Требования к сайту в 2026: законы, штрафы и чеклист для бизнеса

За 2025–2026 годы к обычному сайту компании добавилось пять новых требований, а штрафы за старые выросли в разы. Дороже всего теперь обходятся три ошибки. За форму заявки без отдельного согласия компанию могут оштрафовать на сумму до 700 000 ₽, за сбор заявок в иностранный сервис – до 6 млн ₽, за кнопку «Войти через Google» – до 700 000 ₽.

Что поменялось и когда:

• 1 июля 2025. Запрещено собирать данные россиян в зарубежные базы.
• 1 сентября 2025. Согласие на обработку персональных данных оформляется только отдельным документом.
• 1 марта 2026. Вся информация для потребителей должна быть на русском языке.
• 7 июля 2026. Начали действовать штрафы за вход через иностранные сервисы и за рекомендательные алгоритмы без правил.
• 1 сентября 2026. Домен .ru, .рф или .su нельзя зарегистрировать и продлить без идентификации через Госуслуги.

Статья написана для владельцев и маркетологов коммерческих сайтов: корпоративных сайтов, лендингов и интернет-магазинов. У сайтов школ, детсадов и клиник есть свои отраслевые приказы, их здесь нет.

Мы делаем и сопровождаем сайты, юридических услуг не оказываем. Цифры сверили с текстом КоАП на сентябрь 2026 года, а свой случай лучше обсудить с юристом.

В таблице 12 пунктов, которые касаются почти любого коммерческого сайта. Штрафы указаны за первое нарушение, за повторное платят в несколько раз больше.

Суммы взяты из действующих редакций КоАП на КонсультантПлюсе: ст. 13.11, ст. 14.3 и ст. 13.56. Если для ИП отдельный штраф не установлен, он отвечает как должностное лицо.

С 1 сентября 2026 домен в зонах .ru, .рф и .su можно зарегистрировать или продлить только после идентификации администратора через Госуслуги. Это требование закона № 569-ФЗ от 29.12.2025, оно касается физлиц, ИП и компаний.

Штрафа за это нет. Домен без идентификации просто не продлят, а после окончания срока регистрации его сможет занять кто угодно. Вместе с доменом пропадут позиции в поиске, корпоративная почта и ссылки из рекламы.

Что сделать:

1. Выяснить, на кого зарегистрирован домен. Часто это бывший подрядчик или уволившийся сотрудник, а не компания.
2. Проверить, что учётная запись на Госуслугах подтверждена. Упрощённой не хватит.
3. Пройти идентификацию в личном кабинете регистратора. Для компании нужны руководитель с учётной записью и данные организации.

К концу апреля 2026 идентификацию прошли около 103 600 администраторов, у которых 197 000 доменов, по данным Координационного центра. Для рунета это немного, поэтому с идентификацией лучше не тянуть до даты продления.

Если на сайте есть хотя бы одна форма (заявка, обратный звонок, подписка, онлайн-чат), ваша компания считается оператором персональных данных. Имя и телефон из заявки уже относятся к персональным данным. Отвечает владелец сайта, даже если форму ставил подрядчик.

1. Политика обработки персональных данных

Политику публикуют на отдельной странице и ставят на неё ссылки в подвале и у каждой формы. В ней перечислены собираемые данные, цели и основания обработки, сроки хранения, третьи лица и контакты оператора.

Частая ошибка: политику взяли из шаблона, и она не совпадает с сайтом. Если форма спрашивает город и почту, а заявки уходят в CRM, об этом должно быть сказано в тексте.

2. Согласие отдельно от других документов

С 1 сентября 2025 согласие на обработку данных «должно быть оформлено отдельно от иных информации и документов». Эту норму добавил закон № 156-ФЗ от 24.06.2025. Спрятать согласие в оферту, пользовательское соглашение или политику больше нельзя.

