Сайт вне закона: сколько стоит несоблюдение требований 2027 года и где штрафы выше

Декабрь 2025 года, Арбитражный суд Москвы: компании выписали 50 000 руб. за сайт, на котором стояли формы обратной связи и счетчики аналитики. Формы собирали имя, почту и телефон, Метрика с Google Analytics записывали cookie-файлы, а уведомление об обработке персональных данных в Роскомнадзор никто не подавал. Нарушение устранили до заседания, сослались на малозначительность — суд доводы отклонил. Позже выяснится, что и эта сумма была урезана вдвое льготой для малого бизнеса.

Это не история про банк с базой на миллион клиентов. Обычный сайт с обычными формами. Ниже — карта действующих норм 2026–2027 годов: что требует каждая, с какой даты работает и во сколько обходится нарушение.

Почему требования догоняют сайты задним числом

Почти все правила для сайтов появились после того, как эти сайты заработали. Локализация данных, отдельное согласие, русификация каталога, ссылки на сертификаты — каждая новая норма превращает часть привычных страниц в нарушение, и владелец узнает об этом из письма регулятора. Проверяет не человек: ИИ-сканер Роскомнадзора автоматически прогоняет сайты из реестра операторов ежемесячно, остальные — ежеквартально, без предупреждения и без жалоб.

Сводно по действующим нормам:

• 152-ФЗ — политика, согласие, уведомление РКН, локализация; действует, ужесточения 2024–2025; штрафы 150 000–15 000 000 руб.
• 168-ФЗ — информация для потребителей на русском; с 01.03.2026; 5 000–10 000 руб. за каждый факт
• Маркировка рекламы — пометка, рекламодатель с ИНН, erid, передача в ОРД; с 2023; 200 000–500 000 руб. за креатив
• 546-ФЗ — ссылка на запись реестра в карточках; с 01.09.2026, штрафы с 01.10.2026; 30 000–70 000 руб., повторно 70 000–200 000
• 199-ФЗ — авторизация через российские сервисы, информирование о рекомендательных алгоритмах; с 07.07.2026; 500 000–700 000 руб., повторно до 1 400 000
• ГОСТ Р 52872-2019 — доступность: alt-тексты, контраст, клавиатура; с 01.03.2026; штрафа нет
• Приказ Минцифры № 511 — для аккредитованных ИТ: русский язык, цены без по запросу; риск потерять льготу по налогу на прибыль

Персональные данные: самый дорогой блок требований

Распространенная иллюзия: нет базы клиентов — нет обязанностей оператора. Юридически оператором делает любой сбор данных на сайте. Форма заказа звонка, подписка, и счетчики: Метрика и Google Analytics пишут cookie-файлы и IP-адреса, а это тоже персональные данные. Google Analytics к тому же по умолчанию отправляет статистику на зарубежные серверы — при требовании хранить данные россиян в России это отдельный состав нарушения.

Обязательный минимум по блоку:

• уведомление Роскомнадзора — до начала обработки, через кабинет РКН с УКЭП или Госуслуги, бесплатно; реестр обновляют до 30 дней; именно за отсутствие уведомления оштрафовали компанию из кейса
• политика обработки данных — какие данные, зачем, где хранятся, как отозвать; документ 2019 года, не менявшийся с запуска, не соответствует текущим правилам
• отдельное согласие — с 01.09.2025 самостоятельный документ; чекбокс оставляйте пустым, заранее проставленная галочка делает согласие недействительным
• cookie-баннер со ссылкой на политику
• локализация — данные россиян на серверах в России, с 01.07.2025

Шкала штрафов: 300 000–700 000 руб. за политику и согласие, 150 000–300 000 за неуведомление РКН, 1–3 млн за хостинг данных за рубежом — сервисы без локализации Роскомнадзор блокирует. Утечка при повторном нарушении — до 15 млн или 3% выручки. Ответствуют и должностные лица: в судебной статистике 2025 года они ответчики в 26% дел.

Три точки, где блок ломается чаще всего: Метрика стоит, уведомления нет. Галка проставлена заранее. В политике перечислена половина фактически собираемых данных. Закрыть блок по разделам сайта помогает чеклист по 152-ФЗ.

