Штрафы до 1,5 млн за формы на сайте: как бизнесу соблюсти 152-ФЗ в 2026 году без падения конверсии

Роскомнадзор ужесточил проверки веб-ресурсов: формальная плашка о cookie больше не защищает бизнес от штрафов до 1,5 млн рублей. Разбираем 5 критических ошибок в веб-формах, технические требования к серверам и пошаговый аудит без потери лидов.

Формальное наличие документов в подвале сайта больше не гарантирует безопасность при проверках Роскомнадзора (РКН). В 2025–2026 годах регулятор использует автоматизированные скрипты-пауки, которые сканируют структуры веб-форм, код скриптов и сетевые запросы без участия инспектора.

• Обработка данных без законных оснований или несовместимая с целями (ч. 1):

  • Первичный штраф для юридических лиц: от 60 000 до 100 000 рублей.

  • Повторный штраф: от 100 000 до 300 000 рублей.

• Обработка без письменного согласия, когда оно обязательно (ч. 2):

  • Первичный штраф для юридических лиц: от 300 000 до 700 000 рублей.

  • Повторный штраф: от 1 000 000 до 1 500 000 рублей.

• Неопубликование Политики конфиденциальности (ч. 3):

  • Штраф для юридических лиц: от 30 000 до 60 000 рублей.

• Невыполнение требования о локализации баз данных на территории РФ (ч. 8 и ч. 9):

  • Первичный штраф: от 1 000 000 до 6 000 000 рублей.

  • Повторный штраф: от 6 000 000 до 18 000 000 рублей.

Судебная и правоприменительная практика РКН окончательно закрепила подход: изолированный параметр (например, только имя или только динамический IP) может не признаваться ПДн. Однако связка данных, позволяющая идентифицировать конкретное физическое лицо, автоматически переводит набор информации в статус ПДн:

• «Имя + Номер телефона» — признается ПДн.

• «Email + IP-адрес» — признается ПДн.

• «User ID в метрической системе + Поведенческий профиль» — признается ПДн.

• «Cookie-идентификатор + Заполненные данные формы» — признается ПДн.

Установка заранее проставленных галочек в чекбоксах согласия квалифицируется регулятором и судами как навязывание условий и отсутствие волеизъявления пользователя. Согласие должно быть конкретным, информированным, сознательным и свободным. Предустановленный чекбокс делает согласие ничтожным, что влечет ответственность по ч. 2 ст. 13.11 КоАП РФ (до 700 тыс. рублей за первое нарушение).

Согласно ч. 1 ст. 15 ФЗ «О персональных данных» и ст. 18 ФЗ «О рекламе», обработка данных для продвижения товаров и услуг допускается только при условии получения отдельного согласия.

• Как делать нельзя: Один чекбокс вида «Согласен с обработкой данных и получением рекламных материалов».

• Как правильно: Два независимых чекбокса. Основной (обработка ПДн для выполнения заявки) и опциональный (маркетинговые рассылки).

Текст согласия или подпись к чекбоксу обязаны содержать прямую гиперссылку на актуальную редакцию Политики конфиденциальности. Если пользователь должен искать документ в подвале сайта вручную, условие информированности считаются нарушенным.

Передача IP-адресов и параметров устройств в сервисы аналитики до момента взаимодействия пользователя с Cookie-баннером является несанкционированным сбором данных. Инспектор фиксирует это через вкладку Network в консоли разработчика браузера до клика по кнопке «Принять».

В случае проверки оператор обязан доказать факт получения согласия от конкретного субъекта. Если база данных сохраняет только финальные лиды без привязки метаданных, доказательная база отсутствует.

• Необходимый набор метрик согласия: IP-адрес, дата и точное время (Timestamp UTC), ID сессии, версия Политики конфиденциальности, текст чекбокса.

Использование иностранных сервисов захвата форм, виджетов обратного звонка или зарубежных CDN, загружающих скрипты с отправкой данных за пределы РФ без прохождения процедур уведомительного характера по трансграничной передаче.

Соблюдение юридических формулировок бесполезно, если инфраструктура сайта допускает утечку или незаконную передачу персональных данных.

Базы данных, содержащие ПДн граждан РФ, должны физически располагаться на территории Российской Федерации. Это касается:

• Основных баз данных (MySQL, PostgreSQL, MongoDB).

