152-ФЗ для сайта в 2026 году: новые требования к согласиям, проверки и штрафы

За последний год закон о персональных данных изменился сильнее, чем за предыдущие десять лет. Штрафы выросли в несколько раз, согласие на обработку данных стало отдельным документом, а хранить данные россиян в зарубежных сервисах больше нельзя. Под эти правила попадает почти любой сайт с формой заявки — даже у небольшой компании или ИП.

Разбираем простыми словами, что изменилось, что проверяют на сайтах и как привести форму в порядок за один день. Это обзор, а не юридическая консультация: в спорных случаях сверяйтесь с юристом и актуальным текстом закона.

Что изменилось в 2025 году

Штрафы выросли в несколько раз

С 30 мая 2025 года действует новая редакция ст. 13.11 КоАП. Для юрлиц:

• обработка без согласия или согласие с неправильным содержанием — 300–700 тыс. ₽, повторно — 1–1,5 млн ₽;
• нет опубликованной политики обработки данных — 30–60 тыс. ₽;
• данные хранятся не в России — 1–6 млн ₽, повторно — 6–18 млн ₽;
• не подано уведомление в Роскомнадзор о начале обработки — 100–300 тыс. ₽;
• утечка данных — от 3 до 15 млн ₽ в зависимости от числа пострадавших, а повторная — оборотный штраф 1–3% выручки, но не меньше 20 млн ₽.

ИП за нарушения хранения данных, уведомлений и утечки отвечают так же, как юрлица; по остальным составам суммы для ИП ниже.

Согласие — отдельный документ

С 1 сентября 2025 года согласие на обработку персональных данных нельзя «зашить» в пользовательское соглашение, оферту или политику конфиденциальности. На практике это значит: под формой — отдельный чекбокс со ссылкой на текст согласия, и он не должен быть отмечен заранее. Фраза «нажимая кнопку, вы соглашаетесь…» больше не подходит.

Данные россиян — только в российских базах

Собирать и хранить персональные данные граждан России нужно в базах, которые находятся в России. Поэтому риск — в формах Google, зарубежных конструкторах форм, иностранных CRM и рассылках, а также в Google Analytics и рекламных пикселях зарубежных сетей: Роскомнадзор прямо указывал их в своей практике.

Уведомление в Роскомнадзор — для всех

Подать уведомление об обработке персональных данных обязаны все операторы, включая ИП. Делается это онлайн на портале Роскомнадзора: нужно указать цели обработки, категории данных, меры защиты и где хранятся данные.

Проверьте свою форму

Ниже — интерактивная проверка самой частой точки сбора данных: формы заявки. Отметьте, что уже сделано на вашем сайте.

Что чаще всего находят при проверках

• формы без чекбокса согласия или с чекбоксом, отмеченным заранее;
• согласие спрятано в оферте или политике;
• нет ссылки на политику обработки данных рядом с формой;
• на сайте стоят зарубежные счётчики, формы, чаты или виджеты обратного звонка;
• сайт или CRM размещены за рубежом;
• компании нет в реестре операторов Роскомнадзора.

Чек-лист на один день

1. Найдите все места, где сайт собирает данные: формы заявок, калькуляторы, регистрация, подписка, чат, обратный звонок.
2. Запишите, какие данные и зачем собираете. Для каждой формы — своя цель.
3. Проверьте, есть ли вы в реестре операторов Роскомнадзора, и совпадает ли уведомление с тем, что вы реально делаете.
4. Опубликуйте политику обработки данных и поставьте на неё ссылку рядом с каждой формой.
5. Сделайте отдельное согласие: свой документ, свой чекбокс, не отмеченный заранее.
6. Согласие на рекламные рассылки — отдельно от согласия на обработку заявки.
7. Уберите или замените зарубежные сервисы: Google Analytics — на Яндекс Метрику, формы Google и зарубежные конструкторы — на собственные формы, иностранные чаты — на российские.
8. Проверьте, где физически стоят сервер сайта, база данных и CRM.
9. Настройте баннер cookie с выбором и запускайте счётчики после согласия. Подробно — в статье «Юридическая безопасность сайта: штрафы, cookie и правила сбора данных».
10. Пропишите, что делать при утечке: кто отвечает и как в течение суток уведомить Роскомнадзор.

Важно: замена Google Analytics на Яндекс Метрику сама по себе не закрывает остальные требования. Обработку данных через Метрику тоже нужно правильно оформить — Роскомнадзор отдельно обращал на это внимание.

Итог

Привести сайт в порядок обычно можно за один-два дня, а штраф за одну неправильную форму сегодня может стоить дороже нового сайта. Мы делаем сайты, которые с первого дня соответствуют 152-ФЗ: отдельные согласия, политика, российский хостинг и аналитика, баннер cookie с выбором. Нужна помощь с аудитом или переделкой — посмотрите разработку сайтов под ключ или напишите нам.