Русификация: маленький штраф с большим множителем

С 1 марта 2026 действует 168-ФЗ: вся информация для потребителей — на русском. Англицизм допустим, когда рядом стоит равнозначный русский вариант тем же шрифтом, размером и цветом: пара Sale и Распродажа проходит, одиночное Sale в шапке каталога — нет. Словари правительства, утвержденные распоряжением № 1102-р, разрешают без перевода слова браузер, хостинг, домен, интерфейс, драйвер, нейросеть, смартфон. Товарные знаки, названия из ЕГРЮЛ и домены в зоне .RU исключены. Слова digital в списках нет — заменяйте на цифровой. Программный код, документация API и переписка компаний между собой вне зоны закона.

Штраф по ст. 14.8 ч. 1 — 5 000–10 000 руб. для юрлица, но за каждый факт. Каталог из 500 карточек с New collection в теоретическом максимуме статьи — около 5 млн руб. Проверка часовая: поиск латиницы по шаблонам каталога.

Маркировка рекламы: норма, которая реально применяется

С 2023 года оплачиваемая публикация — реклама со всеми атрибутами: пометка, рекламодатель с ИНН, токен erid, передача данных оператору рекламных данных и в ЕРИР. Штраф по ч. 16 ст. 14.3 — 200 000–500 000 руб. для юрлица за каждый креатив, плюс налоговая не принимает расходы на немаркированную рекламу при расчете налога на прибыль.

Статистика Роскомнадзора за десять месяцев 2024 года: 228 постановлений за рекламу без идентификатора на 16,7 млн руб. и еще 147 постановлений за непередачу или недостоверные данные в ЕРИР на 7,3 млн руб. Типичные ловушки: забытые баннеры прошлых лет, лендинги с UTM-метками, позиция это не реклама, это обзор партнера — при оплаченном по документам обзоре.

Авторизация и алгоритмы: новая норма лета 2026

Федеральный закон № 199-ФЗ от 26.06.2026 добавил в КоАП новые составы, работающие с 7 июля 2026. Первое — авторизация: вход на сайт по российскому номеру телефона, через Госуслуги, единую биометрическую систему или сервис, принадлежащий гражданину РФ либо российскому юрлицу. Зарубежные варианты запрещены, включая иностранную почту — кнопка Войти через Google уже нарушение. Второе — рекомендательные технологии: если алгоритм подбирает пользователям контент или товары, владелец обязан не ущемлять права пользователей, сообщать им о работе алгоритмов и разместить правила использования технологий.

Штрафы для организаций: 500 000–700 000 руб. за первое нарушение, 1–1,4 млн за повторное. Должностным лицам — 30 000–50 000 и 60 000–100 000 руб. Практический чек: пройти по всем формам входа, убрать зарубежные кнопки, к блокам рекомендаций и персональным подборкам добавить информирование и правила.

Сертификаты в карточках: технически самая сложная норма

С 1 сентября 2026 работает 546-ФЗ: в карточках товаров, подлежащих обязательной сертификации, нужна ссылка на сертификат — на конкретную запись в реестре на pub.fsa.gov.ru. Не PDF-скан, не номер без ссылки, не главная страница реестра. С 1 октября за нарушение штрафуют. Ответственность разделена: продавец размещает ссылку, агрегатор обеспечивает техническую возможность.

Перечень товаров — постановление Правительства № 2425 плюс технические регламенты ЕАЭС. Штрафы по ст. 14.7: 30 000–70 000 руб. юрлицу, повторно 70 000–200 000, за каждый товар без ссылки. Проблема исполнения в масштабе: в каталоге на 10 000 позиций ссылки проставляются массово — через свойства товаров, включаемые области, обмен с 1С. Вручную такой объем не проходит. Сверить каталог с перечнем можно через шаблон учета сертификатов: таблица, где на каждый товар фиксируется запись реестра.

Доступность и льготы по налогу на прибыль

ГОСТ Р 52872-2019 с 1 марта 2019 года требует универсальный дизайн вместо отдельной версии для слабовидящих. Практически это alt-тексты у картинок, контраст текста и фона минимум 4,5:1, навигация с клавиатуры, масштабирование до 200% без горизонтальной прокрутки. Штрафа нет, но требование действует. Для аккредитованных ИТ-компаний работает и приказ Минцифры № 511: описания продуктов на русском, цены на сайте без формулировки по запросу. Несоответствие ставит под удар льготу по налогу на прибыль 0–3%, которую дает аккредитация.