На сайте это выглядит так:

• Отдельный чекбокс в каждой форме, включая всплывающие, квизы и чат-боты.
• Галочка не проставлена заранее, без неё форма не отправляется.
• Рядом ссылка на полный текст согласия на отдельной странице.
• Для рекламных рассылок нужен ещё один отдельный чекбокс, этого требует ст. 18 закона о рекламе.

Согласия, собранные до 1 сентября 2025, остаются в силе, старую базу трогать не нужно. Переделать придётся только формы.

3. Уведомление в Роскомнадзор

До начала обработки данных компания подаёт уведомление на портале персональных данных и попадает в реестр операторов. Даже форма обратного звонка означает обработку данных, поэтому уведомление нужно и сайту-визитке. Свою запись в реестре можно найти по ИНН.

4. Cookie и метрика

Роскомнадзор и суды считают cookie персональными данными, если по ним можно выделить конкретного посетителя. Это касается любой метрики, в том числе Яндекс Метрики с Вебвизором.

Что нужно на сайте как минимум:

• Баннер при первом входе, в котором названы метрические программы.
• Ссылка с баннера на раздел о cookie в политике.
• Возможность выбрать: технические cookie работают всегда, а аналитические включаются после согласия.

С 1 июля 2025 данные россиян запрещено записывать, хранить и извлекать с использованием баз за рубежом. Так изменилась ч. 5 ст. 18 152-ФЗ по закону № 23-ФЗ от 28.02.2025. Это самый дорогой пункт списка: до 6 млн ₽ за первое нарушение и до 18 млн ₽ за повторное.

Списка запрещённых сервисов в законе нет. Смотрят на то, куда данные попадают при сборе: если форма пишет сразу в зарубежное облако, это нарушение.

Оценки риска взяты из разбора Roskom24. Если после записи в России данные всё же уходят за рубеж, о трансграничной передаче нужно отдельно уведомить Роскомнадзор.

Проверить сайт можно самому. Откройте в браузере инструменты разработчика, перейдите на вкладку Network и отправьте тестовую заявку. Если в списке запросов есть google.com, gstatic.com или googleapis.com, с этими сервисами нужно разобраться.

С 1 марта 2026 вся информация для потребителей должна быть на русском языке, и сайты тоже попадают под это требование. Его ввёл закон № 168-ФЗ от 24.06.2025, который дополнил Закон о защите прав потребителей статьёй 10.1.

Что проверить в первую очередь:

• Меню и кнопки: Sale, New, Buy now, Add to cart, Contact us.
• Названия и характеристики в карточках товаров и услуг.
• Оферту, соглашения и условия доставки.
• Системные уведомления и письма, которые сайт отправляет клиенту.

Иностранное слово можно оставить, если рядом есть русский эквивалент тем же шрифтом, размером и цветом. Не нужно переводить зарегистрированные товарные знаки, фирменные наименования из ЕГРЮЛ и слова без русских аналогов в официальных словарях. На B2B-сегмент требование не распространяется.

Штраф за саму информацию небольшой, до 10 000 ₽. Если тот же текст признают рекламой, сумма растёт до 100 000–500 000 ₽ по ст. 14.3 КоАП. Подробный разбор с примерами есть в нашей статье «Русификация сайта с 1 марта 2026».

Если вы размещаете на сайте чужую рекламу, каждый баннер и партнёрский материал нужно маркировать. На нём должны быть пометка «Реклама», рекламодатель и идентификатор erid. Сведения о рекламе передают в ЕРИР через оператора рекламных данных.

По ст. 14.3 КоАП это два отдельных нарушения. За рекламу без идентификатора компанию штрафуют на 200 000–500 000 ₽, а за данные, не переданные в ЕРИР, ещё на 200 000–500 000 ₽.

Где чаще всего ошибаются:

• Рекламу по почте, в SMS и мессенджерах можно отправлять только тем, кто заранее на неё согласился. Галочка согласия на обработку данных такого согласия не даёт.
• Оплаченный обзор чужого товара в блоге считается рекламой, даже если выглядит как обычный пост.
• С 1 сентября 2025 запрещено размещать рекламу на ресурсах организаций, признанных экстремистскими, в том числе в Instagram. Запрет касается покупки рекламы в самой соцсети.