• Резервных копий (бэкапов).

• Кеширующих серверов и брокеров сообщений (Redis, RabbitMQ), если через них проходят не обезличенные данные.

• Двухфакторная аутентификация (2FA): Вход в CMS/CRM обязателен только с использованием 2FA (TOTP-приложения, SMS-коды).

• Разграничение ролей (RBAC): Контроль доступа сотрудников к персональным данным по принципу наименьших привилегий.

• Протоколы шифрования: Запрет использования устаревших протоколов TLS 1.0/1.1. Допустимы только TLS 1.2 и TLS 1.3 с криптостойкими шифрами.

• HSTS (HTTP Strict Transport Security): Принудительное заголовочное перенаправление всех соединений на безопасный HTTPS-протокол.

• Защита от XSS (Cross-Site Scripting): Очистка и экранирование всех полей ввода форм для предотвращения внедрения вредоносных скриптов, перехватывающих ПДн из сессий других пользователей.

• Защита от SQL-инъекций: Использование параметризованных запросов и ORM при работе с базой данных сайта.

Оптимизация комплаенса не должна снижать показатели конверсии формы. Применение правильного микрокопирайтинга и интерфейсных решений позволяет сохранить поток лидов.

• Составить реестр веб-форм: формы обратной связи, заказ звонка, регистрация, оформление корзины, подписка на рассылку, чат-боты, формы клика «в 1 клик».

• Проверить сторонние виджеты (CallbackHunter, JivoSite, Marquiz): подписать соглашения об обработке поручений с провайдерами.

• Снять все предустановленные галочки (pre-checked = false).

• Разделить согласия на целевое (обработка заказа) и маркетинговое (рассылка).

• Внедрить информирующий текст под кнопкой действия:

Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с Политикой конфиденциальности.

• Настроить отправку в БД следующих параметров вместе с заявкой:

  • Идентификатор пользователя (User_ID / Hash)

  • IP-адрес на момент клика

  • Timestamp (дата, время, часовой пояс)

  • URL страницы, где была заполнена форма

  • Хэш-сумма текста условий, под которыми подписался пользователь

• Внедрить плашку с выбором категорий cookie (технические, аналитические, маркетинговые).

• Блокировать инициализацию тегов Яндекс Метрики / Google Tag Manager до получения положительного отклика от пользователя.

• Параметр: Длина текста согласия под кнопкой

  • Решение: Сократить до 1 предложения со встроенной ссылкой. Не дублировать весь текст Политики в теле формы.

• Параметр: Количество обязательных полей

  • Решение: Оставить только те данные, без которых невозможно оказать услугу (минимизация сбора по ч. 2 ст. 5 152-ФЗ).

• Параметр: Маркетинговые рассылки

  • Решение: Сделать чекбокс на рассылку не обязательным, но предложить стимул за его срез (например, «Получать спецпредложения и скидки»).

Да, если номер телефона используется вашей системой для идентификации конкретного пользователя (например, отправка SMS-кода, привязка к профилю в CRM или связка с IP-адресом и историей посещений). Судебная практика РКН однозначно трактует номер телефона как данные, позволяющие идентифицировать лицо.

Категорически нет. Это прямое нарушение ч. 1 ст. 15 152-ФЗ и ст. 18 38-ФЗ «О рекламе». Получение согласия на рекламную рассылку должно быть добровольным и оформляться отдельным галочным действием. Принуждение к согласию на рекламу для получения основной услуги влечет штрафы.

Неразмещение документа, определяющего политику оператора в отношении обработки персональных данных, влечет административную ответственность по ч. 3 ст. 13.11 КоАП РФ. Штраф для юридических лиц составляет от 30 000 до 60 000 рублей.

Да. Скрипт Яндекс Метрики собирает технические данные (IP-адрес, данные об устройстве, файлы cookie), которые в совокупности признаются персональными данными. Сбор данных до получения согласия пользователя нарушает ст. 5 и ст. 6 152-ФЗ.

Доказательством служит технический лог (Consent Ledger), зафиксированный на вашем сервере в момент отправки формы. Лог должен содержать IP-адрес пользователя, точный Timestamp, идентификатор сессии, URL страницы и версию документа Политики конфиденциальности, действующую на момент нажатия.