Новые ограничения для иностранных мессенджеров и софта: что грозит владельцам сайтов в 2026–2027 году

Недавняя новость: президент России поручил правительству до 1 сентября 2025 года подготовить предложения по введению дополнительных ограничений на использование в стране программного обеспечения из недружественных стран, включая коммуникационные сервисы. Под ударом могут оказаться популярные мессенджеры и сервисы — например, упоминаются WhatsApp¹ и иностранные облачные платформы.

Уже сейчас наметились тенденции: в конце 2024 года Роскомнадзор включил WhatsApp¹ (принадлежит корпорации Meta¹, признанной экстремистской и запрещенной в РФ) и Skype в реестр «организаторов распространения информации» (ОРИ) — это обязывает их хранить данные пользователей и содержимое переписки на территории РФ, иначе сервисы будут заблокированы. В результате владелец Skype (Microsoft) предпочел закрыть Skype в России вместо выполнения этих требований. Не исключено, что аналогичная дилемма встанет и перед WhatsApp¹, который может уйти с российского рынка, если не сможет соблюдать новые ограничения.

Параллельно, конкурентный мессенджер Telegram начал процесс открытия официального представительства в России в рамках исполнения закона о «приземлении» иностранных IT-компаний. Компания регистрирует филиал и юридическое лицо в РФ (ранее Telegram был зарегистрирован на Британских Виргинских островах). То есть даже формально «российские» по духу сервисы вынуждены подчиняться новым правилам, если их инфраструктура и юрисдикция иностранные. Сам Владимир Путин на встрече с бизнесом в конце мая резко высказался о зарубежных сервисах, которые «не до конца» ушли из России: от таких западных продуктов, по его словам, нужно избавляться как от «вредных привычек», их «надо душить, отвечать им взаимностью». Эта позиция власти ясно дает понять: терпимость к иностранным IT-решениям стремится к нулю.

Что все это означает для владельцев сайтов и малого бизнеса? Если ваш сайт использует зарубежные инструменты — от аналитики до чат-виджетов — новые ограничения могут напрямую коснуться вас. Разберемся, какие возникают риски и почему уже сейчас важно проверить свой сайт на соответствие требованиям Роскомнадзора.

С 1 июля 2025 года вступили в силу поправки в закон № 152-ФЗ «О персональных данных», которые значительно ужесточают правила сбора и передачи персональных данных россиян.

Почему это критично для вашего сайта? Дело в том, что множество популярных решений для сайтов — зарубежного происхождения. Они незаметно отправляют персональные данные пользователей за границу автоматически. Например:

• Google Analytics — сбор счетчиков и аналитики. Этот сервис передает данные о пользователях (IP-адрес, информацию о браузере, геолокацию и др.) на серверы в США. Теперь такое прямое отправление сведений за рубеж без локального хранения в РФ считается нарушением.

• Виджеты и формы от иностранных сервисов. Любая форма обратной связи, созданная на зарубежном SaaS (например, JotForm, Typeform) или даже Google Forms, также обрабатывает данные за пределами России — это нелегально после новых поправок. Даже встроенная карта Google на странице или Google reCAPTCHA для защиты от ботов передают данные (IP, поведение пользователя) в другие страны, что уже привело к предписаниям Роскомнадзора.

• Чат-боты и мессенджеры на сайте. Кнопки «Написать в WhatsApp¹/Telegram» или встроенные чаты поддержки также несут риск. Когда пользователь кликает и отправляет сообщение, его персональные данные (например, номер телефона, аккаунт) уходят на серверы WhatsApp¹ или Telegram за рубежом. По закону это квалифицируется как трансграничная передача данных. Meta¹ (владелец WhatsApp¹, Facebook¹, Instagram¹) и другие иностранные компании из «недружественных» стран сейчас фактически вне российской юрисдикции, их сервисы не подчиняются нашим законам о данных. Использование их инструментов на сайте приравнивается к вывозу данных клиентов за границу.