Описание собственных товаров и услуг на собственном сайте ФАС, как правило, рекламой не считает. Маркировать каталог и страницы услуг не нужно.

Любой сайт компании должен показывать, кому он принадлежит. По ст. 10 149-ФЗ владелец сайта размещает наименование, адрес и электронную почту для юридически значимых сообщений. Удобнее всего указать эти данные в подвале вместе с ИНН и ОГРН.

Интернет-магазин

Для дистанционной продажи список длиннее. Его задают ст. 26.1 Закона о защите прав потребителей и Правила продажи товаров (постановление Правительства № 2463 от 31.12.2020).

• Продавец: наименование, ОГРН, адрес, телефон.
• Товар: основные свойства, цена, срок службы или годности, гарантия.
• Покупка: способы оплаты и доставки, порядок и сроки возврата.

Сроки возврата лучше прописать явно. По закону покупатель может вернуть товар надлежащего качества в течение 7 дней. Если при доставке порядок возврата не сообщили письменно, срок увеличивается до 3 месяцев.

С 1 сентября 2026 крупные продавцы обязаны принимать оплату цифровым рублём. В первую волну по закону № 248-ФЗ попали компании с выручкой больше 120 млн ₽ за 2025 год и эквайрингом в системно значимом банке. Дальше порог снизится до 30 млн ₽ в 2027 году и до 5 млн ₽ в 2028-м.

Фото и тексты

Коммерческие сайты часто получают претензии от фотобанков и авторов за картинки, скачанные из поиска. По ст. 1301 ГК РФ компенсация составляет от 10 000 до 5 000 000 ₽ за каждый случай. Используйте свои снимки или купленные по лицензии и храните документ о покупке.

Требование авторизовать россиян только российскими способами действует с 1 декабря 2023. До лета 2026 за него не штрафовали. С 7 июля 2026 закон № 199-ФЗ от 26.06.2026 ввёл ст. 13.55 КоАП: до 700 000 ₽ для компании и до 1,4 млн ₽ за повтор.

Требование срабатывает, когда выполнены три условия сразу:

1. Сайт принадлежит российской компании или гражданину РФ.
2. Владелец работает на территории России.
3. Для доступа к части сайта нужно войти в аккаунт: личный кабинет, история заказов, закрытые материалы.

Разрешены вход по номеру телефона, через Госуслуги, Единую биометрическую систему и российские сервисы. К последним относятся Яндекс ID, VK ID, Сбер ID и Т-ID.

Кнопки «Войти через Google», «Войти с Apple» и вход через иностранные соцсети нужно убрать. Существующие аккаунты продолжают работать, а пользователей за иностранный вход не штрафуют. Отвечает только владелец сайта.

Если сайт подбирает товары или статьи по поведению конкретного посетителя, это рекомендательная технология по ст. 10.2-2 149-ФЗ. Требование действует с 1 октября 2023. Штрафы за него появились вместе со штрафами за авторизацию, в ст. 13.56 КоАП: 500 000–700 000 ₽ для компании, до 2,8 млн ₽ при повторе.

Под требование попадают персональные подборки, «Вы смотрели» с рекомендациями и блоки «Вам может понравиться» по истории просмотров. Блок «Похожие товары» из той же категории, одинаковый для всех посетителей, обычно не попадает.

Что разместить на сайте:

• Уведомление о том, что сайт применяет рекомендательные технологии, со ссылкой с каждой страницы.
• Документ с правилами на русском: какие данные собираются, откуда берутся и как формируется подборка.
• Электронную почту и контакты владельца для обращений.

Модули персональных рекомендаций есть во многих готовых решениях для интернет-магазинов. Проверьте, не включены ли они у вас по умолчанию.

За разные требования отвечают три ведомства. Роскомнадзор следит за персональными данными, авторизацией и рекомендательными технологиями. Роспотребнадзор проверяет информацию для покупателей и русский язык, а ФАС занимается рекламой и рассылками.

