Что изменилось в требованиях к сайтам в 2026 году
В 2026 году уточнены критерии стран, в которые можно передавать персональные данные граждан России. Требование уведомлять Роскомнадзор до начала передачи сохраняется.
Основные правила остались прежними. Сайт обязан обрабатывать персональные данные только на законном основании, получать согласие посетителя там, где это требуется, публиковать политику обработки и хранить данные граждан РФ на территории России. Нарушения этих требований влекут штрафы.
Проблема в том, что владелец сайта не всегда видит, что происходит «под капотом»: трекеры могут стартовать до согласия, данные уходить на иностранные серверы, а политика конфиденциальности — не соответствовать реальной работе сайта.
Cookie-баннер и трекеры: что проверяет Роскомнадзор
Закон требует равнозначный отказ: посетитель должен иметь возможность отклонить все необязательные cookie одним действием, без дополнительных шагов. Кнопка отказа должна быть видна сразу.
Главный риск — трекеры, которые стартуют до того, как посетитель дал согласие. Даже если баннер выглядит правильно, скрипты аналитики и рекламных систем могут запускаться автоматически при загрузке страницы. Это создаёт риск квалификации как обработка без согласия.
При проверке сайт открывается с чистой сессии — глазами нового посетителя. Фиксируются все сетевые запросы браузера, момент запуска каждого трекера и содержание cookie-баннера. Если скрипты Google Analytics, Яндекс.Метрики или других сервисов стартовали до согласия, это отражается в отчёте с указанием нормы и рекомендацией.
Передача данных за рубеж и требование к хранению
Персональные данные граждан России должны храниться на серверах, расположенных на территории России. Это не запрещает использовать иностранные сервисы, но требует, чтобы данные записывались и в российскую базу.
При передаче данных за рубеж оператор обязан уведомить Роскомнадзор до начала передачи. Проверка показывает, какие иностранные домены получают запросы от сайта и какие данные могут в них попасть: IP-адреса, идентификаторы сессий, параметры браузера.
Сетевой обмен фиксируется как технический сигнал. Запрос к иностранному сервису не всегда означает нарушение — важно, передаются ли в нём персональные данные и подано ли уведомление. В отчёте это указывается как обстоятельство, требующее дополнительной проверки, с рекомендацией обратиться к юристу.
Политика конфиденциальности и согласия на обработку
Политика обработки персональных данных должна быть опубликована на сайте и соответствовать тому, что сайт делает на самом деле. Проверяется: описаны ли все собираемые данные, указаны ли сторонние сервисы (аналитика, CRM, платёжные системы), опубликованы ли контакты оператора с ИНН и ОГРН.
Если сайт собирает данные через формы, требуется согласие посетителя. Согласие должно быть конкретным: посетитель понимает, какие данные собираются и для чего. Галочка «Согласен с политикой конфиденциальности» без пояснений может квалифицироваться как нарушение требований к форме согласия.
При проверке анализируются все веб-формы на публичных страницах, тексты согласий и ссылки на политику. Расхождение между политикой и фактами — например, в политике не упомянута аналитика, а трекеры работают — создаёт правовой риск.
Как проверить сайт и что делать с результатами
Проверка сайта начинается с осмотра публичных страниц: главная, страницы товаров или услуг, формы обратной связи, политика конфиденциальности. Сайт открывается с чистой сессии, без авторизации и предварительных действий — так, как его видит новый посетитель.
Фиксируются снимки экрана, дословные цитаты из документов, время и содержание каждого сетевого запроса. Каждый факт сопоставляется с нормами закона о персональных данных и требованиями к обработке. Результат — заключение с эпизодами, их серьёзностью и очерёдностью исправлений.
Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Это инструмент для владельца сайта: понять, где риски, что исправить в первую очередь и какие доказательства собрать. Если эпизодов не найдено — отчёт подтверждает, что на публичных страницах признаков нарушений нет.
Чек-лист проверки сайта на соответствие требованиям 2026 года
- 01Cookie-баннер с кнопкой отказа. Проверьте, есть ли на баннере кнопка отказа от всех необязательных cookie — она должна быть видна сразу, без перехода в настройки.
- 02Трекеры не запускаются до согласия. Откройте сайт в режиме инкогнито и посмотрите в консоли разработчика вкладку Network: скрипты аналитики не должны стартовать до клика по кнопке согласия.
- 03Политика конфиденциальности опубликована. Убедитесь, что политика доступна по прямой ссылке, содержит ИНН и ОГРН оператора, описывает все собираемые данные и цели обработки.
- 04В политике упомянуты сторонние сервисы. Если сайт использует аналитику, CRM, платёжные системы или авторизацию через соцсети — все они должны быть перечислены в политике.
- 05Формы содержат согласие на обработку. Проверьте каждую форму на сайте: есть ли чекбокс или текст согласия, ссылается ли он на политику, понятно ли посетителю, какие данные собираются.
- 06Данные граждан РФ хранятся в России. Уточните у разработчика или хостинг-провайдера, где физически расположены серверы баз данных — они должны быть на территории России.
- 07Подано уведомление Роскомнадзору. Если сайт обрабатывает персональные данные или передаёт их за рубеж, проверьте, подано ли уведомление в Роскомнадзор.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие требования к сайту действуют в 2026 году?
Основные требования сохранились: обрабатывать персональные данные только на законном основании, получать согласие посетителя, публиковать политику конфиденциальности, хранить данные граждан РФ в России. Уточнены критерии стран для трансграничной передачи данных.
Можно ли использовать Google Analytics и Яндекс.Метрику на сайте?
Да, если трекеры запускаются только после согласия посетителя, а при передаче данных за рубеж соблюдены требования к трансграничной передаче и подано уведомление Роскомнадзору.
Что будет, если трекеры стартуют до согласия посетителя?
Это может квалифицироваться как обработка персональных данных без согласия, когда оно требуется. Риск — штраф для юридических лиц.
Нужно ли уведомлять Роскомнадзор о сайте?
Да, если сайт обрабатывает персональные данные граждан (формы, регистрация, заказы) или передаёт их за рубеж. Исключение — обработка для личных и семейных нужд.
Как проверить, уходят ли данные посетителей за границу?
Откройте сайт в режиме инкогнито, зайдите в консоль разработчика на вкладку Network и посмотрите, какие домены получают запросы. Если среди них иностранные сервисы — данные могут передаваться за рубеж.
Что делать, если политика конфиденциальности не соответствует работе сайта?
Привести политику в соответствие с фактами: описать все собираемые данные, указать сторонние сервисы, опубликовать контакты оператора. Расхождение между документом и практикой создаёт правовой риск.
Можно ли обойтись без cookie-баннера?
Нет, если сайт использует cookie для сбора данных или аналитики. Баннер должен предоставлять равнозначный отказ: посетитель может отклонить все необязательные cookie одним действием.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.