Требования к сайту в 2027 году: какие законы действуют и за что штрафуют

Меня зовут Дмитрий, руководитель отдела рекламы и продвижения в Аспро. Мы запускаем интернет-магазины и развиваем систему управления бизнесом Аспро.Cloud.

Я продвигаю сайты клиентов. Перед каждым проектом провожу аудит: смотрю техническую часть, контент и документы. И регулярно вижу одну и ту же картину. Политика конфиденциальности осталась с 2019 года и с тех пор не обновлялась, галка согласия в форме стоит заранее, в каталоге «Sale» и «New» без перевода. Владелец узнает об этом, когда мы уже подняли семантику и готовим техзадание.

В декабре 2025 года Арбитражный суд Москвы оштрафовал компанию на 50 000 руб. На сайте компании стояли формы обратной связи и счетчики аналитики. Формы собирали имя, почту и телефон, Яндекс Метрика и Google Analytics записывали cookie-файлы. Уведомление в Роскомнадзор об обработке персональных данных компания не подавала. До суда компания устранила нарушение и сослалась на малозначительность, но суд отклонил эти доводы. Обычный сайт с обычными формами, и такое штрафуют уже сейчас.

Почти все законы для сайта пришли после его запуска: локализация, отдельное согласие, русский язык, ссылки на сертификаты в карточках. Каждая новая норма превращает часть привычного сайта в нарушение, и владелец узнает об этом из письма регулятора. Я маркетолог, а не юрист. Поэтому разберу требования с позиции практики аудитов: что требует каждая норма, с какой даты работает, какой штраф положен и где чаще всего ломается.

Карта требований к сайту в 2027 году

Дальше — по каждой норме.

Персональные данные и уведомление Роскомнадзора

Распространенное убеждение: раз на сайте нет базы клиентов, компания не оператор персональных данных. Юридически все наоборот: оператором делает любой сбор персональных данных на сайте. Форма «Заказать звонок», подписка на рассылку и даже счетчики — Метрика и Google Analytics записывают cookie-файлы и IP-адреса, а это тоже персональные данные.

Что должно быть на сайте:

• Уведомление в Роскомнадзор об обработке персональных данных. Подают до начала обработки — через личный кабинет РКН с УКЭП или через Госуслуги, бесплатно. Реестр операторов обновляют в течение 30 дней. Компания из кейса выше получила штраф именно за него.

• Политика конфиденциальности. По закону это политика обработки персональных данных: какие данные собираете, зачем, где храните, как пользователь может их отозвать. Политика 2019 года, которая не менялась с запуска сайта, под текущие требования не подходит.

• Отдельное согласие на обработку персональных данных. С 1 сентября 2025 года это самостоятельный документ, а не пункт внутри политики. Чекбокс под формой оставляйте пустым: если галка стоит заранее, согласие недействительно.

• Cookie-баннер со ссылкой на политику.

• Локализация: данные россиян храните на серверах в России, норма работает с 1 июля 2025 года.

Шкала штрафов за персональные данные: 300 000–700 000 руб. за политику и согласие, 150 000–300 000 руб. за неуведомление РКН, 1–3 млн руб. за хостинг данных за рубежом — сервисы, которые не выполняют локализацию, Роскомнадзор блокирует. Штраф за утечку персональных данных при повторном нарушении — до 15 млн руб. или 3% выручки. Ответственность за персональные данные несут и компании, и должностные лица: в судебной статистике 2025 года должностные лица — ответчики в 26% дел.

Роскомнадзор проверяет сайты автоматически: ИИ-сканер прогоняет сайты из реестра операторов персональных данных ежемесячно, остальные — ежеквартально. Без предупреждения и без чьей-то жалобы.

Отдельно про Google Analytics. Сервис по умолчанию отправляет данные на зарубежные серверы, а локализация требует хранить их в России. Штраф за хостинг персональных данных за пределами РФ — 1–3 млн руб., и статистика счетчика попадает под это вместе с остальными данными. В судебном кейсе на сайте стояли обе системы: и Метрика, и GA.

Если проверять нечего и непонятно, с чего начать — у нас есть чеклист по 152-ФЗ. В нем все пункты по разделам сайта: политика, согласие, cookie-баннер, уведомление, локализация.

Русский язык на сайте

С 1 марта 2026 года работает 168-ФЗ, который часто называют законом о русификации: вся информация для потребителей — на русском. Англицизм оставляйте, когда рядом стоит равнозначный русский вариант — тот же шрифт, тот же размер, тот же цвет. «Sale | Распродажа» — можно. Одна надпись «Sale» в шапке каталога — нельзя.

