Оборотные штрафы за утечки
За утечку персональных данных — от 3 до 15 млн ₽. За повторную — от 1 до 3 % годовой выручки. Отдельный штраф до 3 млн ₽, если об утечке не сообщили регулятору.
Проверяем сайт по 152-ФЗ, 242-ФЗ и закону о рекламе. Показываем, за что могут оштрафовать, и что исправить в первую очередь.
Менеджер свяжется в течение часа в рабочее время. Доступы к сайту для проверки не нужны.
Роскомнадзор перешёл на автоматический мониторинг сайтов в зоне .ru: робот разбирает код страниц, скрипты, формы и документы без выездной проверки. Одновременно за два года выросли и суммы штрафов, и число оснований для них.
За утечку персональных данных — от 3 до 15 млн ₽. За повторную — от 1 до 3 % годовой выручки. Отдельный штраф до 3 млн ₽, если об утечке не сообщили регулятору.
Реклама на ресурсах организаций, признанных экстремистскими, и на заблокированных площадках — до 500 000 ₽ для компании. Ссылка с сайта на такой ресурс попадает под тот же риск.
Если единственный способ авторизации на сайте — Google, Apple ID или другой иностранный сервис, компания получит от 500 000 до 700 000 ₽. Повторно — вдвое больше.
Практических исключений почти не осталось: уведомление об обработке персональных данных подаёт почти любая компания с формой обратной связи. На трансграничную передачу нужно отдельное уведомление — до начала передачи.
Базовый блок аудита проходит каждый сайт независимо от отрасли. Проверяем не только наличие документов, но и то, как это работает на живых страницах и в коде.
Политика конфиденциальности и её актуальность. Согласие на обработку данных отдельным документом. Чекбоксы во всех формах — не предустановленные, с раздельным согласием на рассылку. Соответствие текста политики тому, что сайт собирает на самом деле.
Куда уходят данные с сайта: аналитика, чаты, формы, рассылки, платёжные и почтовые сервисы. Подано ли отдельное уведомление в Роскомнадзор до начала передачи и раскрыта ли передача в политике.
Где физически находятся сервер и база: первичный сбор и хранение данных россиян должны идти на территории РФ. Проверяем хостинг, площадку базы и внешние сервисы, куда данные попадают первыми.
Вход и регистрация через Google, Apple ID и аналогичные сервисы. Есть ли российская альтернатива — телефон, электронная почта, Госуслуги, VK ID, Яндекс ID, Сбер ID. С 7 июля 2026 отсутствие альтернативы наказуемо.
Иконки, ссылки, виджеты и встроенные плееры сервисов Meta (признана экстремистской организацией, деятельность запрещена в РФ), X и других ресурсов, доступ к которым ограничен в России. Смотрим не только подвал, но и карточки товаров, статьи блога, видео и файлы от подрядчиков.
Есть ли баннер, появляется ли он до установки счётчиков, можно ли отказаться и работает ли отказ на самом деле. Какие счётчики и пиксели стоят в коде и раскрыты ли они в политике.
Политика конфиденциальности, согласие на обработку данных, договор-оферта, пользовательское соглашение, лицензии и разрешительные документы — по профилю деятельности. Проверяем доступность со всех страниц и корректность ссылок.
Полное наименование, ИНН, ОГРН, фактический адрес и контакты. Соответствие реквизитов на сайте сведениям в государственном реестре.
К части сайтов закон предъявляет дополнительные требования. Разбираем их отдельно — по профилю вашей деятельности.
Договор-оферта, правила возврата и обмена, сведения о продавце и сроках доставки, работа онлайн-кассы, корректность чеков и данных о товаре.
Раздел «Сведения об образовательной организации» — состав и структура подразделов, доступность с главной страницы без регистрации. Лицензия на образовательную деятельность, версия для слабовидящих, требования к сканам документов.
Лицензии с приложениями, сведения о врачах и их образовании, прейскурант в скачиваемом виде, режим работы и сведения о медицинской организации.
Версия для слабовидящих по ГОСТ, доменные зоны .RU и .РФ, отказ от иностранного программного обеспечения на сайте — аналитики, шрифтов и внешних библиотек с зарубежных доменов.
