Спокуха! › Блог › Что должно быть на сайте по закону в 2026 году: чек-лист для ИП и ООО

Что должно быть на сайте по закону в 2026 году: чек-лист для ИП и ООО

Редакция «Спокухи!» · 24 сентября 2026 г. · 9 мин чтения

Требования к сайту разбросаны по нескольким законам: об информации (149-ФЗ), о персональных данных (152-ФЗ), о защите прав потребителей, о рекламе (38-ФЗ), о государственном языке (53-ФЗ). Какие из них касаются именно вашего сайта, зависит от трёх вещей: собирает ли он данные посетителей, продаёт ли что-то и в какой нише работает. Ниже — всё по порядку, от того, что нужно любому сайту, до отраслевых требований. У каждого пункта — норма и штраф, а ссылка ведёт на подробный разбор в протоколе проверки.

Коротко: любому сайту нужны сведения о владельце и e-mail. Если на сайте есть хоть одна форма или счётчик посещаемости — добавляются политика обработки персональных данных, согласие в формах и уведомление о cookie. Если сайт продаёт — оферта и реквизиты продавца. Штрафы ниже указаны для юрлица и отдельно для ИП, как в таблице штрафов.

Для любого сайта: кто владелец и как связаться

Статья 10 ч. 2 закона об информации (149-ФЗ) требует от владельца сайта разместить своё наименование, место нахождения и адрес электронной почты для юридически значимых сообщений. Это касается даже сайта-визитки без форм.

Наименование владельца. Для ООО — полное наименование, для ИП — фамилия, имя и отчество. Бренд или название магазина наименованием не считаются. Подробнее — пункт 5.1.
Электронная почта. Именно адрес, а не только форма обратной связи: по форме нельзя направить юридически значимое сообщение и сохранить его копию. Телефон закон не требует, но покупателю он нужен — пункт 5.4.
Адрес. Для юрлица — обязателен. Для ИП адрес регистрации — это домашний адрес; практики наказаний ИП за его отсутствие мы не нашли, поэтому для ИП это рекомендация, достаточно ФИО, ОГРНИП и ИНН — пункт 5.3.

Удобнее всего разместить всё это в подвале и на странице «Контакты» или «Реквизиты», а не только в документах: закон говорит «разместить», а сведения в середине оферты посетитель не найдёт.

Если на сайте есть формы: 152-ФЗ

Форма заявки, обратного звонка, подписки, регистрации — это сбор персональных данных. С этого момента сайт становится частью обработки данных, и включаются требования 152-ФЗ.

Политика обработки персональных данных. Оператор обязан опубликовать документ, определяющий его политику, на страницах, через которые собираются данные (ст. 18.1 ч. 2). В политике — оператор и контакт, цели, состав данных, правовые основания, сроки хранения, права посетителя, передача третьим лицам, cookie и аналитика. Шаблон с чужими реквизитами или незаполненными полями требование не выполняет. Штраф по ч. 3 ст. 13.11 КоАП: юрлицу 30 000–60 000 ₽, ИП 10 000–20 000 ₽. Подробно — в статье «Политика обработки персональных данных для сайта» и в пунктах 1.1–1.14.

Ссылка на политику у каждой формы. Не где-то на сайте, а на странице, где человек вводит данные, — в том числе во всплывающих окнах (пункт 1.2).

Согласие — галочкой. Для формы заявки основание обработки — согласие посетителя (ст. 6, ст. 9 152-ФЗ). Галочка не должна быть отмечена заранее, без неё форма не отправляется, рядом — ссылка на текст согласия. С 1 сентября 2025 года согласие оформляется отдельно от других документов: одна галочка «принимаю оферту и даю согласие на обработку данных» больше не подходит (пункт 2.4). Исключение — заказ по публичной оферте: данные для исполнения договора обрабатываются без отдельного согласия. Штраф по ч. 1 ст. 13.11: юрлицу 150 000–300 000 ₽, ИП 50 000–100 000 ₽. Подробно — «Согласие на обработку персональных данных в форме на сайте».

Рассылки — отдельное согласие. Рекламные письма и SMS — только с предварительного согласия (ст. 18 ч. 1 38-ФЗ, ст. 15 152-ФЗ), и это отдельная, заранее не отмеченная галочка. Штраф по ч. 4.1 ст. 14.3 КоАП для юрлица — от 300 000 до 1 000 000 ₽ (пункт 2.7).

