Суть изменений: штрафы за нарушения при сборе данных выросли
В 2026 году компании и ИП, которые собирают данные клиентов через веб-формы, столкнулись с ужесточением контроля и увеличением штрафов. Теперь за формальные нарушения при обработке персональных данных можно получить штраф до 300 000 рублей, а за нарушение требований о локализации — до 6 млн рублей.
Что изменилось и какие риски
Штрафы выросли в разы по сравнению с предыдущими годами. Контролирующие органы теперь чаще проверяют даже малый бизнес. Основные нарушения, за которые назначают штрафы:
- Отсутствие политики конфиденциальности на сайте — до 60 000 рублей.
- Нет отдельного согласия пользователя на обработку данных или рассылку — до 300 000 рублей (ч.1 ст. 13.11 КоАП РФ).
- Автоматически проставленные галочки согласия — до 300 000 рублей.
- Избыточный сбор данных, не соответствующий цели — до 300 000 рублей.
- Нет уведомления о cookie и выбора для пользователя — до 300 000 рублей.
- Нарушение требований о локализации персональных данных — до 6 млн рублей.
Риски касаются не только крупных компаний, но и малого бизнеса, который использует шаблонные формы и документы. Проверки проводятся вне зависимости от размера организации.
Какие данные считаются персональными и как их собирают
Через формы на сайте бизнес обычно собирает: пол, возраст, геолокацию, контакты, историю покупок, информацию о посещённых страницах и времени на сайте. Всё это — персональные данные, и их сбор регулируется законом № 152-ФЗ.
Даже cookie-файлы, которые присваивают уникальный идентификатор и позволяют отслеживать поведение пользователя, считаются персональными данными. Поэтому всплывающее уведомление о cookie с возможностью согласия или отказа — обязательное требование.
Что делать бизнесу: практические шаги
- Разместить на сайте актуальную политику обработки персональных данных, которая отражает реальные бизнес-процессы, а не просто шаблон.
- Под каждой формой добавить отдельные чекбоксы для согласия на обработку данных и на маркетинговые рассылки. Галочки не должны быть проставлены по умолчанию.
- Собирать только те данные, которые необходимы для конкретной цели. Например, для рассылки — только e-mail, без лишних полей.
- Уведомлять пользователя о сборе cookie и давать выбор — принять или отклонить.
- Проверить, что все согласия соответствуют требованиям ч.1 ст.9 № 152-ФЗ: добровольность, информированность, конкретная цель.
- В политике обработки персональных данных для каждой цели указывать: категории и состав данных, способы и сроки обработки, порядок уничтожения информации.
- Соблюдать требования о локализации: хранить персональные данные граждан России на серверах, расположенных в РФ.
Как должна выглядеть политика обработки данных
Содержание политики определено в п.2 ч.1 ст.18.1 152-ФЗ. В документе нужно подробно описать:
- Цели обработки данных.
- Категории и состав персональных данных.
- Категории субъектов (клиенты, подписчики и др.).
- Способы и сроки хранения и обработки.
- Порядок уничтожения данных.
Копировать чужие шаблоны опасно: они не учитывают специфику вашего бизнеса. Документ должен отражать реальные процессы, чтобы избежать претензий при проверке.
Кого касается
Все компании и индивидуальные предприниматели, которые собирают данные пользователей через сайт, попадают под действие закона. Исключений по размеру бизнеса нет. Даже если у вас небольшой сайт с формой обратной связи, вы обязаны соблюдать требования.
Распространённая ошибка: игнорировать закон, считая, что малому бизнесу ничего не грозит. На практике штрафы назначают и небольшим компаниям.
Что грозит за нарушение
- До 60 000 рублей — за отсутствие политики конфиденциальности.
- До 300 000 рублей — за отсутствие согласия, автоматические галочки, избыточный сбор данных, отсутствие уведомления о cookie.
- До 6 млн рублей — за нарушение требований о локализации персональных данных граждан РФ.
Все суммы — по данным КоАП РФ и закону № 152-ФЗ.