Что находят в аудитах: кнопка версии для слабовидящих ведет на сломанный шаблон, картинки без alt, серый текст на светло-сером фоне.

Судебная практика: цифры, которые снимают иллюзии

Разбор 46 решений арбитражных судов по персональным данным за 2025 год: по существу рассмотрено 26 дел, в 85% случаев компании привлечены к ответственности. Реальные штрафы — в 41% дел, средний 66 667 руб. при вилке 30 000–150 000.

Паттерн из того же разбора: первое нарушение без вреда, исправленное до суда и признанное, в 79% случаев заканчивается предупреждением. Звучит мягко, но предупреждение фиксируется — повторное нарушение всегда заканчивается штрафом.

Под санкции попадают обычные сайты: за формы, баннеры и карточки. Кейс из лида — тому подтверждение: 50 000 руб. со скидкой за формы и счетчики без уведомления.

Четыре подводных камня

• У нас нет базы клиентов. Оператором делает cookie Метрики, IP-адреса в логах, заявки из форм. В судебном кейсе не было ни рассылок, ни личного кабинета
• Сайт делал подрядчик. Отвечает владелец: подрядчик исчез, политика от старого шаблона, чекбокса нет — проблема владельца в суде
• Предупреждение как страховка. Первое нарушение со смягчающими часто дает предупреждение, но любое повторное превращается в штраф без обсуждения
• Штраф один на сайт. Составы суммируются по фактам: каждая карточка без ссылки, каждый баннер без erid, каждая форма без согласия — отдельный состав. 500 страниц с системной ошибкой — сотни составов

Приоритеты проверки: девять шагов

Логика приоритезации — дешево исправить, дорого получить:

• уведомление Роскомнадзора — быстрый риск и быстрое исправление, если не подавали
• политика и согласие — актуализация под фактический сбор, убрать заранее проставленные галки
• cookie-баннер со ссылкой на политику
• кнопки входа — убрать зарубежную авторизацию
• домен — идентификация администратора на Госуслугах после 1 сентября
• маркировка рекламы — все баннеры и партнерские материалы, включая старые
• сертификаты — массовая проверка каталога на товары из перечня № 2425
• русский язык — поиск латиницы по шаблонам
• alt-тексты и контраст — базовая доступность

Периодичность — раз в квартал, это вечер работы против месяцев разбирательства с ведомством.

Что меняется дальше

Идентификация доменов: с 1 сентября 2026 по закону № 569-ФЗ для регистрации и продления доменов в зонах .RU, .РФ и .SU обязательна идентификация администратора через Госуслуги. Без нее домен не продлить — проходите заранее.

Маркировка ИИ-контента: закон о поддержке технологий ИИ подписан в июле 2026, обязательной пометки для авторов не вводит. С 1 марта 2027 соцсети с аудиторией от 500 000 пользователей в сутки и разработчики моделей обязаны дать пользователям инструмент маркировки — пометку о создании с помощью ИИ или скрытый водяной знак. В августе 2026 в Госдуму внесли законопроект об обязательной маркировке, он не принят. Обычные сайты норма не затрагивает, но направление задано.

Частые вопросы

Сайт без форм и базы клиентов попадает под 152-ФЗ?

Да, если стоят счетчики аналитики: cookie-файлы и IP-адреса — персональные данные, их обработка требует уведомления и политики.

Можно оставить английские названия категорий?

Только с равнозначным русским вариантом рядом — тем же шрифтом и размером. Слова из словаря распоряжения № 1102-р и товарные знаки исключение.

Какой штраф грозит за кнопку входа через Google?

По 199-ФЗ — 500 000–700 000 руб. организации при первом нарушении и до 1,4 млн при повторном.

Обязательно ли ссылаться на реестр сертификатов именно ссылкой?

Да: PDF-скан, номер без ссылки и адрес главной страницы реестра не проходят — нужна ссылка на конкретную запись на pub.fsa.gov.ru.

Кто отвечает, если сайт делал подрядчик?

Владелец сайта: нарушение фиксируется на операторе, а оператор — тот, кому принадлежит сайт и кто извлекает из данных выгоду.

Итог: соответствие законам стало регулярной работой — как обновления и резервные копии. Разовая доработка перед проверкой не работает, потому что нормы приходят волнами и каждая волна делает часть сайта нелегальной.