Если стоят счётчики: cookie и аналитика

Яндекс Метрика, пиксель VK, Top.Mail.Ru сохраняют в браузере идентификатор и отправляют его вместе с историей просмотров. Роскомнадзор считает такие данные персональными. Технические cookie — сессия, корзина, защита форм — согласия не требуют.

Уведомление о cookie с кнопкой согласия. Формулировка «продолжая пользоваться сайтом, вы соглашаетесь» — не согласие (пункт 3.3).
Кнопка отказа — «Отклонить» или «Только необходимые» (пункт 3.6).
Счётчик — после согласия. Смысл уведомления в том, чтобы не собирать данные до решения посетителя, а не в том, чтобы показать плашку (пункт 3.7).
Cookie и сервисы аналитики — в политике (пункт 1.12).

Где уведомление обязательно, а где это рекомендация, — в статье «Уведомление о cookie на сайте».

Иностранная аналитика и реклама. Google Analytics, Meta Pixel и подобные сервисы отправляют данные посетителей за рубеж. Это нарушение требования о первичной записи данных в базы на территории России (ст. 18 ч. 5 152-ФЗ) и трансграничная передача, о которой нужно уведомлять Роскомнадзор. Штраф по ч. 8 ст. 13.11 КоАП — самый крупный в этом списке: юрлицу 1–6 млн ₽, ИП 100 000–200 000 ₽ (пункт 3.9).

Где хранятся данные

Сервер сайта и базы — в России (ст. 18 ч. 5 152-ФЗ): сайт, CRM, сервис рассылок, резервные копии (пункты 4.1 и 4.6).
Формы не отправляют данные в иностранный сервис — конструктор форм, чат, виджет бронирования (пункт 4.2).
Уведомление в Роскомнадзор об обработке персональных данных — до начала обработки (ст. 22 152-ФЗ). С 2022 года исключений для сайтов с формами почти не осталось. Штраф по ч. 10 ст. 13.11: юрлицу 100 000–300 000 ₽, ИП 30 000–50 000 ₽ (пункт 4.7).
Ответственный за обработку данных назначен приказом (пункт 4.9).

Если сайт продаёт: оферта и сведения о продавце

Продажа через сайт — дистанционная торговля, и закон о защите прав потребителей требует довести до покупателя условия до оплаты.

ИНН и ОГРН (ОГРНИП) продавца — ст. 9 закона о защите прав потребителей (пункт 5.2).
Публичная оферта или условия продажи — ст. 26.1 ЗоЗПП, ст. 437 ГК (пункт 5.6).
Обязательные сведения в оферте: продавец и адрес, цена и условия приобретения, доставка, порядок оплаты, порядок и срок возврата (7 дней без объяснения причин для товаров), гарантия и срок службы, свойства товара (пункт 5.7).
Оферта про этот сайт — без чужих названий и незаполненных полей (пункт 5.8).

Штрафы здесь небольшие — по ч. 1 ст. 14.8 КоАП юрлицу 5 000–10 000 ₽, за первое нарушение возможно предупреждение, — но оферта защищает прежде всего вас: без неё спор с покупателем решается по умолчанию в его пользу. Подробнее — «Какие реквизиты должны быть на сайте».

Если ниша особая

Медицина, стоматология, косметология: предупреждение «имеются противопоказания, необходима консультация специалиста» на страницах услуг и в рекламе (ст. 24 38-ФЗ, штраф юрлицу по ч. 5 ст. 14.3 — 200 000–500 000 ₽) и номер лицензии с органом выдачи (пункты 6.1 и 6.2).
БАД: предупреждение «не является лекарственным средством» (пункт 6.3).
Кредиты и займы: наименование организации и все условия, влияющие на полную стоимость (пункт 6.4).
Алкоголь, табак, 18+: знак «18+» и подтверждение возраста, в рекламе алкоголя — предупреждение о вреде (пункты 6.5 и 6.6).

Русский язык

С 1 марта 2026 года действуют поправки к закону о государственном языке (закон от 24.06.2025 № 168-ФЗ): информация для потребителей — на русском, иностранные слова — только с равнозначным переводом. Исключения — фирменные наименования и зарегистрированные товарные знаки. В рекламе иностранные слова без перевода запрещены ещё раньше — ст. 5 ч. 11 38-ФЗ (пункты 7.1–7.3).

