Закон о персональных данных в 2026 году: что изменилось и что делать владельцу сайта

Закон о персональных данных в 2026 году касается вашего сайта, даже если вы ничего не продаёте онлайн: достаточно одной формы обратной связи или счётчика статистики. Владельцы обычно об этом узнают не из новостей, а из письма с требованием дать объяснения — и в этот момент выясняется, что уведомление в надзорный орган не подавалось, политика на сайте лежит скачанным шаблоном, а галочка у формы одна на всё. Ниже — что поменялось за последнее время и с какого числа, какие четыре вещи должны быть на сайте, и короткий список того, что можно проверить самому сегодня. Оговорка сразу: материал не заменяет юриста, он нужен, чтобы вы увидели картину целиком и пришли к юристу с конкретными вопросами, а не с «проверьте нам всё».

Я смотрю на это со стороны сайтов: проектов малого бизнеса, где с первого раза всё в порядке, у меня почти не было. Дело не в злом умысле — документы делали один раз при запуске, а требования с тех пор менялись трижды. Если вы заодно занимаетесь тем, чтобы сайт приносил заявки, правки стоит внести в один заход: при комплексном продвижении сайта формы и документы всё равно приходится трогать.

Что изменилось за последнее время

Три вещи, и все три уже работают или касаются вас напрямую.

С 1 сентября 2025 года согласие оформляется отдельно. Федеральный закон от 24 июня 2025 года № 156-ФЗ добавил в статью 9 закона № 152-ФЗ требование: согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые человек подтверждает или подписывает. До этого разрешение спокойно вписывали в пользовательское соглашение или в оферту и считали вопрос закрытым. Теперь так нельзя: нужен отдельный пункт, отдельная галочка, отдельный документ.

С 30 мая 2025 года действуют новые штрафы. Их ввёл федеральный закон от 30 ноября 2024 года № 420-ФЗ. Появились отдельные составы — за неуведомление надзорного органа о намерении обрабатывать данные и за неуведомление об утечке; выросли суммы по общему составу; за повторную утечку ввели штраф в процентах от годовой выручки. И отменена возможность заплатить половину суммы при быстрой оплате.

В 2026 году поправили правила трансграничной передачи. Статью 12 закона № 152-ФЗ изменил федеральный закон от 26 июля 2026 года № 265-ФЗ. На карточке закона на момент подготовки материала стоит пометка о редакции с изменениями, не вступившими в силу, поэтому конкретную дату начала применения я здесь не называю — её нужно смотреть в самом законе на дату вашего решения. Что действует уже сейчас, разобрано ниже отдельным разделом.

И одно, что не менялось, но о чём забывают: требования к самому согласию. По статье 9 оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Каждое из этих пяти слов — отдельное основание признать вашу галочку негодной.

Кого это касается: проверьте по трём признакам

Оператором персональных данных вы становитесь не по факту регистрации в каком-то реестре, а по факту действий с данными. Если на вашем сайте есть хотя бы одно из трёх, вы оператор.

Форма. Любая: заявка, обратный звонок, запись на приём, подписка, отзыв, чат. Как только человек вводит имя, телефон, почту — вы собираете персональные данные.

Счётчик или сервис статистики. Здесь владельцы спорят чаще всего. Счётчик ставит идентификаторы, собирает адреса устройств и поведение — и данные уходят на сторону. Отсюда требование получать согласие на использование таких технологий и корректно описывать это в документах на сайте. Технически это тот самый баннер согласия, который легко превратить в тормоз для страницы; как сделать его без потери скорости, разобрано отдельно: баннер cookie на сайте.

Личный кабинет, регистрация, корзина. Всё, где данные хранятся дольше одного визита.

Организационно-правовая форма роли не играет: ИП, самозанятый с визиткой, небольшое общество — обязанности одинаковые, различаются только суммы штрафов по некоторым составам.

