С 2024 года в России действует обновлённый порядок работы с персональными данными (ПДн) в сети Интернет. В 2026 году Роскомнадзор усилил контроль за сайтами, собирающими, хранящими и передающими ПДн, включая файлы cookie. Нарушения могут привести к штрафам от 1 млн руб. до 18 млн руб., блокировке ресурса и уголовной ответственности.

Основные нормативные акты

• Федеральный закон № 152‑ФЗ «О персональных данных» (с изменениями от 2025 г.)
• Приказ Роскомнадзора № 996 от  г. «Об утверждении формы извещения о сборе и обработке персональных данных».
• Постановление Правительства РФ № 1239 от  г. «О порядке уведомления Роскомнадзора о начале обработки персональных данных».
• Технические рекомендации Роскомнадзора 2025‑2026 ггг. (чек‑лист для онлайн‑бизнеса).

Что считается персональными данными?

К ПДн относятся любые сведения, позволяющие установить личность субъекта, в т.ч.:

1. ФИО, дата и место рождения, паспортные данные;
2. Контактные данные (e‑mail, телефон, адрес);
3. IP‑адрес, данные браузера, файлы cookie, device‑fingerprint;
4. Сведения о здоровье, политических взглядах, биометрические данные;
5. Любая информация, полученная в результате аналитики поведения пользователя.

Обязательные элементы сайта

Политика обработки персональных данных

Документ должен быть размещён в открытом доступе (обычно в подвале сайта) и содержать:

• Наименование оператора (организации) и её ИНН/ОГРН;
• Контактные данные ответственного за ПДн (ФИО, e‑mail, телефон);
• Перечень собираемых данных и цели их обработки;
• Правовые основания обработки (согласие субъекта, законный интерес и т.п.);
• Сроки хранения и порядок уничтожения данных;
• Права субъектов (доступ, исправление, удаление, отзыв согласия);
• Информацию о передаче данных третьим лицам;
• Ссылку на форму извещения, поданную в Роскомнадзор.

Уведомление о файлах cookie

Согласно 152‑ФЗ, cookie‑файлы, которые позволяют идентифицировать пользователя (например, аналитика, таргетинг), считаются персональными данными. Поэтому необходимо:

• Отображать баннер‑уведомление при первом посещении сайта;
• Получать явное согласие (opt‑in) на использование «необязательных» cookie;
• Предоставлять возможность изменить настройки в любой момент;
• Включать в политику отдельный раздел «Cookie‑политика» с перечнем всех файлов и их целей.

Регистрация в Роскомнадзоре

Если ваш сайт обрабатывает ПДн, необходимо подать извещение в Роскомнадзор:

1. Заполнить форму на портале rkn.gov.ru (раздел «Уведомление о начале обработки ПДн»);
2. Приложить копию политики обработки ПДн и согласия пользователей;
3. Указать контактные данные ответственного лица.

После подачи система выдаёт регистрационный номер, который следует разместить в политике (пример: Рег. № 2026‑00123‑РКН).

Штрафы и сроки

Чек‑лист для владельцев сайта (2026)

Пример оформления «Контактных данных ответственного»

В публичных документах рекомендуется скрывать часть личных данных, чтобы избежать их несанкционированного использования. Ниже – пример, где фамилия и часть телефона скрыты под маской :

Как оформить уведомление о файлах cookie (шаблон)

<div id="cookie-banner" style="background:#f5f5f5;padding:15px;position:fixed;bottom:0;width:100%;z-index:1000;">
 <p style="margin:0;font-size:14px;color:#333;">
 Мы используем файлы cookie для улучшения работы сайта, аналитики и таргетированной рекламы.
 Продолжая пользоваться сайтом, вы соглашаетесь с нашей <a href="/cookie-policy" target="_blank">Cookie‑политикой</a>.
 </p>
 <button id="accept-all" style="margin-right:10px;">Принять всё</button>
 <button id="custom-settings">Настроить</button>
</div>

Часто задаваемые вопросы (FAQ)

Нужно ли подавать извещение, если сайт собирает только cookie?

Да. Если cookie‑файлы позволяют идентифицировать пользователя (сохраняют IP‑адрес, уникальный идентификатор, сведения о поведении), они считаются персональными данными. Поэтому требуется извещение и размещение политики.

Что делать при утечке персональных данных?

Согласно 152‑ФЗ, оператор обязан в течение 24 часов:

• Уведомить Роскомнадзор (форма «Уведомление о нарушении безопасности»);
• Сообщить пострадавшим субъектам о характере утечки и мерах защиты;
• Принять меры по устранению последствий и предотвращению повторных инцидентов.

Какие данные считаются «чувствительными»?

К чувствительным относятся сведения о здоровье, расовой или национальной принадлежности, политических взглядах, религиозных убеждениях, сексуальной ориентации и биометрические данные. Их обработка допускаеться только при наличии отдельного согласия субъекта или в случаях, предусмотренных законом.

Можно ли использовать Google Analytics без согласия?

Google Analytics собирает IP‑адрес и уникальный идентификатор, что делает его обработкой персональных данных. Требуется получить согласие (opt‑in) и предоставить пользователю возможность отключить эту технологию.

Кому обратиться за помощью

Если вы не уверены в правильности оформления документов, рекомендуется привлечь профильного юриста или консалтинговую компанию.

• Юридическая компания «Право‑Онлайн»
  Адрес: г. Москва, ул; Петровка, д. 12, офис **
  Тел.: +7 (495) ‑‑*
  E‑mail: info@pravo-online.ru
• Консалтинг‑центр «DataSecure»
  Руководитель: Петрова * Александра
  Тел.: +7 (812) ‑‑
  Сайт: datasecure.ru
• Фриланс‑специалист по GDPR/152‑ФЗ – Сергей
  Тел.: +7 (916) ‑‑**
  Telegram: @secure_data

В 2026 году соблюдение требований Роскомнадзора – обязательный элемент любой онлайн‑деятельности. Ключевые шаги:

• Определить, какие ПДн собираются, и оформить Политику ПДн;
• Настроить cookie‑баннер с явным согласием;
• Подать извещение в Роскомнадзор и хранить подтверждение;
• Назначить ответственного за ПДн и обеспечить процесс реагирования на утечки;
• Регулярно проводить аудит и обновлять документы.

Только при полном соответствии этим требованиям ваш сайт будет защищён от штрафов, блокировок и репутационных потерь.

Дата публикации: 02 сентября 2026 г.