Если у вас на сайте есть хотя бы пара форм заявки, личный кабинет или рекомендованные товары — вы в зоне риска. Причем проверки всё чаще делают ИИ-скрипты Роскомнадзора, которым не нужен человеческий фактор, чтобы за секунду выписать вам предупреждение.

Собрала ключевые изменения в законодательстве 2026 года, о которых многие до сих пор не в курсе.

1. Авторизация на сайте: штрафы (ФЗ № 199-ФЗ)

Все помнят запрет на регистрацию через иностранную почту и соцсети? Считать, что «пока не штрафуют» больше не получится — вступили в силу прямо штрафы по ст. 13.55 КоАП РФ. Суть: Если у вас есть личный кабинет или вход для пользователей, там больше не должно быть входа через Google ID, Apple ID или иностранные соцсети. Разрешены только Госуслуги (ЕСИА), биометрия, российские сервисы (VK, Яндекс) или российская почта/телефон. Скрытая ловушка: Мало просто спрятать кнопку «Войти через Google». Как специалист по тестированию скажу: скрипты РКН смотрят глубже. Если в коде (API, OAuth-авторизации, восстановлении пароля или старых скриптах) фоново остался иностранный SSO-сервис — компания рискует попасть на штраф от 500 000 до 700 000 рублей.

2. Рекомендательные алгоритмы под контролем

Продаете курсы, товары или статьи и используете блоки типа «Вам также может понравиться» на основе поведения пользователя? Новое требование: С этого лета ввели прямые штрафы (тоже по 199-ФЗ — до 700 тыс. рублей для юрлиц) за отсутствие предупреждения об алгоритмах. На сайте обязана висеть плашка или блок в оферте с правилами применения рекомендательных технологий и официальным email для обращений пользователей.

3. Галочки и согласие на рассылку (ФЗ № 152-ФЗ и № 38-ФЗ)

Старый трюк «одна кнопка под формой, которая подписывает человека и на обработку данных, и на ваш спам в Telegram» — окончательно вне закона. Как правильно: Согласие на рекламную рассылку обязано быть отдельным документом и отдельной не закрашенной галочкой (чекбоксом). Предустановленные (уже стоящие) галочки «согласен» РКН трактует как отсутствие добровольного согласия. Штраф за неправильное согласие — от 300 000 до 700 000 рублей.

4. Сайт-визитка без форм сбора всё равно делает вас оператором персональных данных

Миф: «У меня на лендинге нет форм заявки и кнопок, только описание услуг и телефон. Значит, я не собираю персональные данные и подавать уведомление в РКН не должен». Реальность: Если на вашем сайте висит Яндекс.Метрика (или любой другой счетчик), сайт автоматически собирает IP-адреса и cookie-файлы посетителей.● Ловушка: В РФ IP-адрес законодательно признан персональными данными. Выходит, что даже «сухой» сайт-визитка без единого поля ввода делает вас оператором ПДн. Если вы не подали уведомление в реестр РКН через Госуслуги — рискуете получить штраф от 150 000 до 300 000 рублей.

5. Куки-баннеры «Мы используем cookie, нажимая ОК...» — уже нарушение

Как делают почти все: Всплывает плашка с единственной кнопкой «Понятно» или «ОК». Как положено по закону: Пользователю обязаны дать выбор. Технический нюанс: На грамотном cookie-баннере должны быть минимум две кнопки: «Принять всё» и «Настройки» (где человек может отключить маркетинговые или аналитические cookie, оставив только технические). Если пользователь нажал «Отказаться» или закрыл плашку, код сайта должен физически блокировать отправку эти данных в рекламные системы. Простая плашка без возможности отказа — прямое нарушение.

Короткий чек-лист за 2 минуты:

Зайдите на свой сайт с телефона и ПК. Есть ли там вход через Google/Apple? (Убрать). Посмотрите на формы обратной связи. Стоит ли там предустановленная галочка? (Снять). Разделены ли согласия на обработку заявки и на маркетинговую рассылку? (Разделить). В баннере cookie стоят 2 кнопки или 1? (нужно дать выбор - 2 кнопки - Принять и Настройки)

Делитесь в комментариях: проверяли уже свои сайты и формы в этом году или живете по принципу «пока не пришли — не трогаем»? P.S. В Кастом Соло - Доверие на первом месте. Я строго слежу за нововведениями и предупреждаю своих клиентов об изменениях, касающихся их сайтов.

#вебразработка #законодательство #юриспруденция