Что меняется в законодательстве о персональных данных с 2026 года
Основные требования к обработке персональных данных на сайтах установлены в законодательстве давно. С 2026 года вступают в силу уточнения критериев стран для трансграничной передачи данных: теперь оператор обязан уведомлять Роскомнадзор до начала передачи данных в иностранные юрисдикции.
На практике это означает, что если сайт использует иностранные сервисы аналитики, авторизации или маркетинга, владелец должен проверить, куда уходят данные посетителей, и при необходимости подать уведомление. Нарушение требований о трансграничной передаче влечёт риск санкций.
Однако большинство рисков на сайтах связано не с новыми нормами, а с базовыми требованиями: трекеры стартуют до согласия, cookie-баннер не даёт равнозначного отказа, политика конфиденциальности отсутствует или устарела. Эти нарушения влекут санкции уже сейчас.
Как устроена обработка персональных данных на сайте
Когда посетитель открывает сайт, браузер начинает отправлять запросы: к серверам аналитики, рекламным сетям, виджетам социальных сетей, сервисам авторизации. Каждый запрос может содержать данные посетителя: IP-адрес, идентификаторы устройства, cookie-файлы, данные о просмотренных страницах.
Проблема в том, что многие трекеры стартуют автоматически — до того, как посетитель увидел cookie-баннер и дал согласие. Это создаёт риск: обработка началась без законного основания. Если данные при этом уходят на серверы за рубежом, риск усугубляется требованием об уведомлении Роскомнадзора.
Cookie-баннер сам по себе не решает проблему, если технически он не блокирует запуск трекеров до получения согласия. Настоящий контроль — это когда аналитика и cookie стартуют только после явного выбора посетителя.
Как проверить сайт на соответствие требованиям о персональных данных
Чтобы выявить риски, нужно открыть сайт с чистой сессии — глазами нового посетителя, до любого согласия — и зафиксировать, что происходит на самом деле. Автоматическая проверка выполняет это: фиксирует сетевые запросы, снимки экрана, тексты политик и согласий.
В отчёте указываются эпизоды с признаками нарушений: например, трекеры стартовали до согласия, данные ушли иностранному сервису, cookie-баннер не предлагает равнозначный отказ, политика конфиденциальности отсутствует. Каждый эпизод связывается с нормой закона и получает рекомендацию по исправлению.
Важно понимать пределы: проверяются только публичные страницы, без входа в аккаунт. Сетевые запросы — это технический сигнал для дополнительной проверки, а не готовое доказательство нарушения. Если эпизодов не найдено, это значит, что на осмотренных страницах признаков нарушений нет, но это не гарантия соответствия закону.
Что исправить на сайте, чтобы снизить риски штрафов
Первый шаг — настроить cookie-баннер так, чтобы трекеры и аналитика стартовали только после согласия посетителя. Это требует изменений в коде: скрипты должны ожидать явного выбора, а не загружаться автоматически.
Второй шаг — проверить и обновить политику конфиденциальности: она должна содержать сведения об операторе, целях обработки, категориях данных, сроках хранения и правах субъектов. Если сайт использует иностранные сервисы, в политике нужно указать информацию о трансграничной передаче.
Третий шаг — если данные передаются за рубеж, уточнить, требуется ли уведомление Роскомнадзора. В тарифе с планом действий даются конкретные рекомендации по коду, настройкам и документам для каждого выявленного риска.
- Настроить запуск трекеров только после согласия посетителя
- Обновить политику конфиденциальности с актуальными сведениями об операторе и целях обработки
- Проверить, передаются ли данные за рубеж, и уточнить необходимость уведомления Роскомнадзора
- Убедиться, что cookie-баннер предлагает равнозначный отказ и настройку категорий
- Зафиксировать текущее состояние сайта, чтобы отслеживать изменения
Чек-лист: проверьте сайт на соответствие требованиям о персональных данных
- 01Откройте сайт в режиме инкогнито. Проверьте, появляется ли cookie-баннер до загрузки трекеров и есть ли кнопка отказа, равнозначная согласию.
- 02Посмотрите сетевые запросы в инструментах разработчика. Откройте вкладку Network и обновите страницу. Если видите запросы к иностранным доменам до клика на баннер — это риск.
- 03Проверьте наличие и актуальность политики конфиденциальности. Убедитесь, что политика опубликована, содержит сведения об операторе, целях обработки и правах субъектов данных.
- 04Уточните, какие иностранные сервисы использует сайт. Составьте список аналитики, рекламных сетей, виджетов и сервисов авторизации. Если данные уходят за рубеж — проверьте необходимость уведомления.
- 05Зафиксируйте текущее состояние сайта. Сделайте снимки экрана баннера, скопируйте тексты политик и согласий. Это поможет отследить изменения и подтвердить факт исправлений.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что конкретно меняется в законе о персональных данных с 2026 года?
Уточняются критерии стран для трансграничной передачи данных. Оператор обязан уведомлять Роскомнадзор до начала передачи данных в иностранные юрисдикции. Основные требования к обработке данных на сайтах остаются прежними.
Как понять, уходят ли данные с моего сайта за рубеж?
Откройте сайт в режиме инкогнито, запустите инструменты разработчика (вкладка Network) и обновите страницу. Запросы к доменам иностранных сервисов (например, google-analytics.com или серверам зарубежных рекламных пикселей) означают, что данные передаются за рубеж.
Достаточно ли установить cookie-баннер, чтобы соответствовать закону?
Недостаточно. Баннер должен технически блокировать запуск трекеров до получения согласия, предлагать равнозначный отказ и настройку категорий. Если трекеры стартуют автоматически — это риск нарушения.
Нужно ли уведомлять Роскомнадзор, если сайт использует Google Analytics?
Если данные посетителей передаются на серверы за рубежом, уведомление может потребоваться. Это зависит от того, как настроен сервис и какие данные обрабатываются. Проверка фиксирует такие запросы и указывает на риск.
Какой штраф грозит за обработку данных без согласия?
Санкции зависят от характера нарушения. Обработка без законных оснований влечёт одни санкции, обработка без письменного согласия — другие, нарушение требований о трансграничной передаче — третьи. Диапазон указывается в отчёте.
Что делать, если проверка выявила нарушения на сайте?
В отчёте указаны эпизоды с признаками нарушений, их серьёзность и рекомендации по исправлению. В тарифе с планом действий даются решения для кода, настроек и документов. В тарифе с юристом — сопровождение правок и итоговая проверка.
Можно ли использовать отчёт как доказательство соответствия закону?
Нет. Отчёт фиксирует установленные обстоятельства на публичных страницах и не заменяет консультацию юриста. Если эпизодов не найдено, это значит, что на осмотренных страницах признаков нарушений нет, но не гарантирует полное соответствие.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.