1 июля 2026 года вступает в силу очередной блок поправок в Федеральный закон № 152-ФЗ «О персональных данных». Это не просто «очередные изменения» — это новый этап регулирования, который эксперты уже называют «тотальным контролем за операторами».
Рассказываем, что именно меняется и какие элементы вашего сайта нужно проверить в первую очередь, чтобы не попасть под штрафы.
Что изменится с 1 июля 2026
1. Обязательная сертификация программного обеспечения
С 1 июля 2026 года любое ПО, используемое для обработки персональных данных, должно иметь сертификат соответствия требованиям ФСТЭК или ФСБ. Это касается не только специализированных DLP-систем, но и обычных CRM, биллинговых систем, бухгалтерского софта, в котором хранятся данные клиентов или сотрудников.
Что это значит для сайта:
Если данные с ваших форм попадают в самописную CRM или зарубежную систему без сертификации, это становится прямым нарушением. Первое, что спросит Роскомнадзор при проверке: «Покажите сертификаты на ваше ПО».
2. Ужесточение требований к защите при трансграничной передаче
Передача данных за пределы РФ теперь требует не просто уведомления, а подтверждения, что принимающая страна обеспечивает адекватную защиту прав субъектов. Если страна не входит в специальный перечень РКН, оператор обязан получить от госорганов этого государства или от самого получателя информации подтверждение о соответствии уровня защиты
3. Новые сроки уведомления об инцидентах
Система 24/72 часа окончательно закрепляется в правоприменительной практике:
- 24 часа — на первичное уведомление Роскомнадзора об инциденте
- 72 часа — на предоставление результатов внутреннего расследования
За опоздание с уведомлением — отдельный штраф до 3 млн рублей.
Что проверить на сайте прямо сейчас
1. Политика конфиденциальности и формы согласий
С 1 сентября 2025 года действует требование об отдельном согласии на обработку данных — нельзя «вшивать» его в пользовательское соглашение или общие договоры. К июлю 2026 года это требование уже должно быть реализовано на всех сайтах без исключения.
Проверьте:
- Есть ли отдельный чекбокс под каждой формой сбора данных
- Не проставлен ли он автоматически
- Содержит ли текст согласия конкретные цели обработки
- Видна ли ссылка на Политику конфиденциальности до отправки формы
Важно: Конструкция «нажимая кнопку, вы соглашаетесь…» без отдельного чекбокса больше не работает. Роскомнадзор считает такое согласие недействительным.
2. Локализация баз данных
Закон требует, чтобы при сборе персональных данных граждан РФ их запись и систематизация выполнялись с использованием баз данных, находящихся на территории России.
Что нужно проверить:
- Где физически расположен ваш хостинг
- Куда «падают» данные из форм обратной связи
- Где хранятся базы клиентов в CRM
- Используете ли вы зарубежные облачные сервисы (Google Drive, Dropbox, Notion) для хранения данных с персональной информацией
Если сайт размещен на зарубежном хостинге — это прямое нарушение. Исключений для «маленьких сайтов» нет.
3. Сторонние скрипты, пиксели и интеграции
Одна из самых частых зон риска — скрытая передача данных через счетчики аналитики, пиксели соцсетей, виджеты обратной связи, чаты поддержки.
Роскомнадзор с помощью ИИ-систем сканирует сайты и выявляет:
- передачу идентификаторов в зарубежные сервисы
- использование Meta Pixel (деятельность Meta запрещена в РФ) и аналогичных инструментов
- отсутствие информирования о сборе данных через cookie