Полный перевод не нужен словам из правительственных словарей. Список утвержден распоряжением № 1102-р: браузер, хостинг, домен, интерфейс, драйвер, нейросеть, смартфон. Отдельные исключения — товарные знаки, названия компаний из ЕГРЮЛ и домены в зоне .RU. Слова digital в этих списках нет — пишите «цифровой».

Закон не трогает программный код, документацию API и переписку компаний между собой. Он про то, что видит покупатель: каталог, кнопки, категории, карточки.

Штраф по ст. 14.8 ч. 1 КоАП выглядит безобидно: 5 000–10 000 руб. для юрлица. Но он начисляется за каждый факт, а фактов в каталоге сотни. Помножьте 500 карточек с «New collection» на максимум статьи — теоретический потолок выходит около 5 млн руб. Проверка занимает час: откройте шаблоны каталога и поиском найдите латиницу.

Маркировка рекламы на сайте

Обязательная маркировка рекламы в интернете действует с 2023 года. Партнерская статья, баннер, обзор со ссылкой с UTM-меткой — если публикацию оплатили, это реклама. Ей нужны три обязательных элемента: пометка «Реклама», рекламодатель с ИНН и токен erid, плюс передача данных оператору рекламных данных и в ЕРИР.

Штраф за рекламу без маркировки по ч. 16 ст. 14.3 КоАП — 200 000–500 000 руб. для юрлица за каждый креатив. Добавка от налоговой: расходы на немаркированную рекламу не учитывают при расчете налога на прибыль.

Норма рабочая. По данным Роскомнадзора, за десять месяцев 2024 года вынесли 228 постановлений за рекламу без идентификатора на сумму 16,7 млн руб. и еще 147 постановлений за непередачу или недостоверные данные в ЕРИР на 7,3 млн руб.

Типичные ловушки: баннеры прошлых лет, о которых все забыли. Лендинги с UTM-метками. Позиция «это не реклама, это обзор партнера», когда по документам за обзор заплатили.

Вход через Google и рекомендательные технологии

Свежая норма лета 2026 года, которую большинство владельцев сайтов еще не заметило. Федеральный закон № 199-ФЗ от 26.06.2026 дополнил КоАП новыми штрафами, и работают они с 7 июля 2026 года.

Первое — авторизация. Вход на сайт по российскому номеру телефона, через Госуслуги, единую биометрическую систему или систему, которая принадлежит гражданину РФ либо российскому юрлицу. Зарубежные сервисы под запретом. Если на сайте до сих пор стоит кнопка «Войти через Google» — это уже нарушение.

Второе — рекомендательные технологии. Если сайт подбирает пользователям контент или товары алгоритмом, он работает как рекомендательный сервис, и у владельца три обязанности: не ущемлять права пользователей, сообщать им о работе алгоритмов и размещать правила использования этих технологий.

Штрафы для организаций: 500 000–700 000 руб. за первое нарушение и 1–1,4 млн руб. за повторное. Для должностных лиц — 30 000–50 000 руб. и 60 000–100 000 руб.

Что проверить: пройдите по всем формам входа на сайте и уберите зарубежные кнопки. Если есть блоки «рекомендуем вам» или персональные подборки — добавьте информирование и правила работы алгоритмов.

Сертификаты в карточках товаров

С 1 сентября 2026 года работает 546-ФЗ: в карточках товаров, которые подлежат обязательной сертификации, размещайте ссылку на сертификат соответствия — на конкретную запись в реестре сертификатов соответствия на pub.fsa.gov.ru. С 1 октября 2026 года за нарушение начали штрафовать.

Формат, на котором сыплются даже аккуратные магазины:

• нужна ссылка на запись в реестре — не PDF-скан, не номер без ссылки и не ссылка на главную страницу реестра;

• ответственность разделена: продавец размещает ссылку, агрегатор обеспечивает техническую возможность.

Перечень товаров, которым нужен сертификат соответствия, — постановление Правительства № 2425 плюс технические регламенты ЕАЭС. Штрафы по ст. 14.7 КоАП: 30 000–70 000 руб. юрлицу, повторно 70 000–200 000 руб. — за каждый товар без ссылки.

Сложнее всего выполнить требование технически. В каталоге на 10 000 позиций ссылки проставляйте массово: через свойства товаров, включаемые области, обмен с 1С. Вручную, позиция за позицией, такой объем не проходит. В наших решениях это работает из коробки, но и на других платформах решайте вопрос именно механизмом каталога.

Чтобы сверить каталог с перечнем, пригодится наш шаблон учета сертификатов по 546-ФЗ — таблица, где на каждый товар фиксируется запись реестра.

Доступность сайта и версия для слабовидящих

С 1 марта 2026 года действует ГОСТ Р 52872-2019: он требует универсальный дизайн вместо отдельной «версии для слабовидящих». Практически это четыре вещи:

• alt-тексты у картинок;

• контраст текста и фона минимум 4,5:1;

• навигация с клавиатуры, без мыши;

• масштабирование до 200% без горизонтальной прокрутки.

