Вы стали оператором персональных данных в тот день, когда поставили форму на сайт
Форма обратной связи, счётчик аналитики, корзина. Каждый из этих элементов делает владельца сайта оператором персональных данных по 152-ФЗ. С мая 2025 года правила существенно изменились, штрафы выросли кратно. К осени добавится новый риск на уровне инфраструктуры.
Новые штрафы: цифры из актуальной редакции КоАП
С 30 мая 2025 года вступил в силу Федеральный закон № 420-ФЗ. Статья 13.11 КоАП теперь содержит самостоятельные составы, каждый со своей санкцией. Одна проверка может принести несколько постановлений одновременно по разным частям одной статьи.
Важный процессуальный момент: с декабря 2025 года дела по ст. 13.11 вернулись к мировым судьям. Возможность апеллировать к Судебной коллегии по экономическим спорам Верховного суда для бизнеса закрыта. Это сужает коридор обжалования и делает превентивный аудит единственной надёжной стратегией.
Три точки отказа на большинстве сайтов
Нарушения концентрируются в одном месте: форма захвата данных. Форма, согласие, лог это не три разных требования, это одна цепочка. Слабое звено в любом месте обнуляет всё остальное.
- Предустановленная галочка. Чекбокс обязан быть пустым. Пользователь кликает сам. Если галочка стоит по умолчанию, это самостоятельный состав нарушения вне зависимости от наличия всех документов.
- Нет лога согласий. CRM должна хранить точное время, дату и IP-адрес нажатия. Без этой записи позиция на проверке или в суде беззащитна, факт согласия невозможно доказать.
- Счётчик аналитики без согласия. Счётчики собирают данные с первого касания. Отсутствие плашки и запуск счётчика до согласия это нарушение, даже если все остальные документы в порядке.
Аналитика: счётчик, который считает раньше согласия
Самая дорогая ошибка прячется в одной строке кода. Счётчик аналитики обязан запускаться только после того, как посетитель нажал «Принять» в cookie-баннере. Если код Метрики срабатывает сразу при заходе на страницу, данные собираются без согласия, и это самостоятельное нарушение, даже когда все документы на сайте в порядке.
Отдельная категория риска это иностранные системы аналитики. Google Analytics и подобные сервисы передают данные посетителей на серверы за пределами России. Это нарушение требования о локализации: первичный сбор данных граждан РФ должен идти на российские серверы. Санкция по этому составу несопоставима с остальными.
Решение закрывает оба риска сразу: убрать зарубежные счётчики, оставить российскую Яндекс.Метрику и подключить её через cookie-баннер так, чтобы код не исполнялся до согласия. Технически это проверяется одной строкой в консоли браузера: до нажатия «Принять» счётчик не должен существовать на странице.
Почему политику нельзя написать «вперёд» уведомления
Типичный путь: скачать шаблон политики конфиденциальности, поменять название компании и выложить на сайт. На проверке такой документ рассыпается, и вот почему.
Политика конфиденциальности не самостоятельный текст. Цели обработки, категории данных, правовые основания и сроки хранения в ней должны дословно совпадать с уведомлением, которое оператор подаёт в Роскомнадзор. Пока уведомление не подано, неизвестно, какие именно цели и категории зафиксированы у регулятора, а значит политика пишется наугад и почти гарантированно разойдётся с реестром.
При проверке Роскомнадзор сопоставляет политику на сайте с данными уведомления в реестре операторов. Любое расхождение в целях или составе данных это отдельный повод для претензии, даже если сама политика выглядит грамотно.
Как выглядит проверка: 8 точек и цена каждой
Аудит сайта на соответствие 152-ФЗ идёт по фиксированному списку. Ниже восемь точек, которые проверяются в первую очередь, и санкция по каждой. Зелёным отмечен базовый уровень, оранжевым высокий риск, красным критический.
Каждая строка это самостоятельный состав. Одна проверка может закрыть несколько пунктов сразу, и санкции складываются. Два красных пункта из этого списка уже выводят совокупный риск за 30 миллионов рублей. Поэтому дешевле пройти аудит превентивно, чем объяснять размер штрафа постфактум.
Чужой код на вашем сайте: та же ответственность
Отдельная точка риска, которую часто не замечают: сторонние скрипты. Виджеты чатов, пиксели аналитики, информеры, любой внешний код, собирающий данные посетителей без их согласия, формирует нарушение именно для вас как владельца сайта. Роскомнадзор не разбирается, чей именно скрипт установил галочку без согласия. Сайт ваш, ответственность ваша.
Это та же логика, что лежит в основе перехвата звонков через скрытые пиксели: инструмент чужой, а штраф получает владелец ресурса, на котором он установлен. Чистка кода от мусорных скриптов закрывает сразу два риска, юридический и конкурентный.
Домен: инфраструктурный риск с конкретной датой
Закон 569-ФЗ, принятый в декабре 2025 года, вводит обязательную привязку доменов .ru, .рф и .su к подтверждённому аккаунту на Госуслугах. Это не связано с персональными данными напрямую, но итог тот же: потеря сайта.
Без идентификации домен не продлевается, переходит в статус ожидания, затем освобождается и становится доступен любому. Весь SEO-трафик, история домена и рекламные бюджеты уходят вместе с ним. Особая группа риска: домены с истекающей регистрацией в сентябре-декабре 2026 года.
Один нюанс, который регулярно упускают: если домен зарегистрирован на подрядчика или агентство, именно они должны пройти идентификацию. Стоит заранее проверить, на кого записан домен, и убедиться, что ответственное лицо знает о требовании и выполнит его в срок.
Что проверить прямо сейчас
- Чекбокс согласия на всех формах сайта пуст по умолчанию
- Под каждой кнопкой отправки есть ссылки на политику конфиденциальности и согласие
- CRM ведёт лог согласий с временной меткой и IP-адресом
- Уведомление в Роскомнадзор подано до начала сбора данных, политика написана под него
- Счётчик аналитики запускается только после согласия, иностранных счётчиков на сайте нет
- Исходный код сайта не содержит сторонних скриптов с неизвестным происхождением
- Домен записан на актуальное лицо с подтверждённым аккаунтом Госуслуг
- Первичный сбор данных идёт на серверы в РФ