Уведомление в надзорный орган

Статья 22 закона № 152-ФЗ требует уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении обрабатывать данные — до начала обработки. Исключений в действующей редакции мало: отдельные государственные информационные системы, обработка без средств автоматизации и данные по законодательству о транспортной безопасности. Прежний длинный перечень оснований не подавать уведомление утратил силу с 1 сентября 2022 года — поэтому большинство малых компаний с сайтом теперь подавать обязаны, хотя раньше не были.

За неподачу отвечает часть 10 статьи 13.11 Кодекса об административных правонарушениях: граждане — от 5 000 до 10 000 рублей, должностные лица — от 30 000 до 50 000, юридические лица — от 100 000 до 300 000. Процедура подачи и проверка, есть ли вы в реестре, разобраны отдельно: уведомление в Роскомнадзор. Здесь важно другое: уведомление подаётся один раз, но при изменении сведений его уточняют — сменили адрес, добавили цель обработки, значит сведения устарели.

Что должно быть на сайте: четыре обязательных элемента

Политика обработки персональных данных. Статья 18.1 закона № 152-ФЗ обязывает оператора, собирающего данные через интернет, опубликовать документ с политикой в отношении обработки персональных данных и сведения о реализуемых требованиях к защите, и обеспечить к ним доступ. Практически это ссылка в подвале с каждой страницы. Скачанный шаблон закрывает пункт формально и разваливается при сопоставлении с реальностью: в нём есть цели, которых у вас нет, и нет сервисов, которые у вас стоят. Что должно быть в документе, разобрано в материале про политику конфиденциальности на сайте.

Согласие у каждой формы. Отдельной непредзаполненной галочкой, с ссылкой на текст согласия, а не на политику. Если вы ещё и рассылаете рекламу, согласие на неё собирается вторым отдельным пунктом — это другое разрешение из другого закона.

Механизм отзыва согласия. Человек имеет право отозвать согласие, и у него должен быть понятный способ это сделать: адрес почты или форма, указанные в политике. Отзыв нужно фиксировать и исполнять.

Ответственный за организацию обработки и внутренние документы. Для юридического лица это назначенное приказом лицо и локальные акты по обработке. Для индивидуального предпринимателя формальностей меньше, но описать, кто у вас имеет доступ к базе заявок и на каком основании, всё равно придётся — хотя бы для себя.

Требование	Что должно быть на сайте	Чем подтверждается
Публикация политики обработки	Ссылка в подвале на отдельную страницу, доступную без входа	Сама страница, дата её последней редакции, архив прежних версий
Согласие на обработку	Отдельная непредзаполненная галочка у каждой формы	Журнал: дата, время, IP, адрес страницы, версия текста, отмеченные пункты
Согласие оформлено отдельно	Собственный текст согласия, не внутри оферты или пользовательского соглашения	Отдельная страница с текстом и датой вступления версии
Согласие на счётчики и аналитику	Баннер согласия, который реально управляет загрузкой скриптов	Запись выбора посетителя, поведение страницы при отказе
Отзыв согласия	Указанный в политике адрес или форма отзыва	Входящие обращения и отметки об исполнении с датами
Уведомление надзорного органа	На сайте ничего, но сведения должны совпадать с фактическими целями	Запись в реестре операторов и копия поданного уведомления
Хранение данных в России	На сайте ничего, важно, где физически лежит база	Договор с хостингом и сведения о размещении серверов
Сведения о продавце и контакты	Полные реквизиты, по которым вас можно найти	Страница контактов, совпадающая с данными в уведомлении

Где лежат данные и трансграничная передача

Статья 18 закона № 152-ФЗ требует при сборе данных, в том числе через интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных, находящихся на территории Российской Федерации, — с узкими исключениями, которые перечислены в статье 6. Для владельца сайта это означает простую вещь: база заявок и база пользователей должны лежать на серверах в России. Хостинг за границей, зарубежный сервис для форм или рассылок, куда утекают контакты, — это тот случай, о котором лучше поговорить с юристом до, а не после.

