Осенью 2025 года в России заработали новые правила работы с персональными данными. Государство усилило контроль и в разы подняло штрафы за ошибки — теперь суммы достигают 15 миллионов рублей. При этом проверки сайтов поставили на поток. Если раньше предприниматели получали предписания от РКН редко и по конкретным жалобам, то сейчас поиском нарушений занялся специальный робот. Рассказываем, как работает автоматический аудит, за что сейчас штрафуют и что нужно исправить на сайте, чтобы не попасть под санкции.
Архитектура контроля: как устроен автоматический аудит Роскомнадзора
Раньше инспекторы проверяли сайты выборочно и смотрели в основном на три вещи: есть ли запись в реестре операторов, висит ли в футере ссылка на политику обработки данных и работает ли галочка согласия в формах. Такой поверхностный подход позволял многим компаниям годами обходиться косметическими правками.
Теперь система работает иначе. Первичный мониторинг делает автоматический бот — он круглосуточно сканирует сайты в зонах .RU, .РФ и .SU. Робот имитирует поведение реального пользователя: ищет формы ввода данных, проверяет скрипты аналитики, сверяет код сайта с записями в открытых реестрах. Если алгоритм находит хотя бы одно расхождение, он фиксирует его, собирает цифровой слепок страницы и передает материалы живому инспектору.
Дальше начинается ручная проверка, и она гораздо глубже, чем раньше. Сотрудник РКН сопоставляет три слоя информации: что написано в уведомлении оператора, что прописано в документах на сайте и что происходит в реальном коде. Он смотрит, например, совпадают ли заявленные сроки хранения данных с фактическими бизнес-процессами, разделены ли согласия под разными формами, блокируется ли отправка данных, если пользователь не поставил галочку в чекбоксе. Если инспектор находит несоответствия — компания получает официальное требование об устранении нарушений. На это дается 10 рабочих дней.
За что и на сколько штрафуют предпринимателей
По закону персональные данные — это любая информация, которая позволяет идентифицировать человека. ФИО, номер телефона, e-mail, IP-адрес, файлы cookie — все это относится к персональным данным, и за их неправильную обработку бизнес получает штрафы по статье 13.11 КоАП РФ.
Размеры штрафов, которые действуют сегодня:
- Отсутствие уведомления РКН об обработке данных (или несвоевременная подача): для юрлиц — от 100 000 до 300 000 рублей, для должностных лиц — от 30 000 до 50 000 рублей.
- Нарушение правил обработки данных: для юрлиц — до 300 000 рублей за базовые составы, до 15 миллионов — за повторные нарушения и утечки.
- Неисполнение предписания в срок: дополнительный штраф до 90 000 рублей по части 5 статьи 13.11 КоАП РФ.
Штрафуют не абстрактные корпорации, а конкретных предпринимателей — владельцев интернет-магазинов, салонов красоты, бухгалтерских компаний, онлайн-школ. Если у вас на сайте есть форма заявки или стоит Яндекс.Метрика, вы уже оператор персональных данных.
Топ-5 критических уязвимостей на сайтах
Практика показывает, что чаще всего предприниматели попадают на штрафы из-за одних и тех же ошибок. Вот пять самых распространённых.
1. Неправильная реализация согласия в формах
РКН признает только один сценарий: под каждой формой размещается пустой чекбокс, пользователь ставит галочку вручную. При этом для разных целей (например, обработка заявки и отправка рекламной рассылки) должны быть отдельные поля для согласия. Если чекбокса нет, а вместо него размещен просто текст «нажимая кнопку, вы соглашаетесь», если галочка стоит заранее или сервер принимает форму вообще без активации чекбокса — инспектор фиксирует нарушение.
2. Счетчики аналитики без уведомления пользователей
Подключение Яндекс.Метрики означает, что сайт собирает данные о поведении посетителей, а владелец ресурса обязан прописать это в политике обработки данных и уведомить РКН о сборе метрических сведений. Отсутствие таких записей — это сбор данных без законных оснований.
3. Иностранные сервисы аналитики
Использование Google Analytics трактуется регулятором как трансграничная передача данных в недружественную юрисдикцию. Если компания не указала в уведомлении, что передает сведения за рубеж, это автоматически становится нарушением.
4. Размытые формулировки в политике обработки данных
Сроки хранения информации должны быть конкретными: привязанными к определенным целям или требованиям законов. Тексты вроде «данные хранятся до завершения всех процессов» или «в течение неопределённого времени» инспекторы считают грубым нарушением.
5. Публикация фото сотрудников без согласия
Если на сайте есть страница «Наша команда» с фотографиями и должностями сотрудников, у компании должно быть оформлено письменное или электронное согласие от каждого из них на публикацию и распространение этих данных.
Почему 10 дней на исправление — это ловушка
Когда компания получает предписание РКН, закон отводит на устранение нарушений 10 рабочих дней. На практике этот срок оказывается критически малым для полноценной переработки документов и кода. Но главная опасность даже не в сжатых сроках.
Сам факт исправления нарушений не отменяет того, что бот их уже зафиксировал. Компания все равно получает штраф за исходное нарушение, а просрочка с ответом добавляет к нему дополнительное взыскание. Поэтому единственная рабочая стратегия — профилактика. Лучше привести сайт в порядок до того, как его найдёт робот.
Чек-лист: 5 обязательных слоев защиты сайта
Чтобы спокойно работать и не бояться автоматических проверок, достаточно выстроить пять уровней защиты:
- Актуальная политика обработки данных. Документ, в котором четко и без размытых фраз прописаны цели сбора, категории данных, сроки хранения и порядок их уничтожения.
- Пользовательское соглашение. Юридически выверенный текст, регламентирующий конкретные действия пользователя при заполнении форм на сайте.
- Корректные чекбоксы. Никаких предустановленных галочек. Каждая форма должна проверять, что пользователь явно выразил согласие, и только после этого отправлять данные на сервер.
- Дисклеймер о сборе метрик. Всплывающее окно или баннер, который информирует посетителя об использовании файлов cookie и сервисов аналитики еще до начала сбора данных.
- Валидное уведомление в реестре РКН. Запись в реестре операторов, которая на 100% совпадает с реальными процессами на сайте, включая перечень собираемых данных, цели обработки и факт передачи сведений третьим лицам.
Коротко для предпринимателя
- Проверьте свой сайт прямо сейчас. Зайдите на страницу с формой заявки и посмотрите, как работает чекбокс согласия. Если галочка уже стоит или кнопка отправки работает без неё — это повод для срочных правок.
- Подайте уведомление в РКН, если ещё не сделали этого. Штраф за отсутствие регистрации в реестре операторов — до 300 000 рублей. Процедура бесплатная и занимает один день.
- Не надейтесь, что «пронесет». Автоматический бот не устает, не берет отпуск и не делает скидок на масштаб бизнеса. Рано или поздно он доберется до любого сайта. Единственный способ избежать штрафа — привести документы и код в порядок заранее.