Какой сайт что должен: таблица

Требование	Визитка без форм	Лендинг с формой	Интернет-магазин
Наименование владельца и e-mail	да	да	да
Адрес	юрлицу — да	юрлицу — да	юрлицу — да
Политика обработки ПД	если есть счётчики	да	да
Галочка согласия в формах	—	да	в формах заявок; для заказа по оферте — желательно
Уведомление о cookie	если есть счётчики	если есть счётчики	если есть счётчики
Сервер и базы в России	если собираются данные	да	да
Уведомление в Роскомнадзор	если собираются данные	да	да
ИНН, ОГРН, оферта	—	если продаёт услуги онлайн	да
Отраслевые предупреждения	по нише	по нише	по нише
Русский язык	да	да	да

Чек-лист

Наименование владельца, e-mail (и адрес для юрлица) — в подвале и на «Контактах».
Политика обработки персональных данных — своя, заполненная, со ссылкой в подвале и у каждой формы.
В каждой форме — незаполненная обязательная галочка согласия со ссылкой на текст; отдельно от оферты.
Подписка на рассылку — отдельная галочка.
Уведомление о cookie с кнопками «Принять» и «Отклонить»; счётчики — только после согласия.
Никакой иностранной аналитики и пикселей; формы и CRM — на российских серверах.
Уведомление в Роскомнадзор подано, ответственный назначен.
Если продаёте: ИНН и ОГРН на сайте, оферта с ценой, оплатой, доставкой и возвратом.
Отраслевые предупреждения, если ниша их требует.
Тексты, кнопки и уведомления — на русском.

Пройти этот список вручную можно за вечер. Быстрее — запустить бесплатную проверку: бот откроет сайт как посетитель, пройдёт формы до галочек, прочитает документы и отдаст отчёт по 56 пунктам с нормами и штрафами.

Вопросы и ответы

Нужна ли политика конфиденциальности, если на сайте нет форм?

Если нет ни форм, ни счётчиков посещаемости, сайт персональные данные не собирает, и политика не обязательна. Но почти на любом сайте стоит Яндекс Метрика, а её идентификаторы Роскомнадзор считает персональными данными — тогда нужна и политика, и уведомление о cookie.

Что обязательно указать на сайте ИП?

Фамилию, имя и отчество, ОГРНИП и ИНН, адрес электронной почты. Домашний адрес регистрации ИП размещать не обязательно — практики наказаний за это мы не нашли.

Нужно ли подавать уведомление в Роскомнадзор, если сайт только принимает заявки?

Да. С 1 сентября 2022 года исключения для обработки контактных данных клиентов почти отменены, и заявки через форму — это обработка персональных данных. Проверить себя можно в реестре операторов на сайте Роскомнадзора.

Можно ли оставить Google Analytics, если есть уведомление о cookie?

Нет. Уведомление решает вопрос согласия, но не вопрос места хранения: Google Analytics записывает данные посетителей за рубежом, а закон требует первичной записи в базы на территории России.

Какой штраф самый большой?

За нарушение требования о хранении данных в России (ч. 8 ст. 13.11 КоАП): для юрлица от 1 до 6 млн ₽ за первое нарушение. За отсутствие политики — 30 000–60 000 ₽, за сбор данных без согласия — 150 000–300 000 ₽. Все суммы — в таблице штрафов.

Пункты протокола по теме

1.1Опубликована ли на сайте политика обработки персональных данных?требование закона
1.2Есть ли ссылка на политику на страницах с формами?требование закона
2.1Есть ли у формы галочка согласия на обработку персональных данных?требование закона
2.4Оформлено ли согласие отдельной галочкой, а не вместе с офертой?требование закона
2.7Есть ли отдельная галочка согласия на рассылку?требование закона
3.1Есть ли на сайте уведомление о cookie?требование закона
3.7Запускаются ли счётчики только после согласия?рекомендация
3.9Не используются ли иностранные системы аналитики и рекламы?требование закона
4.1Находится ли сервер сайта в России?требование закона
4.7Подано ли уведомление в Роскомнадзор об обработке персональных данных?проверьте сами
5.1Указано ли на сайте наименование владельца?требование закона
5.2Указаны ли ИНН и ОГРН, и правильные ли они?требование закона
5.4Есть ли на сайте электронная почта и телефон?требование закона
5.6Есть ли публичная оферта или условия продажи для магазина и услуг онлайн?требование закона
5.7Есть ли в оферте обязательные сведения: цена, доставка, оплата, возврат, гарантия?требование закона
6.1Есть ли предупреждение о противопоказаниях на медицинских услугах и в рекламе?требование закона
7.1Написаны ли тексты для посетителей на русском, а иностранные слова — с переводом?рекомендация