Что меняется с сентября 2026 года для сайтов
Закон уточняет критерии стран для трансграничной передачи персональных данных граждан РФ. Уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Если на сайте установлены сервисы иностранных компаний — аналитика, виджеты онлайн-чата, кнопки социальных сетей, авторизация через внешние платформы — данные посетителей (IP-адреса, идентификаторы браузера, сведения о поведении на сайте) могут передаваться за рубеж. Это трансграничная передача, и она подпадает под обновлённые требования.
Изменения не вводят новых запретов, но уточняют критерии, по которым оценивается допустимость передачи данных в конкретные юрисдикции.
Как понять, касаются ли изменения вашего сайта
Ключевой вопрос — передаёт ли сайт данные посетителей иностранным сервисам. Чтобы это выяснить, нужно проверить сетевые запросы браузера: какие домены получают данные при загрузке страницы, до и после согласия посетителя.
Проверка проводится с чистой сессии — глазами нового посетителя, который впервые открыл сайт и ещё не дал согласие на cookie. Если в этот момент браузер уже отправляет запросы к иностранным сервисам, это сигнал о возможном нарушении.
Простого списка установленных счётчиков и виджетов недостаточно: многие из них стартуют автоматически, до того как посетитель увидел баннер согласия. Фактическое поведение сайта может отличаться от того, что написано в политике обработки данных.
Уведомление Роскомнадзора о трансграничной передаче
Уведомлять Роскомнадзор до начала трансграничной передачи персональных данных обязательно. Если передача уже ведётся и уведомление было подано, достаточно проверить актуальность документов на сайте.
Если трансграничная передача только появляется — например, вы добавили новый сервис аналитики или виджет иностранной платформы — уведомление подаётся до начала передачи данных.
Неподанное уведомление или подача с нарушением сроков создаёт риск санкций.
Что проверить на сайте до вступления изменений в силу
Первое — поведение трекеров и сторонних скриптов до согласия посетителя. Если аналитика, пиксели ретаргетинга или виджеты стартуют раньше, чем посетитель нажал «согласен», это может квалифицироваться как обработка без законных оснований.
Второе — cookie-баннер. Проверка фиксирует, есть ли равнозначный отказ и настройка категорий. Если кнопка отказа спрятана в настройках или требует дополнительных действий, это создаёт риск.
Третье — политика обработки данных и согласия на веб-формах. Документы должны соответствовать фактической обработке: если сайт передаёт данные иностранным сервисам, это должно быть указано явно, с перечнем получателей и юрисдикций.
- Сетевые запросы браузера — какие домены получают данные до и после согласия
- Момент старта трекеров — запускаются ли они до взаимодействия посетителя с баннером
- Баннер согласия — есть ли равнозначный отказ и настройка категорий cookie
- Политика обработки данных — указаны ли иностранные получатели и цели передачи
- Веб-формы — есть ли согласие на обработку и соответствует ли оно фактическим действиям сайта
Как проверить сайт и подготовить доказательную базу
Проверка начинается с чистой сессии: сайт открывается глазами нового посетителя, фиксируются снимки экрана, сетевые запросы, тексты документов и поведение трекеров. Каждый факт привязывается к норме закона и получает оценку серьёзности.
Результат оформляется в заключение с доказательной базой: что именно зафиксировано, в какой момент, какая норма может быть нарушена и что рекомендуется исправить. План действий даёт очерёдность исправлений — сначала самое серьёзное.
Если эпизодов с признаками нарушений не выявлено, заключение подтверждает, что на осмотренных публичных страницах сайт работает в соответствии с требованиями. Это не гарантия полного соответствия закону — закрытые разделы, серверная часть и внутренние процессы остаются за пределами проверки, но даёт понимание, что публичная часть в порядке.
Чек-лист подготовки сайта к изменениям
- 01Проверьте сетевые запросы браузера. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладка Network. Обновите страницу и посмотрите, какие домены получают запросы до того, как вы взаимодействовали с баннером согласия. Если видите запросы к иностранным сервисам — это трансграничная передача.
- 02Проверьте баннер согласия на cookie. Убедитесь, что посетитель может отказаться от необязательных cookie одним действием, без перехода в дополнительные меню. Кнопки «согласен» и «отказаться» должны быть одинаково доступны. Проверьте, останавливаются ли трекеры, если нажать «отказаться».
- 03Проверьте политику обработки персональных данных. Откройте политику на сайте и найдите раздел о трансграничной передаче или передаче данных третьим лицам. Если на сайте установлены иностранные сервисы, они должны быть перечислены с указанием целей передачи и юрисдикций.
- 04Проверьте согласия на веб-формах. Откройте формы обратной связи, подписки, регистрации. Убедитесь, что текст согласия явно указывает цели обработки и получателей данных. Если данные передаются третьим лицам или за рубеж, это должно быть прописано.
- 05Проверьте, подано ли уведомление в Роскомнадзор. Если сайт передаёт данные посетителей за рубеж, уведомление о намерении вести трансграничную передачу должно быть подано до начала передачи. Если уведомление не подано, это создаёт риск санкций.
Что говорит закон
265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
С какой даты действуют изменения для сайтов в сентябре 2026 года?
Закон уточняет критерии стран для трансграничной передачи персональных данных. Подготовку сайта лучше завершить заранее, чтобы снизить риск.
Нужно ли мне что-то делать, если на сайте нет форм и только информационные страницы?
Даже на информационных сайтах часто установлены счётчики аналитики, кнопки социальных сетей или виджеты. Если они передают данные посетителей за рубеж, изменения касаются вас. Проверьте сетевые запросы браузера, чтобы убедиться.
Как понять, передаёт ли мой сайт данные за рубеж?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладка Network, обновите страницу. Посмотрите, какие домены получают запросы. Если видите запросы к иностранным сервисам (например, google-analytics.com или домены зарубежных рекламных пикселей) — это трансграничная передача.
Обязательно ли подавать уведомление в Роскомнадзор, если я уже подавал его раньше?
Если трансграничная передача уже ведётся и уведомление подано, повторное уведомление не требуется. Если передача только появляется, уведомление подаётся до начала передачи.
Что будет, если не успею подготовить сайт до вступления изменений в силу?
Подготовка сайта заранее снижает риск и даёт время на исправление технических и документальных моментов.
Можно ли проверить сайт самостоятельно или нужен юрист?
Базовую проверку можно провести самостоятельно: посмотреть сетевые запросы, проверить баннер и документы. Но для полной проверки с фиксацией доказательной базы и правовой квалификацией эпизодов нужна специализированная проверка с заключением.
Что делать, если проверка покажет нарушения на сайте?
Заключение покажет, какие эпизоды зафиксированы, какая норма может быть нарушена и что рекомендуется исправить. Дальше — исправить технические настройки (трекеры, баннер), обновить документы и, если нужно, подать уведомление в Роскомнадзор.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.