Юридические требования к сайту в 2026: чек-лист без штрафов

Роскомнадзор проверяет сайты не выборочно, а скриптами - автоматизированный мониторинг ежедневно сканирует политики конфиденциальности, cookie-баннеры и формы на тысячах доменов. ФАС отдельно мониторит рекламу без маркировки. Так что "нас никто не найдёт, сайт маленький" больше не работает как аргумент.

Штрафы за юридические огрехи на сайте не единичные и не символические. Они складываются: нет описания cookies в политике - один штраф; собираете email без отдельного согласия на рассылку - второй; разместили баннер у блогера без ERID - третий. За один заход проверяющий орган может выписать три-четыре постановления по разным статьям КоАП, и это будут не 5 000 ₽ каждое.

А теперь честный вопрос: когда вы в последний раз открывали свою собственную политику конфиденциальности? Если не помните - вероятно, там всё ещё чужое название компании из шаблона, скачанного пару лет назад.

Эта статья - не про размер штрафов за утечку персональных данных, там отдельный разбор с оборотными санкциями до 500 млн руб. в статье про штрафы за утечку ПД. И не про маркировку AI-контента - для неё есть отдельный материал про закон об ИИ. Здесь - полный список того, что должно физически присутствовать на сайте любого бизнеса в России, чтобы пройти проверку без сюрпризов.

Персональные данные и согласия

Любая форма на сайте, которая собирает имя, телефон или email, делает вас оператором персональных данных по 152-ФЗ. Не важно, ИП вы или ООО с оборотом в пару миллионов - закон одинаков для всех.

Что нужно:

• Политика обработки персональных данных с реквизитами компании, перечнем собираемых данных, целями обработки, сроками хранения и порядком отзыва согласия. Не публиковать её вообще или держать заглушку - нарушение ч. 3 ст. 13.11 КоАП, штраф для юрлиц 30 000-60 000 ₽
• Чекбокс согласия на обработку ПД на каждой форме, без предзаполненной галочки
• Отдельное согласие на рекламную рассылку - согласие "на обработку персональных данных" его не покрывает. Рассылка без отдельного согласия абонента нарушает ст. 18 закона "О рекламе" (38-ФЗ) и наказывается по ст. 14.3 КоАП: для юрлиц 100 000-500 000 ₽, при повторных нарушениях - до 1 млн
• Регистрация в реестре операторов ПД на pd.rkn.gov.ru - бесплатно, 20 минут. Без регистрации - штраф 100 000-300 000 ₽ для юрлиц

Обработка данных без письменного согласия там, где оно требуется по закону, карается отдельно - по ч. 2 ст. 13.11 КоАП это 100 000-300 000 ₽ для юрлиц. Если вообще нет законного основания на обработку - ещё жёстче, 300 000-500 000 ₽ по ч. 1 той же статьи.

Мы проверяли сайты клиентов в январе 2026 - у четырёх из десяти политика была либо неактуальна, либо не соответствовала реальному набору форм на сайте. Шаблон, скачанный три года назад, с чужими реквизитами - тоже нарушение, просто на него дольше не обращают внимания.

Cookie: баннер и согласие

С 30 мая 2025 года cookies официально приравнены к персональным данным, если позволяют идентифицировать пользователя. Прямого требования "разместить баннер" в тексте 152-ФЗ нет, но требование активного, конкретного и осознанного согласия по ст. 6 закона на практике реализуется именно баннером - иначе доказать факт согласия при проверке нечем.

Что нужно:

• Баннер виден сразу при заходе, без прокрутки и без захода в футер
• Кнопки "Принять" и "Отказаться" равнозначны по весу - нельзя визуально прятать отказ
• Выбор категорий cookies (аналитические, рекламные, функциональные) отдельно
• Описание используемых cookies в политике конфиденциальности - какие ставите, зачем, на какой срок

За отсутствие описания cookies в политике - штраф до 60 000 ₽. За обработку и передачу данных через cookies без согласия пользователя санкции жёстче и доходят до 700 000 ₽ для юрлиц по совокупности статей 13.11 КоАП. Кстати, реализация технической части баннера - отдельная задача, но начинать нужно именно с юридической стороны: определить категории cookies и написать честное описание, а не скопировать чужой текст.

