Новые требования Роскомнадзора к сайтам: полный гид для владельцев с 30 мая 2025 года

Привет, друзья! Если у вас есть сайт — будь то небольшой блог, интернет-магазин или корпоративный портал — вы наверняка слышали о новых правилах от Роскомнадзора. С 30 мая 2025 года вступили в силу серьезные поправки к закону «О персональных данных», а с 1 июля добавились дополнительные требования.

Эти изменения — не просто формальность. Они кардинально меняют подход к сбору и хранению информации о пользователях. В этой статье мы подробно и на понятном языке разберем, что именно изменилось, какие теперь грозят штрафы, что конкретно нужно сделать каждому владельцу сайта и почему игнорировать эти правила — очень плохая идея.

Почему это важно для каждого владельца сайта?

Раньше под персональными данными (ПДн) понимали в основном ФИО и номер телефона. Теперь это понятие значительно расширилось и включает почти любую информацию, которая позволяет идентифицировать пользователя:

• Email, телефон, ники в мессенджерах[1].
• Цифровые следы, такие как IP-адреса и файлы cookie[1].
• Данные о поведении на сайте (что смотрел, что покупал)[1].

Это означает, что практически любой сайт, на котором есть форма обратной связи, регистрация, онлайн-оплата или даже просто стоит счетчик аналитики (например, Яндекс.Метрика), является оператором персональных данных[2][3]. А значит, он обязан соблюдать все требования закона.

Игнорировать это стало опасно по трем причинам:

1. Огромные штрафы. Санкции выросли в десятки раз и теперь могут достигать миллионов рублей, а за повторные утечки введены оборотные штрафы — процент от годовой выручки компании[4][5].
2. Риск блокировки. За систематические нарушения Роскомнадзор может заблокировать доступ к вашему сайту[2].
3. Автоматические проверки. Роскомнадзор активно использует искусственный интеллект для сканирования сайтов, поэтому проверки стали чаще и эффективнее[6][2].

Соблюдение правил — это не только защита от штрафов, но и демонстрация уважения к пользователям, что повышает их доверие и лояльность.

Виды новых требований: что именно нужно соблюдать

Давайте разберем ключевые изменения, которые должен учесть каждый владелец сайта.

1. Регистрация в Роскомнадзоре
Теперь вы обязаны уведомить Роскомнадзор о том, что обрабатываете персональные данные, до начала их сбора[7][8]. Раньше это можно было сделать постфактум, но теперь — нет.

• Кто обязан подавать уведомление? Все, кто собирает любые ПДн через сайт[3].
• Как подать? Через специальный портал Роскомнадзора (pd.rkn.gov.ru) или Госуслуги[9].
• Что будет, если не подать? Штраф для юридических лиц и ИП — от 100 000 до 300 000 рублей[4][10].

2. Обязательные документы и информация на сайте
Ваш сайт должен содержать несколько обязательных документов, доступных для любого посетителя:

• Политика обработки персональных данных. В ней нужно подробно описать, какие данные, для каких целей и как вы собираете, храните и защищаете[2][3].
• Согласие на обработку ПДн. Каждая форма на сайте (обратная связь, регистрация, подписка) должна содержать чекбокс с текстом согласия. Важно: галочка не должна быть проставлена по умолчанию[11][3].
• Данные о владельце сайта. Необходимо указать полное наименование юридического лица или ФИО ИП, ИНН и юридический адрес[12].
• Российский хостинг. Если вы собираете данные граждан РФ, серверы для их хранения должны находиться на территории России[7][6].

3. Баннеры cookie и активное согласие
Файлы cookie теперь официально признаны персональными данными, поэтому на их сбор нужно получать отдельное согласие[7].

• Что такое правильный cookie-баннер? Это не просто уведомление "Мы используем cookie". Баннер должен предоставлять пользователю реальный выбор: принять, отклонить или настроить типы используемых файлов (например, разрешить только технические, но запретить аналитические и маркетинговые)[7].

• Что такое активное согласие? Это когда пользователь сам совершает действие, подтверждающее его волю, — например, ставит галочку в чекбоксе[2]. Просто продолжать пользоваться сайтом — это не активное согласие.

• А если у меня Яндекс.Метрика? Этот сервис собирает данные о поведении пользователей (IP-адрес, время на сайте, клики), поэтому для его использования необходимо получить активное согласие. В cookie-баннере или политике нужно прямо указать, что вы используете этот сервис для аналитики.

4. Отказ от Google Analytics
Использование Google Analytics и других зарубежных сервисов аналитики стало крайне рискованным. Причина — трансграничная передача данных: информация о российских пользователях отправляется на серверы, расположенные за пределами РФ[1]. С новыми правилами это является серьезным нарушением. Рекомендуется полностью удалить код Google Analytics со всех страниц сайта и перейти на российские аналоги, например, Яндекс.Метрику[13].

5. Уведомление об утечках данных
С 1 июля 2025 года вводится строгое правило: если на вашем сайте произошла утечка персональных данных, вы обязаны уведомить об этом Роскомнадзор в течение 24 часов с момента обнаружения инцидента. В течение 72 часов нужно направить второе уведомление с результатами внутреннего расследования[14].