Трансграничная передача — это передача данных иностранному лицу или в иностранное государство. По статье 12 оператор до начала такой передачи обязан направить в уполномоченный орган отдельное уведомление о намерении её осуществлять — отдельно от уведомления об обработке. Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждает уполномоченный орган. В интересах защиты основ конституционного строя, обороны, безопасности, экономических и дипломатических интересов страны передача может быть ограничена или запрещена.

Практический перевод: зарубежный сервис аналитики, чат, сервис рассылок или платёжный модуль, получающий контакты посетителей, — это не «просто скрипт», а возможная трансграничная передача с отдельной обязанностью. Проверяется не по названию сервиса, а по тому, куда уходят запросы со страницы: вкладка сетевых запросов в инструментах разработчика браузера.

Оборотные штрафы за утечку — коротко

Ещё одна оговорка, раз речь пошла об ответственности: материал не заменяет юриста. Суммы приведены по действующим редакциям, но квалификация нарушения и оценка доказательств в конкретном деле — не работа для статьи.

Общая картина такая. Появились отдельные крупные штрафы за сам факт утечки, они растут с числом пострадавших, а за повторную утечку предусмотрен штраф в процентах от годовой выручки. Отдельно наказывается то, что оператор не сообщил о утечке надзорному органу. Механика расчёта, пороги по числу субъектов и что именно считается повторностью — всё это разобрано в отдельном материале: штрафы за утечку персональных данных. Повторять его здесь не буду, чтобы не плодить два разных пересказа одной нормы.

Важно другое: утечка — не только взлом. Это и открытая наружу папка с выгрузками заявок, и таблица с базой в общем доступе по ссылке, и уволившийся сотрудник с доступом к почте, куда падают формы.

Что проверить на своём сайте сегодня

Час работы, никаких инструментов кроме браузера.

Шаг	Что делать	Признак проблемы
1	Найти все формы: в шапке, в подвале, всплывающие, квизы, чат	Вы вспомнили не все — значит, часть форм никто не проверял годами
2	Перезагрузить страницу и посмотреть на галочки	Хоть одна отмечена заранее
3	Открыть ссылку у галочки	Ссылка ведёт на оферту или на политику вместо текста согласия
4	Открыть политику из подвала на телефоне	Битая ссылка, документ картинкой, чужие реквизиты в тексте
5	Сверить цели обработки в политике с тем, что вы делаете	В документе есть цели, которых у вас нет, и нет тех, что есть
6	Проверить, есть ли вы в реестре операторов	Вас нет или сведения устарели после смены адреса
7	Спросить у хостинга, где физически стоят серверы	Ответ «в Европе» или уклончивый
8	Посмотреть сетевые запросы страницы в браузере	Запросы на зарубежные домены сервисов, получающих контакты
9	Проверить, кто имеет доступ к почте и базе заявок	В списке есть люди, которые уже не работают

Девятый шаг обычно даёт самый неприятный результат. Заявки годами шлются на общий ящик, пароль от него знают пятеро, двое уже уволились. Технически это база персональных данных с неконтролируемым доступом, и никакая правильная политика на сайте этого не исправит.

Когда этого недостаточно и когда нужен юрист

Список выше закрывает типовой случай: сайт с формами, счётчик, база заявок, работа по России. Он недостаточен в следующих ситуациях.

Обработка особых категорий данных. Медицина, здоровье, биометрия, данные детей — там другие правила и другие суммы, и делать это по общей инструкции нельзя.

Сложные цепочки обработчиков. Если данные передаются партнёру, франчайзеру, колл-центру или в общую базу сети, нужно поручение на обработку с конкретными условиями. Отношения выстраиваются документами, а не устной договорённостью.

Зарубежные сервисы, от которых нельзя отказаться. Иногда бизнес завязан на иностранную систему бронирования или платёжный сервис. Здесь надо считать риски и оформлять то, что оформляемо, — и это разговор с юристом, а не выбор плагина.

Уже есть запрос, жалоба или проверка. С этого момента любые правки задним числом делают хуже: вы не только не исправляете прошлое, но и создаёте новые вопросы. Идите к юристу с фактами.

