения, подать уведомления. Не надейтесь, что «пронесёт». Алгоритмы не пропускают даже мелочи.

Если вы активно собираете данные на сайте, проводите рекламу, используете формы, аналитику и CRM — отнеситесь к соответствию 152-ФЗ как к обязательной части маркетинга и ИТ-безопасности. Лучше устранить нарушения сейчас, чем потом отвечать за них финансово и репутационно.

Рекомендуем проконсультироваться с юристом для индивидуальной оценки.

Не ждите проверок - действуйте! 

А мы готовы помочь с доработками! Если ваш юрист уже выявил ошибки и вы знаете, что нужно исправить - мы оперативно внедрим изменения на вашем сайте!