Оферта и реквизиты продавца

Если сайт продаёт товары дистанционно - оферта обязательна по Постановлению Правительства РФ №2463 от 31.12.2020 "Об утверждении Правил продажи товаров по договору розничной купли-продажи". Продавец обязан ознакомить покупателя с условиями до оплаты: цена, порядок оплаты, доставка, возврат, гарантия.

Для сайта-визитки без онлайн-продаж полноценная оферта не нужна. А вот реквизиты - нужны всегда, это отдельное требование Закона "О защите прав потребителей":

• Полное наименование ООО или ФИО ИП
• ИНН, ОГРН (ОГРНИП для ИП)
• Юридический или фактический адрес
• Контактный телефон и email

Отсутствие этой информации при факте продажи товара или услуги наказывается по ст. 14.5 КоАП - для юрлиц 30 000-40 000 ₽. Если продажи ещё не было, но информация о продавце отсутствует - применяется ст. 14.8 КоАП, штрафы сопоставимы. Суммы небольшие по сравнению с рекламными или "персональными" штрафами, но проверка Роспотребнадзора идёт по жалобе покупателя, а жалобу написать может кто угодно после одного неудачного заказа.

С 1 сентября 2026 года ужесточаются требования к раскрытию информации о товаре - сертификатах и декларациях соответствия непосредственно на карточке товара. Формулировка "уточняйте у менеджера" перестаёт быть законным способом уклониться от публикации данных.

Реклама и маркировка (ОРД, ЕРИР)

Любая реклама в интернете, продвигающая товар или услугу за пределами собственного сайта - баннеры, посевы у блогеров, таргетированная и контекстная реклама - должна быть промаркирована через оператора рекламных данных (ОРД) и получить токен erid. Данные о размещении передаются в Единый реестр интернет-рекламы (ЕРИР) Роскомнадзора.

Штрафы по ст. 14.3 КоАП здесь одни из самых больных для малого бизнеса:

• Реклама без erid или с неверным размещением токена - 200 000-500 000 ₽ для юрлиц
• Непередача или ошибки данных в ЕРИР - 200 000-500 000 ₽
• Повторное нарушение - 500 000-1 000 000 ₽

И это за каждый факт нарушения, не за кампанию целиком. Пять постов у блогеров без маркировки - потенциально пять отдельных штрафов, а не один. ФАС отвечает за нарушения общего рекламного законодательства, Роскомнадзор - за само взаимодействие с ЕРИР; проверяют оба органа независимо друг от друга.

Собственные страницы сайта, статьи блога и email-рассылки существующим клиентам маркировки не требуют - это не реклама в смысле закона, а информация о собственных товарах на собственном ресурсе. А вот платное размещение статьи о вас на стороннем СМИ или в Дзене - уже требует токена.

Мы регулярно видим одну и ту же ошибку у клиентов из сферы услуг: заказали рекламный пост у блогера-самозанятого, договорились "по знакомству", деньги перевели на карту - а про erid никто не вспомнил. Формально нарушитель здесь и рекламодатель, и рекламораспространитель, отвечать может каждая сторона цепочки.

Возрастная маркировка

436-ФЗ "О защите детей от информации, причиняющей вред их здоровью и развитию" делит контент на пять категорий: 0+, 6+, 12+, 16+, 18+. Строже всего требование соблюдается для СМИ, издателей и продавцов товаров с возрастным ограничением - алкоголь, табак, контент для взрослых.

Для обычного сайта услуг или интернет-магазина без специфического контента требование скорее формальное, но не нулевое. Штраф по ст. 6.17 КоАП за отсутствие или неверную маркировку информационной продукции - 20 000-50 000 ₽ для юрлиц, с возможной конфискацией предмета правонарушения. Не самая большая сумма в этом списке, но если в блоге есть материалы медицинской, психологической или финансовой тематики - знак возрастной категории лучше проставить заранее, чем объяснять его отсутствие проверяющему.

