152-ФЗ и Роскомнадзор в 2025-2026: почему требования ужесточились и что теперь должно быть на сайте

Если у вас есть сайт с формой обратной связи, заявкой или заказом — этот текст про вас. С 2025 года государство резко ужесточило требования к персональным данным и многократно подняло штрафы. Разбираем простыми словами: что изменилось, почему это идет от Роскомнадзора, чем грозит и что конкретно нужно сделать на сайте.

Коротко: что произошло

С 30 мая 2025 года вступили в силу поправки к закону №152-ФЗ «О персональных данных» и к Кодексу об административных правонарушениях (КоАП). Главное: штрафы за нарушения выросли в разы, а требования к сайтам стали строже. С 1 сентября 2025 года добавились новые правила оформления согласий.

Контролирует все это Роскомнадзор (РКН) — государственный орган, который следит за обработкой персональных данных. Именно он ведет реестр операторов, принимает уведомления и проверяет сайты. Если у РКН появляются вопросы, он присылает владельцу сайта официальное письмо «О предоставлении сведений» с перечнем нарушений и сроком на ответ.

Почему это касается почти любого сайта

Персональные данные — это любые данные, по которым можно опознать человека: имя, телефон, адрес электронной почты, адрес доставки. Как только на сайте есть форма, куда посетитель это вводит (заявка, обратный звонок, заказ, подписка, запись), — владелец сайта автоматически становится оператором персональных данных.

А раз вы оператор, к вам применяются требования 152-ФЗ. Не важно, интернет-магазин это, корпоративный сайт, лендинг или сайт госучреждения. Есть форма — есть обязанности.

Отдельно закон теперь требует согласия даже на сбор поведения посетителя: клики, время просмотра, действия на странице. Это напрямую задевает системы веб-аналитики и cookie.

Чем грозит: штрафы стали большими

Раньше нарушения по персональным данным стоили относительно недорого. С 30 мая 2025 года суммы изменились принципиально.

За неуведомление Роскомнадзора о начале обработки данных (то есть если вы оператор, но не подали уведомление в реестр):

• для физических лиц — от 5 000 до 10 000 рублей;
• для должностных лиц — от 30 000 до 50 000 рублей;
• для ИП и юридических лиц — от 100 000 до 300 000 рублей.

За утечку персональных данных штрафы теперь особенно жесткие. За первую утечку — сотни тысяч и миллионы рублей. За повторную для компаний вводятся оборотные штрафы: от 1 до 3 процентов годовой выручки, но не менее 20 миллионов и до 500 миллионов рублей.

За неправильное оформление согласия (с 1 сентября 2025 года согласие должно быть отдельным документом, а не пунктом в пользовательском соглашении) — штрафы до сотен тысяч рублей.

Смысл понятен: государство хочет, чтобы бизнес относился к персональным данным серьезно. Проще один раз привести сайт в порядок, чем платить штраф.

Что конкретно требует Роскомнадзор от сайта

Требования делятся на две части: то, что делает сам владелец (юридическая сторона), и то, что настраивается на сайте (техническая сторона).

Юридическая сторона — на стороне владельца

Это зона владельца бизнеса и его юриста:

• Регистрация в реестре операторов персональных данных. Подается уведомление на сайте Роскомнадзора о том, что вы обрабатываете персональные данные.
• Подготовка текста политики конфиденциальности. Это юридический документ, его содержание готовит владелец или юрист.
• Для госорганов — внутренний акт руководителя о правилах обработки данных (сроки, хранение, уничтожение).

Техническая сторона — на сайте

Это то, что настраивается в коде и в админке сайта:

• Политика конфиденциальности опубликована на отдельной странице.
• Ссылка на политику стоит в подвале (футере) сайта на всех страницах.
• Галочка согласия на всех формах — «Соглашаюсь на обработку персональных данных» со ссылкой на политику. Без галочки форма не отправляется.
• Политика по cookie — отдельный документ и отдельная страница.
• Cookie-баннер — окно, которое появляется при входе на сайт, сообщает о сборе cookie, ведет на обе политики и закрывается кнопкой.
• Текст про оператора на странице контактов — наименование юрлица и ИНН.
• Чистка зарубежных сервисов — удаление иностранных систем статистики (Google Analytics и подобных).
• SSL-сертификат — защищенное соединение (значок замка в адресной строке).

Важно: российскую Яндекс.Метрику удалять не нужно

Частый страх: «Мне придется убрать всю аналитику с сайта». Это не так.

Роскомнадзор требует убрать зарубежные сервисы статистики — Google Analytics, Google Tag Manager, Google Календарь. Российскую Яндекс.Метрику удалять не нужно. По ней требование другое: ее работу нужно обосновать (в политике по cookie) и предупредить о ней посетителя (через баннер). Так вы остаетесь в рамках закона и не теряете свою статистику.

Что делать, если пришло письмо из Роскомнадзора

Если РКН прислал письмо «О предоставлении сведений» — не паникуйте, но и не тяните. Порядок такой:

1. Найдите срок ответа. В письме указан срок, к которому нужно ответить. Это самое важное — его нельзя пропустить.
2. Разберите перечень нарушений. РКН пишет, что именно нашел: нет согласия на формах, нет баннера, нет политики и так далее.
3. Закройте нарушения на сайте. Каждое нарушение из письма закрывается конкретной работой на сайте.
4. Соберите подтверждения. Скриншоты внедренных согласий, баннера, ссылки на опубликованные политики — это приложение к вашему ответу.
5. Отправьте официальный ответ в РКН со своей стороны, приложив подтверждения.

Итог: короткий чек-лист

Проверьте свой сайт по пунктам:

• есть ли политика конфиденциальности на отдельной странице и ссылка на нее в подвале;
• стоит ли галочка согласия на всех формах (не только на главной);
• есть ли политика по cookie и баннер при входе;
• указан ли на контактах оператор данных с ИНН;
• нет ли на сайте зарубежной статистики (Google);
• зарегистрированы ли вы в реестре операторов на сайте РКН.

Если хотя бы один пункт не закрыт — сайт под риском штрафа. Техническую часть (все, что на сайте) можно привести в порядок за один заход по понятному перечню работ. Юридическую часть — регистрацию оператором и текст политики — готовит владелец или юрист.