Доступность сайта и ключевых функций при включённом VPN и с российского адреса. Работа входа, оплаты, чатов и защиты от роботов, если часть сервисов подгружается из-за рубежа.
Требования к сведениям для реестра отечественного программного обеспечения: коды ОКВЭД, описание продукта, стоимость и порядок приобретения, документация.
Суммы — из действующей редакции Кодекса об административных правонарушениях, для юридических лиц. Штрафы суммируются: одно нарушение обычно тянет за собой несколько составов.
| Нарушение | Норма | Штраф для компании |
|---|---|---|
| Обработка персональных данных без согласия | ч. 2 ст. 13.11 | 300 – 700 тыс ₽ |
| То же повторно | ч. 2.1 ст. 13.11 | 1 – 1,5 млн ₽ |
| Обработка с нарушением требований закона | ч. 1 ст. 13.11 | 150 – 300 тыс ₽ |
| Не подано уведомление в Роскомнадзор | ч. 10 ст. 13.11 | 100 – 300 тыс ₽ |
| Нарушение локализации баз данных | ч. 8 ст. 13.11 | 1 – 6 млн ₽ |
| То же повторно | ч. 9 ст. 13.11 | 6 – 18 млн ₽ |
| Утечка персональных данных | ч. 12–14 ст. 13.11 | 3 – 15 млн ₽ |
| Повторная утечка | ч. 15 ст. 13.11 | 1–3 % выручки |
| Нет российской альтернативы при входе на сайт | ст. 13.55, с 07.07.2026 | 500 – 700 тыс ₽ |
| Реклама на заблокированных ресурсах | ч. 1 ст. 14.3 | 100 – 500 тыс ₽ |
| Символика запрещённой организации на сайте | ч. 1 ст. 20.3 | 10 – 50 тыс ₽ |
Отвечает владелец сайта, а не подрядчик. В декабре 2025 года суд оштрафовал образовательную организацию за логотип запрещённого сервиса, который подрядчик случайно оставил в видеоролике на несколько секунд. Довод «это сделал разработчик» суд не принял.
Четыре шага от заявки до плана работ. Аудит ни к чему не обязывает.
Менеджер связывается в течение часа в рабочее время. Уточняем профиль деятельности, какие формы и сервисы есть на сайте, где хостинг.
Автоматическое сканирование кода, скриптов и внешних запросов плюс ручная проверка документов, форм и страниц. Смотрим то же, что видит робот регулятора.
Перечень несоответствий с приоритетами: что критично, что желательно, что можно отложить. По каждому пункту — норма закона и что именно нужно изменить.
Оценка работ в часах по каждому пункту. Вы решаете, что делать своими силами, а что передать нам.
Отчёт составлен так, чтобы его понял ваш разработчик и принял ваш руководитель.
Проверка соответствия 152-ФЗ и закону о рекламе входит у нас в каждый тариф технической поддержки — это регламентная работа, а не разовая услуга. Мы делаем её на 60–70 проектах каждый месяц и видим, к чему на практике придирается регулятор, а к чему нет.
Юридическую безопасность сайта в базовом пакете поддержки на рынке предлагают единицы. Обычно техническую поддержку и приведение сайта в соответствие закону приходится покупать у разных подрядчиков.
Среди клиентов также — крупные госкомпании, ведущие вузы, ритейл и авиаперевозчики.
Законодательство меняется по несколько раз в год: за последние два года появились оборотные штрафы за утечки, запрет рекламы на заблокированных ресурсах и штраф за вход через иностранные сервисы. Чтобы сайт оставался в соответствии, проверку нужно повторять.
На абонентской поддержке Echo это регламентная работа: проверка 152-ФЗ, аудит закона о рекламе и проверка авторских прав на изображения входят во все тарифы и не списываются из часов разработчика. Плюс мониторинг доступности 24/7, ежедневные резервные копии, сканер уязвимостей и контроль продления домена, хостинга и SSL.
Оставьте телефон или почту. Менеджер свяжется в течение часа в рабочее время, уточнит адрес сайта и профиль деятельности и запустит проверку. Отчёт — за 2–3 дня, бесплатно.