Хостинг и локализация персональных данных

С требованием локализации сталкивается почти каждый сайт с формой обратной связи. Часть 5 статьи 18 закона 152-ФЗ обязывает вести первичную запись, систематизацию и хранение персональных данных россиян на серверах, физически расположенных в России. Зарубежный хостинг, CRM без российского зеркала (нередко это Typeform, HubSpot, Google Forms) и облачные сервисы без локализации подпадают под нарушение, даже если сайт крутится на российском домене.

Штрафы здесь считаются в миллионах: до 6 млн руб. за первичное нарушение по ч. 8 ст. 13.11 КоАП, до 18 млн - за повторное по ч. 9. Плюс Роскомнадзор вправе выдать предписание об удалении данных из иностранной базы или заблокировать ресурс по IP или домену.

После локализации данные можно передавать за границу - но с предварительным уведомлением РКН о трансграничной передаче. Проверка простая: если форма на сайте уходит напрямую в зарубежный сервис без российского сервера в цепочке - это нарушение локализации, а не мелочь для юристов.

Кому эти требования критичны в первую очередь

Не все шесть блоков одинаково опасны для любого бизнеса. E-commerce получает по полной программе сразу три блока: оферта, маркировка рекламы (таргет и товарные фиды почти всегда считаются рекламой) и локализация - клиентские базы с адресами доставки как раз то, что чаще всего утекает на зарубежные CRM.

Медицина, финансы и юридические услуги - здесь риск выше из-за специфики данных и повышенного внимания регулятора к нишам с потенциальным вредом потребителю. Плюс для медицинских сайтов вероятнее применение возрастной маркировки, если в блоге разбираются деликатные темы.

Сайты услуг и B2B-компании чаще всего страдают именно от cookie и согласий - формы заявок есть у всех, а вот про отдельное согласие на рассылку вспоминают редко. У инфобизнеса и блогеров основная головная боль - маркировка рекламы: они же и рекламодатели своих продуктов, и часто рекламораспространители чужих через партнёрки.

Таблица: требование → штраф

Суммы приведены по состоянию на 2026 год - размеры штрафов и составы нарушений периодически меняются, перед принятием решения уточняйте актуальную редакцию КоАП на consultant.ru.

Как быстро привести сайт в порядок

Начните с бесплатного и быстрого. Регистрация оператора ПД на pd.rkn.gov.ru занимает 20 минут. Проверка политики конфиденциальности на актуальность реквизитов и наличие описания cookies - час, если делать самому, и вы наверняка сами удивитесь, что там написано.

Дальше - техническая часть: cookie-баннер с реальным выбором, чекбоксы согласия отдельно под обработку ПД и отдельно под рассылку, страница с реквизитами и (если нужно) оферта. На типовом сайте услуг это день-два работы разработчика, если решения по формулировкам уже приняты юридически.

Маркировка рекламы требует организационных изменений - подключение ОРД, обучение команды или подрядчика передавать данные по каждому размещению. Здесь на самотёк лучше не пускать: штрафы за маркировку одни из самых крупных в списке, а нарушения множатся с каждой новой рекламной кампанией.

Если сайт держит формы на зарубежном сервисе без российского сервера в цепочке - это правится дольше всего, потому что требует смены инструмента или интеграции. Но откладывать нет смысла: штраф за локализацию считается не в тысячах, а в миллионах.

Последовательность имеет значение. Сначала закрывайте то, что грозит штрафом при любой проверке "с улицы" - политику, cookie, реквизиты. Дальше - то, что вскрывается при жалобе конкретного клиента: оферта, информация о товаре. И только потом организационные истории вроде маркировки рекламы и смены хостинга, которые требуют не одного вечера, а изменения процессов внутри компании.

Не самое приятное последствие несоответствия - не сам штраф, а то, что происходит после него. Повторное нарушение почти по всем перечисленным статьям карается кратно жёстче первого; проверяющий орган, однажды выписавший постановление, возвращается к вам в первую очередь при следующей волне проверок отрасли.

Хотите понять, что из этого списка касается именно вашего сайта? Мы делаем аудит сайта с проверкой по всем перечисленным блокам и списком конкретных правок с приоритетом по риску - что чинить в первую очередь, а что подождёт до следующего спринта.