Для аккредитованных ИТ-компаний действует еще приказ Минцифры № 511: описания продуктов на русском языке, цены на сайте без формулировки «по запросу». Штрафа тут нет, но аккредитация дает льготу по налогу на прибыль 0–3%. Несоответствие приказу — риск для нее.

Что чаще всего вижу в аудитах: кнопка «версия для слабовидящих» ведет на сломанный шаблон. Картинки в карточках без alt. Серый текст на светло-сером фоне.

За что уже штрафуют

По открытому разбору 46 решений арбитражных судов по персональным данным за 2025 год: суды рассмотрели по существу 26 таких дел и в 85% случаев привлекли компании к ответственности. В 41% дел назначили реальные штрафы, средний — 66 667 руб. при вилке от 30 000 до 150 000 руб.

Если нарушение первое, вреда нет, все исправили до суда и признали, в 79% случаев компания получает предупреждение вместо штрафа. Звучит обнадеживающе, пока не дочитаете: повторное нарушение всегда заканчивается штрафом.

Судебная практика 2025 года показывает: под штрафы попадают обычные сайты — за формы, баннеры и карточки.

Подводные камни

Четыре места, где ломаются даже те, кто прочитал закон.

«У нас нет базы клиентов — мы не оператор». Есть: cookie-файлы Метрики, IP-адреса в логах, заявки из форм. В судебном кейсе из лида не было ни рассылок, ни личного кабинета — только формы и счетчики.

«Сайт делал подрядчик — пусть он и отвечает». Отвечает владелец сайта. Подрядчик давно исчез, политика осталась от старого шаблона, чекбокса нет — и в суде это проблема владельца, а не подрядчика.

Предупреждение как ложное чувство безопасности. Первое нарушение со смягчающими обстоятельствами часто заканчивается предупреждением. Оно фиксируется, и любое повторное превращается в штраф без обсуждения.

Штрафы суммируются по фактам. Каждая карточка без ссылки на сертификат, каждый баннер без erid, каждая форма без согласия — отдельный состав. Сайт на 500 страниц с системной ошибкой — это сотни составов, а не один штраф.

С чего начать проверку

Как проверить свой сайт и не утонуть в пунктах? Расставьте приоритеты по принципу «дешево исправить — дорого получить»:

1. Уведомление Роскомнадзора — если не подавали, это самый быстрый риск и самое быстрое исправление.

2. Политика и согласие — актуализируйте под фактический сбор данных, уберите галки из форм, которые стоят заранее.

3. Cookie-баннер со ссылкой на политику.

4. Кнопки входа — уберите зарубежную авторизацию, если она еще работает.

5. Домен — пройдите идентификацию администратора на Госуслугах, если не делали этого после 1 сентября.

6. Маркировка рекламы — пройдите по всем баннерам и партнерским материалам, включая старые.

7. Сертификаты в карточках — массовая проверка каталога на товары из перечня № 2425.

8. Русский язык — поиск латиницы по шаблонам каталога.

9. Alt-тексты и контраст — базовая доступность.

Проверяйте сайт раз в квартал: это вечер работы. Разбирательство с РКН занимает месяцы.

Что меняется дальше

Идентификация доменов через Госуслуги. Уже действует с 1 сентября 2026 года по закону № 569-ФЗ. Для операций с доменами в зонах .RU, .РФ и .SU — регистрации и продления домена — обязательна идентификация администратора через портал Госуслуг. Если домен оформлен на компанию и идентификацию никто не проходил, пройдите заранее: без нее домен не продлить.

Маркировка контента, созданного ИИ. В июле 2026 года подписан закон о поддержке развития технологий ИИ. Обязательной маркировки для авторов он не вводит, но с 1 марта 2027 года соцсети с аудиторией от 500 000 пользователей в сутки и разработчики моделей обязаны дать пользователям инструмент маркировки: пометка «Создано с помощью ИИ» или скрытый водяной знак. В августе 2026 года в Госдуму внесли законопроект об обязательной маркировке — его еще не приняли. Обычные сайты закон не затрагивает, но направление задано: если публикуете сгенерированные нейросетью тексты и изображения, готовьтесь их помечать.

Что в итоге

Сайты нарушают закон по одной причине: требования пришли после их запуска. Локализация, согласие, русский язык, сертификаты — каждая волна норм делает часть привычного сайта нелегальной, и правила будут меняться дальше. Поэтому соответствие законам стало регулярной работой, такой же, как обновления и бэкапы, а не разовой доработкой перед проверкой.

А у вас был опыт общения с РКН или ФАС по сайту — предупреждение, предписание, штраф? Интересно, какие требования на практике оказываются самыми болезненными.