• Иностранные SaaS и облака. Если ваш сайт интегрирован с CRM-системой, почтовым сервисом (например, Gmail, Mailchimp) или другими облачными платформами, стоит проверить, где хранятся данные. Если серверы находятся не в РФ, требуется специальное уведомление в Роскомнадзор, иначе компания нарушает порядок трансграничной передачи. Частый пример — бизнес использует на сайте виджет онлайн-записи, обратного звонка или оплаты, который подключен к зарубежному сервису.

Проще говоря, любой скрипт или элемент на сайте, который обменивается данными с иностранным сервером до сохранения этих данных в России, теперь ставит ваш бизнес под удар закона. Под ограничения попадает широкий перечень решений: от привычных Google Analytics и Facebook¹ Pixel до кнопок WhatsApp¹, форм Zoom Webinar, карт и капчи. Даже казалось бы безобидные вещи, как шрифт или библиотека JavaScript, подгружаемые с зарубежного CDN, могут теоретически собирать cookies или IP. Именно поэтому изменения в законе особенно критичны для сайтов, использующих зарубежные сервисы — от аналитики и форм до мессенджеров.

Игнорирование новых требований по персональным данным может дорого обойтись бизнесу. Штрафы теперь взлетели до десятков миллионов рублей. Для первого нарушения правил трансграничной передачи данных предусмотрен штраф от 1 до 6 млн руб., а за повторное нарушение или неподачу установленного уведомления в Роскомнадзор — от 6 до 18 млн руб. для компаний. Это максимальные санкции, которые прежде не применялись в таком размере. Для сравнения: до недавнего времени штрафы за подобные проступки исчислялись сотнями тысяч.

Кроме того, есть и другие штрафные риски: если компания (в том числе ИП) не зарегистрирована как оператор персональных данных в реестре Роскомнадзора, ей грозит отдельный штраф до 300 тыс. руб.. За неисполнение предписания Роскомнадзора (например, если надзор обнаружил нарушения и выдал вам предписание устранить их, а вы не выполнили в срок) — штраф до 500 тыс. руб. и возможные административные меры.

Блокировка сайта — еще одна реальная угроза. Роскомнадзор получил расширенные полномочия ограничивать доступ к ресурсам, нарушающим закон о данных. В экстремальных случаях регулятор может добиться приостановления деятельности организации до устранения нарушений. Представьте: ваш сайт либо полностью блокируют на территории РФ, либо запрещают вам работать с персональными данными (что парализует бизнес, ведь вы не сможете ни принимать заказы онлайн, ни общаться с клиентами).

Новые поправки прямо указывают: использование на сайте иностранных решений (таких как Google Analytics, reCAPTCHA, WhatsApp¹, Telegram и других) без предварительного сбора данных в России — это прямое нарушение закона, которое может стоить бизнесу от 1 до 6 млн руб. за первый случай, до 18 млн руб. за повторный, а также повлечь блокировку сайта или приостановление деятельности компании.

Регулятор уже активно взялся за наведение порядка. Роскомнадзор начал массово рассылать предписания владельцам сайтов, где обнаружены Google Analytics и другие внешние элементы. Есть реальные случаи, когда предписание приходит даже за казалось бы мелочи — например, за встроенную карту Google на странице контактов или Google reCAPTCHA в форме регистрации. То есть надзорный орган не смотрит сквозь пальцы ни на один иностранный скрипт. Получив такое предписание, вы обязаны в краткий срок убрать нарушение, иначе последуют штрафы.

Для малого бизнеса штраф даже в 1 миллион рублей — огромная сумма, способная вызвать банкротство. Но еще хуже — репутационные и операционные потери: если ваш сайт заблокируют или публично объявят небезопасным по части данных, это ударит по доверию клиентов. Поэтому рисковать не стоит.

Многие предприниматели недооценивают, подпадает ли их сайт под требования Роскомнадзора. На самом деле подавляющее большинство сайтов собирает хотя бы какие-то персональные данные и использует сторонние сервисы. Вот типичные признаки, при наличии которых вам обязательно нужно проверить свой сайт:

• Установлены счетчики или системы аналитики. Если вы используете Google Analytics, Matomo, Piwik, HotJar и пр., ваш сайт наверняка отсылает данные о посетителях за рубеж.