Моя часть работы в этой истории техническая: найти на сайте все формы и все сторонние скрипты, развести галочки, настроить журнал согласий, проверить, куда уходят данные, и привести документы в соответствие с тем, что на сайте реально происходит. Это же обычно всплывает при разборе сайта под задачи SEO — потому что страницы с формами и есть точки, через которые сайт зарабатывает. Если хотите начать с понимания масштаба, есть бесплатный аудит сайта: по нему видно, сколько на сайте форм, какие сторонние сервисы стоят и что из этого требует внимания.

Частые вопросы

У меня сайт-визитка без форм, только телефон. Я оператор?

Если на сайте нет форм, нет счётчиков и нет чата, данные посетителей вы не собираете. Но телефонный звонок и последующая запись клиента в блокнот или таблицу — это уже обработка, просто не через сайт. Смотрите не на сайт, а на то, что вы делаете с контактами клиентов.

Достаточно ли одной галочки «согласен с политикой конфиденциальности»?

Нет, и это самая частая ошибка. Политика — ваш односторонний документ о том, как вы обращаетесь с данными. Согласие — отдельное волеизъявление человека с конкретным содержанием. Ссылка на политику не заменяет текст согласия, а с сентября 2025 года согласие ещё и должно быть оформлено отдельно от других документов.

Нужно ли переподписывать старых клиентов после изменений?

Зависит от того, на что они подписывались и что вы делаете с их данными сейчас. Если цели обработки не менялись, а согласие было оформлено корректно, переподписывать обычно не требуется. Если согласие было спрятано в тексте оферты — это как раз тот случай, который стоит обсудить с юристом, потому что задним числом такое не лечится.

Что считается «отдельным» оформлением согласия на практике?

Отдельный документ или отдельный, самостоятельный блок, который человек подтверждает своим действием — и который не является частью другого документа. На сайте это выглядит как своя галочка со своей ссылкой на свой текст. Внутри пользовательского соглашения пунктом — не подходит.

Можно ли хранить заявки в зарубежном сервисе, если дублирую их в России?

Формулировка закона говорит об обеспечении записи, накопления и хранения данных граждан России с использованием баз на территории страны. Схема «первичная запись за границей, копия в России» этому требованию не соответствует по смыслу. Порядок должен быть обратным, и конкретную конфигурацию лучше согласовать с юристом.

Коротко

Оператором вас делает не реестр, а действия: одна форма или счётчик на сайте — и все обязанности ваши, независимо от того, ИП вы или общество.

С 1 сентября 2025 года согласие должно быть оформлено отдельно от иных документов, которые человек подтверждает. Пункт внутри оферты или пользовательского соглашения больше не работает.

С 30 мая 2025 года действуют новые штрафы: отдельные составы за неуведомление о намерении обрабатывать данные и за неуведомление об утечке, штраф в процентах от выручки за повторную утечку и отмена возможности заплатить половину суммы.

На сайте должны быть четыре вещи: опубликованная политика обработки, отдельная непредзаполненная галочка согласия у каждой формы, работающий способ отзыва согласия и внутренний порядок доступа к базе.

Данные граждан России должны записываться и храниться в базах на территории страны, а передача данных иностранному лицу требует отдельного уведомления надзорного органа. Проверяйте не названия сервисов, а куда уходят запросы с вашей страницы.

Доказывать, что согласие получено, обязаны вы. Значит, журнал с датой, временем, адресом страницы и версией текста согласия нужен не для отчёта, а как единственное доказательство. И последнее: материал не заменяет юриста — он нужен, чтобы вы пришли к нему с готовым списком.

Если по чек-листу вы нашли у себя четыре пункта из девяти — это нормальная средняя картина, и приводится в порядок она за один заход: сначала техническая часть на сайте, потом документы под то, что реально происходит. Хотите, чтобы кто-то прошёл по вашему сайту с этим списком и показал, что именно надо править, — приходите на консультацию. Разберём формы, сервисы и документы вместе, а спорные юридические вопросы вы отнесёте юристу уже сформулированными.