Штрафы за нарушения: сколько придется заплатить

Новые штрафы, действующие с 30 мая 2025 года, значительно выросли. Вот основные суммы для юридических лиц и ИП (согласно статье 13.11 КоАП РФ):

• Неуведомление Роскомнадзора о начале обработки ПДн — от 100 000 до 300 000 рублей[4][10].
• Обработка данных без согласия пользователя (включая отсутствие правильного cookie-баннера или чекбокса в форме) — от 150 000 до 300 000 рублей за первое нарушение и до 500 000 рублей за повторное[10].
• Неуведомление Роскомнадзора об утечке данных — от 1 000 000 до 3 000 000 рублей[14].
• Утечка данных по вине компании:
  • От 1 тыс. до 10 тыс. пользователей — от 3 до 5 млн рублей[4].
  • От 10 тыс. до 100 тыс. пользователей — от 5 до 10 млн рублей[4].
  • Свыше 100 тыс. пользователей — от 10 до 15 млн рублей[4].
• Утечка биометрических данных (например, фото для верификации) — от 15 до 20 млн рублей[4][14].
• Повторная утечка данных — оборотный штраф от 1% до 3% от годовой выручки, но не менее 20 млн рублей[4].

Что нужно сделать прямо сейчас: пошаговый план

Не стоит паниковать. Привести сайт в соответствие с требованиями можно, если действовать последовательно.

1. Проведите аудит сайта. Определите все точки сбора данных: формы, корзина, подписки, счетчики аналитики, виджеты. Проверьте, не остался ли где-то код Google Analytics.
2. Подготовьте и разместите документы. Разработайте Политику обработки ПДн и Политику конфиденциальности. Опубликуйте их на сайте так, чтобы их было легко найти (обычно в «подвале»). Добавьте реквизиты своей организации[2][3].
3. Настройте получение согласий. Установите на сайт compliant cookie-баннер с возможностью отказа. Добавьте во все формы чекбоксы для получения активного согласия на обработку данных.
4. Подайте уведомление в Роскомнадзор. Заполните электронную форму на портале ведомства, указав все цели и категории обрабатываемых данных[9].
5. Обеспечьте безопасность. Убедитесь, что ваш сайт размещен на российском хостинге. Назначьте сотрудника, ответственного за обработку персональных данных.

Заключение

Новые требования Роскомнадзора — это не временная кампания, а новая реальность для всего цифрового пространства в России. Соблюдение этих правил поможет не только избежать огромных штрафов и блокировок, но и построить честные и доверительные отношения с вашими пользователями. Не откладывайте аудит своего сайта на потом — начните действовать уже сегодня.

[1] https://dsgners.ru/taptop/10885-zakon-o-personalnyih-dannyih-v-2025-chto-nujno-znat-veb-dizayneram-i-vladeltsam-saytov
[2] https://www.klerk.ru/blogs/roskom24/650389/
[3] https://www.klerk.ru/blogs/fedresurs/651554/
[4] https://emchd.ru/blog/stati/novye-shtrafy-pri-rabote-s-pdn-s-30-maya-2025/
[5] https://www.glavbukh.ru/art/391377-shtrafy-za-obrabotku-rasprostranenie-i-utechku-personalnyh-dannyh-11xx-news
[6] https://e-office24.ru/news/obrabotka-personalnykh-dannykh-na-sayte-kakie-est-trebovaniya-k-saytu/
[7] https://webpage-profy.ru/blog/novye-trebovaniya-roskomnadzora-k-saytam-po-obrabotke-personalnykh-dannykh-s-2025-goda/
[8] https://grandawards.ru/blog/obrabotka-personalnyh-dannyh/
[9] https://teyca.ru/rkn
[10] https://kontur.ru/kedo/spravka/53645-shtrafy_za_narushenie_zakona_o_pd
[11] https://www.hardkod.ru/blog/trebovaniy-roskomnadzora
[12] https://vc.ru/seo/2020130-obrabotka-personalnykh-dannykh-2025
[13] https://companies.rbc.ru/news/z1ShD2MRIz/registratsiya-v-roskomnadzore-obyazatelnyie-shagi-i-dokumentyi-s-30052025/
[14] https://www.it-pnk.ru/news/uvelichenie-shtrafov-pd/
[15] https://companies.rbc.ru/news/z1ShD2MRIz/registratsiya-v-roskomnadzore-obyazatelnyie-shagi-i-dokumentyi-s-3005
[16] https://www.garant.ru/article/1814228/
[17] https://linkodium.com/articles/novye-trebovaniya-roskomnadzora-po-zakonu-152-fz-na-30-maya-2025-goda/
[18] https://www.cyber-nevod.ru/blog/novye-trebovaniya-roskomnadzora-dlya-saytov/
[19] https://42clouds.com/ru-ru/blog/guides/personalnye-dannye-v-2025-godu-kogda-i-kak-podat-uvedomlenie-v-roskomnadzor/
[20] https://saby-sbis.ru/blog/shtrafy-pri-rabote-s-personalnymi-dannymi-s-30-maya-2025-goda
[21] https://rkn.gov.ru/press/news/news74921.htm