• Есть формы обратной связи, заявки, подписки. Контактные формы, формы заявки на услугу, подписки на новости — все это собирает персональные данные (имя, телефон, e-mail и т.д.). Если эти формы реализованы через внешний сервис или передают данные не на ваш российский сервер, есть риск нарушения.

• Подключены онлайн-чаты или мессенджеры (WhatsApp¹, Telegram и др.). Виджеты общения с клиентами — удобны, но зачастую работают через сторонние сервера. Кнопка WhatsApp¹ или Telegram на сайте означает, что пользователь при клике передает данные в иностранный мессенджер.

• Сайт сделан на конструкторе или с внешними модулями. Популярные конструкторы (Tilda, Wix и т.п.) или готовые модули могут включать скрипты аналитики, маркетинга, CDN-библиотеки — проверьте их на предмет отправки данных.

• Интеграции с CRM, почтовыми сервисами, оплатами. Если форма заявки сразу дублируется в вашу CRM (Bitrix24, AmoCRM и др.) или рассылку (например, Mailchimp), убедитесь, что эти данные не уходят за рубеж без уведомления Роскомнадзора.

• Документы и политика на сайте сделаны «для галочки». Часто владельцы малого бизнеса выкладывают шаблонную «Политику обработки ПДн», не учитывая всех сервисов на сайте. Если политика не отражает фактических процессов обработки или у вас вовсе нет необходимых документов (политика, соглашение на обработку, политика cookies), это выявится при проверке.

На проверке инспекторы Роскомнадзора обычно проводят технический анализ сайта: сканируют исходный код страниц на наличие внешних подключений, отправляют тестовые данные через формы, проверяют, куда идут запросы. Например, они сразу определят, что у вас стоит код Google Analytics (который тянет данные на домены google.com) — и зафиксируют нарушение. Или увидят, что форма регистрации отправляет данные на forms.office.com (серверы Microsoft за рубежом) — тоже нарушение. Также проверят, зарегистрирован ли сайт как оператор ПДн в реестре Роскомнадзора и оформлены ли на сайте документы по ПДн.

Чтобы вы могли самостоятельно оценить риски, приведем распространенные примеры элементов сайта и связанных с ними нарушений:

• Google Analytics (и другие сервисы Google) — автоматически передает поведенческие данные пользователей (IP, cookies и пр.) на серверы в США. Нарушение: первичная передача персональных данных за границу.

• Виджет reCAPTCHA (Google) — при проверке «я не робот» скрыто передает в Google ваш IP, поведенческие факторы, местоположение и др. Нарушение: передача технических персональных данных за рубеж.

• Форма заявки на Google Forms — все сведения, введенные клиентом, сохраняются на серверах Google вне РФ. Нарушение: обработка ПДн вне России без локализации.

• Кнопка WhatsApp¹/Telegram для связи — пользователь может отправить сообщение, содержащее свои контактные данные, напрямую через мессенджер. Нарушение: передача персональных данных (имя, телефон и пр.) пользователями через иностранный мессенджер.

• Онлайн-чат поддержки или виджет обратного звонка — если сервис, предоставляющий чат, хостится за границей (LiveChat, Zendesk и т.д.), то каждое сообщение уходит на иностранный сервер. Нарушение: хранение и обработка обращений клиентов за пределами РФ.

• CRM или email-рассылки (например, на Gmail) — данные клиентов хранятся в облаке за рубежом. Если очень нужно так делать, требуется специальное уведомление и разрешение Роскомнадзора на трансграничную передачу (но получить его не так просто).

Как видно, современный сайт — это комплекс из множества интеграций. И почти любая зарубежная интеграция теперь может привести к штрафу. Роскомнадзор больше не ограничивается профилактикой: запущены плановые и внеплановые проверки сайтов, активно мониторится исполнение новых требований.

Что делать владельцу сайта в сложившейся ситуации? Ответ очевиден: провести аудит сайта на соответствие закону о персональных данных. Это первый шаг, который поможет выявить все скрытые угрозы и вовремя их устранить.