На практике проверка чаще всего начинается с жалобы клиента или конкурента. Повторным нарушение считается, если с момента исполнения предыдущего штрафа не прошёл год.

Утечка базы с сайта

Самые крупные штрафы в КоАП назначают за утечку данных. Если взломают сайт с базой заказов или заявок, штраф может оказаться больше, чем за все остальные пункты списка вместе.

Суммы взяты из ч. 11–15 ст. 13.11 КоАП. Поэтому обновления CMS, защита админки и чистка от вирусов тоже входят в требования к сайту. Как мы чистим заражённые сайты, рассказали в статье про лечение Битрикса от вирусов.

Этот список можно пройти самостоятельно, без доступа к коду. Откройте сайт в режиме инкогнито, чтобы увидеть его глазами нового посетителя.

Документы и формы

• В подвале есть ссылка на политику обработки данных, и в ней перечислены те поля, что есть в формах.
• В каждой форме, включая всплывающие и квизы, есть отдельный чекбокс согласия без заранее поставленной галочки.
• Текст согласия лежит на отдельной странице, а не внутри оферты или политики.
• Компания находится по ИНН в реестре операторов на портале персональных данных.
• При первом входе появляется cookie-баннер со ссылкой на политику.

Сервисы и данные

• Во вкладке Network после отправки тестовой заявки нет запросов к google.com, googleapis.com, gstatic.com.
• Заявки с сайта падают в CRM или почту с серверами в России.
• Сайт и его база данных расположены на российском хостинге.
• CMS и модули обновлены, у админки не стандартный пароль.

Интерфейс и контент

• В меню, на кнопках и в карточках нет иностранных слов без русского эквивалента.
• Нет кнопок «Войти через Google» и «Войти с Apple».
• Если есть персональные рекомендации, есть и страница с правилами их применения.
• На баннерах и в партнёрских материалах есть пометка «Реклама» и erid.
• Про каждое фото на главной и в услугах известно, откуда оно взято.

Компания и домен

• В подвале указаны наименование, ИНН или ОГРН, адрес и электронная почта.
• У магазина есть страницы оплаты, доставки и возврата, у товаров указаны цены.
• Домен зарегистрирован на компанию, а её администратор прошёл идентификацию у регистратора.

Если не отмечаются три пункта или больше, начните с форм и иностранных сервисов: за них штрафуют сильнее всего.

Почти все пункты списка закрываются доработкой сайта. Нужно переделать формы, заменить капчу и шрифты, перенести заявки в российскую CRM и убрать иностранную авторизацию.

Мы в NormDev делаем это в рамках анализа сайта (от 60 000 ₽) и сопровождения. Проходим весь чеклист, составляем список доработок по приоритету и сами их делаем. Документы вроде политики и текста согласия лучше согласовать с вашим юристом.

Напишите нам в Telegram или оставьте заявку на сайте. Начнём с бесплатной консультации и скажем, какие пункты критичны именно для вашего сайта.

• Статья 13.11 КоАП РФ, КонсультантПлюс
• Статья 14.3 КоАП РФ, КонсультантПлюс
• Статья 13.56 КоАП РФ, КонсультантПлюс
• Закон № 156-ФЗ об отдельном согласии, Финконт
• Закон № 23-ФЗ о локализации, Lidings
• Что запрещено на сайте с 1 июля 2025, Roskom24
• Персональные данные на сайте и cookie, Selectel на Хабре
• Закон № 168-ФЗ о русском языке, vc.ru
• Закон № 199-ФЗ о штрафах за авторизацию, Хабр
• Штрафы за авторизацию и рекомендательные алгоритмы, ComNews
• Рекомендательные технологии на сайте, Центр защиты прав СМИ
• Запрет рекламы в Instagram, Moscow Digital School
• Идентификация администраторов доменов, Координационный центр .RU/.РФ
• Домены с 1 сентября 2026, vc.ru
• Цифровой рубль с 1 сентября 2026, Хабр
• Цифровой рубль для интернет-магазинов, vc.ru