Что обязательно должно быть на сайте по закону в 2026 году

Сайт с формой обратной связи автоматически делает вас оператором персональных данных. Не «когда-нибудь потом», а с первой заполненной формы. Отсюда набор обязанностей, о котором большинство узнаёт из письма Роскомнадзора.

Разберём, что должно быть на сайте, чтобы к вам не было вопросов.

Это обзорный материал, а не юридическая консультация. Формулировки законов и размеры штрафов менялись в 2025 и 2026 годах, поэтому перед публикацией документов сверьтесь с юристом и актуальной редакцией.

Почему форма заявки это уже обработка данных

По закону № 152-ФЗ персональные данные это любая информация, относящаяся к человеку. Имя и телефон очевидно, но туда же попадают e-mail, IP-адрес и файлы cookie. Обработкой считается любое действие с этими данными, даже если вы сразу их удаляете.

Вывод простой: если на сайте есть форма, обратный звонок, подписка или счётчик аналитики, вы оператор персональных данных со всеми обязанностями.

Политика обработки персональных данных

Основной документ. Он должен быть опубликован на сайте в открытом доступе и находиться на видном месте, обычно ссылку ставят в подвал.

Что в нём описывается:

цели обработки, то есть зачем вы собираете данные;
категории данных, причём только те, что действительно нужны;
правовые основания обработки;
категории субъектов, например клиенты и посетители сайта;
порядок сбора, хранения и передачи данных;
упоминание о сборе cookie, если он есть.

Важная деталь, о которой забывают: ссылка на политику должна стоять рядом с каждой формой сбора данных, а не только в подвале.

Отсутствие политики или невозможность её открыть это отдельное нарушение по части 3 статьи 13.11 КоАП со штрафом, который для организаций измеряется десятками тысяч рублей.

Согласие на обработку данных

Пользователь обязан дать согласие до того, как вы получите его данные. На практике это чекбокс рядом с кнопкой отправки формы.

Два требования, которые нарушают чаще всего:

Чекбокс не должен быть проставлен по умолчанию. Заранее отмеченная галочка это не согласие, а его имитация.

Формулировка должна быть конкретной. «Согласен со всем» не работает, нужна ссылка на политику и понятное указание, на что именно человек соглашается.

Обработка данных без согласия относится к самым дорогим нарушениям в этой области: суммы штрафов для компаний исчисляются сотнями тысяч рублей, а при повторном нарушении растут кратно.

Уведомление в Роскомнадзор

Отдельная обязанность по статье 22 закона № 152-ФЗ: оператор должен уведомить Роскомнадзор о намерении обрабатывать персональные данные. Ключевое слово «о намерении», то есть уведомление подаётся до начала обработки, а не после.

Распространённое заблуждение звучит так: если я не подавал уведомление, значит я не оператор. Это не работает в обратную сторону. Оператором вы становитесь в момент начала обработки, а не в момент подачи документа.

Уведомление подаётся через сайт Роскомнадзора, в нём указывают цели обработки, категории данных, ответственного за организацию обработки, сведения о трансграничной передаче и о том, где физически находится база данных.

Хранение данных в России

Базы данных, в которых собираются и хранятся сведения о гражданах России, должны находиться на территории страны. Практический вывод для сайта: хостинг российский, а сервисы форм, рассылок и CRM выбираются с учётом того, где они хранят данные.

Это тот пункт, который чаще всего нарушают не по злому умыслу, а по инерции: подключили привычный зарубежный сервис форм и не подумали, куда уходят заявки.

Что делать при утечке

Если данные утекли, оператор обязан сообщить в Роскомнадзор в течение 24 часов, а затем в течение 72 часов провести внутреннее расследование и отчитаться о результатах. Сроки жёсткие, поэтому порядок действий лучше продумать заранее, а не в момент инцидента.

Сведения о продавце

Отдельный от персональных данных блок требований. Покупатель должен видеть, с кем он имеет дело: наименование организации или ФИО предпринимателя, ОГРН или ОГРНИП, адрес, контакты для связи.

Для интернет-магазинов список шире и включает условия оплаты, доставки и возврата. Если вы продаёте товары или услуги через сайт, публичная оферта тоже становится обязательным документом.

Стандартное место для этих сведений это подвал сайта и страница контактов.

Маркировка рекламы

Если вы продвигаете сайт платно, добавляется третий блок обязанностей. Любая интернет-реклама маркируется: пометка «Реклама», указание рекламодателя и уникальный идентификатор ERID, а сведения о кампании передаются в единый реестр через оператора рекламных данных.

Важно понимать, что рекламой считается не только оплаченное размещение. Бартер, обмен услугами и договорённость «по-дружески» тоже подпадают под требования, если у публикации есть признаки рекламы. Отсутствие маркировки штрафуется отдельно от других нарушений, и суммы для юридических лиц доходят до сотен тысяч рублей.

Где рекламироваться нельзя

Это изменение 2025 года, которое до сих пор не все учли. Федеральный закон от 07.04.2025 № 72-ФЗ дополнил закон о рекламе: с 1 сентября 2025 года запрещено размещать рекламу на информационных ресурсах иностранных лиц с ограниченным доступом. На практике это Instagram* и Facebook*.

Запрет касается не только таргетированной рекламы, но и интеграций у блогеров. Более того, риск создают старые публикации: репост или закрепление рекламного поста, размещённого до 1 сентября 2025 года, тоже трактуется как нарушение.

Для Telegram и YouTube действует переходный период: штрафы за рекламу там не применяются до конца 2026 года, но с 1 января 2027 ситуация меняется. Требование о маркировке при этом действует уже сейчас.

* Instagram и Facebook принадлежат компании Meta, деятельность которой признана экстремистской и запрещена на территории Российской Федерации.

Короткий чек-лист

Пройдитесь по своему сайту прямо сейчас:

политика обработки персональных данных опубликована и открывается;
ссылка на неё стоит рядом с каждой формой;
чекбокс согласия есть и не отмечен по умолчанию;
уведомление в Роскомнадзор подано;
хостинг и сервисы обработки заявок хранят данные в России;
в подвале указаны реквизиты и контакты;
вся платная реклама маркируется и не размещается на запрещённых площадках.

Если пунктов, которые не выполнены, набралось больше двух, это повод заняться сайтом до того, как им заинтересуются проверяющие. Мы закладываем эти требования сразу при создании сайта: документы, корректные формы и российский хостинг входят в работу, а не добавляются потом.