Аудит сайта по 152-ФЗ обычно включает два больших блока: техническая проверка и юридическая экспертиза. На техническом этапе специалисты просканируют ваш сайт, чтобы найти все скрытые скрипты, сторонние библиотеки, пиксели и интеграции. Часто обнаруживаются элементы, о которых владелец и не подозревал (например, шаблон темы WordPress мог автоматически подключать Google Fonts или какой-нибудь CDN). Также проверяется, на каком сервере размещен сайт и база данных, какие данные конкретно передаются и куда. Такой детальный разбор позволяет составить полный список потенциальных нарушений.

Далее — устранение нарушений. По результатам аудита вы получите рекомендации, что нужно исправить. Какие-то решения придется удалить или заменить на российские аналоги: вместо Google Analytics установить Яндекс.Метрику или другую систему аналитики на российском хостинге; вместо reCAPTCHA — российскую капчу (например, от CloudPayments); вместо прямого виджета WhatsApp¹ — поставить просто иконку-ссылку без передачи параметров либо вовсе указывать контактный номер телефона без скриптов. Цель — убрать все элементы, которые проводят запрещенный ныне первичный сбор данных за рубежом.

Если какие-то иностранные сервисы вам критично необходимы в работе, аудиторы подскажут, как легально оформить трансграничную передачу. С 2023 года действует процедура: нужно подать специальное уведомление о трансграничной передаче ПДн в Роскомнадзор и получить одобрение. На практике малый бизнес редко этим занимается, но если, скажем, вы работаете с зарубежной CRM-системой, лучше перестраховаться и уведомить Роскомнадзор официально.

Отдельно аудит затронет документацию по персональным данным. У каждого юрлица и ИП, кто обрабатывает ПДн, должны быть правильно оформлены документы: Политика обработки персональных данных, согласие на обработку (в т.ч. cookies), политика в отношении cookies и т.д.. Эксперты проверят наличие и корректность этих документов. Очень важно, чтобы в них были перечислены все используемые инструменты и скрипты, а также цели обработки данных. Если каких-то документов не хватает, их подготовят для вас. Также проверят, подавали ли вы уведомление в реестр Роскомнадзора как оператор ПДн — если нет, помогут подать (напомним, с 30 мая 2025 года штраф за отсутствие регистрации возрос до 300 тыс. руб.).

После такого аудита вы фактически получите паспорт безопасности своего сайта: будете точно знать, что исправлено, а что нет, и избежите внезапных проблем с контролирующими органами. В итоге ваша компания не только избежит многомиллионных штрафов, но и продолжит спокойно работать, не подвергая данные клиентов риску.

Новые требования Роскомнадзора уже вступили в силу, и проверки идут полным ходом. ИП и малый бизнес — не исключение: наоборот, они часто наиболее уязвимы, ведь не имеют в штате больших юридических отделов. Не ждите, пока придет уведомление о штрафе или блокировке. Лучше провести аудит заранее и спать спокойно, зная, что ваш сайт в порядке.

☎️ Свяжитесь с нами: оставьте заявку на аудит сайта на roskom24.ru – и мы поможем защитить ваш бизнес от рисков и санкций Роскомнадзора. Помните, своевременная защита персональных данных — это не только требование закона, но и залог доверия ваших клиентов!

Не рискуйте — проверьте свой сайт уже сейчас и соблюдайте новые правила, чтобы работать без лишних проблем. Ваше спокойствие и безопасность бизнеса стоят того, чтобы уделить этому внимание. Штрафы до 18 млн руб. и возможные блокировки — слишком высокая цена за использование иностранного скрипта. Проведите аудит и будьте уверены в завтрашнем дне своего онлайн-бизнеса.

Важно: все приведенные изменения и требования актуальны на момент написания. Следите за обновлениями законодательства — мы будем держать вас в курсе в нашем блоге. Заходите за новостями и разъяснениями, и пусть ваш бизнес развивается без опасений!

Берегите данные клиентов — и они обязательно это оценят.

Реклама: ООО «ОНЛАЙН УСЛУГИ 24», ИНН 7751227590, erid: 2W5zFHXLqVJ