Что меняется в законе о персональных данных осенью 2026 года
Основное изменение касается трансграничной передачи персональных данных. Поправки уточняют критерии стран, в которые можно передавать данные граждан России без дополнительных согласований. Речь идёт о государствах, обеспечивающих адекватную защиту прав субъектов данных.
Вторая важная новелла — требования к уведомлению Роскомнадзора. Если сайт передаёт данные за рубеж, оператор по-прежнему обязан уведомить регулятор до начала передачи.
Для владельцев сайтов это значит: если ваш ресурс использует иностранные аналитические сервисы, платёжные системы или авторизацию через зарубежные платформы, потребуется проверить, соответствует ли текущая схема обработки новым критериям.
Какие сайты попадают в зону риска
Под изменения попадают все сайты, которые собирают персональные данные и передают их иностранным сервисам. Это интернет-магазины с зарубежными платёжными системами, корпоративные сайты с аналитикой, медиа с рекламными сетями, образовательные платформы с авторизацией через социальные сети.
Ключевой вопрос — куда уходят данные посетителей на самом деле. Трекеры могут стартовать раньше, чем пользователь даст согласие. Cookie-баннер может не предлагать равнозначный отказ. Веб-формы могут отправлять данные на серверы, которые после осени 2026 года окажутся в серой зоне.
Проблема в том, что визуально сайт выглядит в порядке: есть политика конфиденциальности, есть баннер. Но технически данные могут уходить за рубеж без должного контроля, и это создаёт правовой риск.
Что проверить на сайте до вступления поправок в силу
Первый шаг — зафиксировать, какие иностранные сервисы получают данные посетителей. Это можно сделать только техническими средствами: открыть сайт с чистой сессии, как новый посетитель, и записать все сетевые запросы. Важно проверить, стартуют ли трекеры до согласия пользователя.
Второй шаг — проверить cookie-баннер. Есть ли равнозначный отказ, можно ли настроить категории, понятно ли, какие сервисы используются и куда уходят данные. Если баннер только информирует, но не даёт выбора, это создаёт риск.
Третий шаг — политика конфиденциальности и согласия. Документ должен описывать, какие данные собираются, для каких целей, передаются ли они третьим лицам и в какие страны. Если политика не обновлялась несколько лет, она может не соответствовать текущей схеме обработки.
- Откройте сайт в режиме инкогнито и проверьте, какие скрипты загружаются до клика на «Принять»
- Найдите в политике конфиденциальности раздел о трансграничной передаче данных
- Убедитесь, что cookie-баннер даёт возможность отказаться от необязательных категорий
Как автоматическая проверка выявляет риски по 152-ФЗ
Проверка открывает сайт с чистой сессии — глазами нового посетителя, до любого согласия. Фиксируются снимки экранов, дословные цитаты из документов и все сетевые запросы браузера. Это позволяет увидеть, что сайт делает на самом деле, а не только что написано в политике.
Каждый факт связывается с нормой закона и получает приоритет исправления. Например, если данные уходят за рубеж до согласия пользователя, это может квалифицироваться как обработка без законных оснований. Если политика не описывает трансграничную передачу, это отдельный эпизод.
Результат — заключение в PDF с резюме эпизодов, их серьёзностью и ориентировочным диапазоном санкций. Сетевые запросы к внешним сервисам указываются как обстоятельства, требующие дополнительной проверки, — технический сигнал, а не готовый вывод о нарушении.
Что делать, если проверка выявила риски
Если в заключении указаны эпизоды с признаками нарушений, первый шаг — оценить их серьёзность и очерёдность исправлений. План действий расставляет приоритеты на основе того, какие риски могут повлечь крупные санкции: обработка без согласия, трансграничная передача без должного контроля, отсутствие политики.
Второй шаг — исправить техническую часть. Настроить cookie-баннер так, чтобы трекеры не стартовали до согласия. Убрать или заменить иностранные сервисы, если передача данных в соответствующие страны после осени 2026 года станет проблематичной. Обновить политику конфиденциальности и согласия.
Вопросы уведомления Роскомнадзора и оценки необходимости дополнительных согласований лучше обсудить с юристом — это зависит от конкретной схемы обработки данных на сайте.
Чек-лист подготовки сайта к изменениям 152-ФЗ
- 01Проверьте, какие иностранные сервисы получают данные посетителей. Откройте сайт в режиме инкогнито и зафиксируйте все сетевые запросы до клика на cookie-баннер. Если аналитика, реклама или платёжные системы стартуют раньше согласия, это риск.
- 02Убедитесь, что cookie-баннер даёт равнозначный отказ. Проверьте, можно ли отказаться от необязательных категорий cookie. Если баннер только информирует или кнопка «Отклонить» спрятана, это создаёт правовой риск.
- 03Проверьте политику конфиденциальности на актуальность. Найдите раздел о трансграничной передаче данных. Если политика не описывает, какие данные уходят за рубеж и в какие страны, её нужно обновить.
- 04Оцените, изменится ли статус стран после осени 2026 года. Если сайт использует сервисы из стран, которые могут не попасть в обновлённые критерии, подготовьте альтернативные решения или проконсультируйтесь с юристом.
Что говорит закон
265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Когда именно вступают в силу изменения в 152-ФЗ?
Конкретная дата вступления в силу зависит от текста закона. Лучше начать подготовку сайта заранее, чтобы успеть протестировать изменения и исправить риски.
Нужно ли подавать новое уведомление Роскомнадзору после вступления поправок?
Требование уведомлять Роскомнадзор до начала трансграничной передачи сохраняется. Если вы добавляете новые иностранные сервисы или меняете страны передачи, лучше проконсультироваться с юристом.
Какие страны считаются «адекватными» для передачи данных?
Поправки уточняют критерии стран с адекватным уровнем защиты. Если сайт передаёт данные в страны, которые могут не соответствовать новым критериям, проверка покажет, куда уходят данные на самом деле.
Что будет, если не успеть адаптировать сайт до осени 2026 года?
Если сайт продолжит обрабатывать данные с нарушением новых требований, это создаёт риск санкций. Размер зависит от характера нарушения: от десятков тысяч до миллионов рублей для юридических лиц.
Можно ли использовать Google Analytics после вступления поправок?
Это зависит от новых критериев стран для трансграничной передачи. Если данные уходят за рубеж без должного контроля, это может создать риск. Проверка покажет, куда уходят данные на самом деле.
Что показывает автоматическая проверка сайта по 152-ФЗ?
Проверка фиксирует, какие данные собирает сайт, куда их отправляет, стартуют ли трекеры до согласия, соответствует ли cookie-баннер требованиям закона. Результат — заключение в PDF с эпизодами, их серьёзностью и рекомендациями, что исправить.
Сколько времени занимает проверка сайта?
Заключение в PDF формируется после завершения осмотра публичных страниц.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.