Что должно быть на сайте, чтобы спать спокойно в 2026 году

Законы о сайтах обладают удивительным свойством: каждый новый документ выглядит так, будто он вообще не про вас. Потом выясняется, что форма «Оставьте телефон - мы перезвоним» уже собирает персональные данные, подключённая аналитика знает о посетителе больше, чем вы, а слово sale на баннере внезапно требует перевода.

Без паники. Мы собрали понятный чек-лист требований к коммерческому сайту в России, актуальный к 1 сентября 2026 года. Он поможет быстро проверить, что уже сделано, что пора поправить, а что вашему сайту вообще не требуется.

Это не соревнование на количество документов в футере. Задача - чтобы реальные процессы на сайте совпадали с тем, что написано в документах, согласия собирались корректно, а пользователь понимал, кто и зачем получает его данные.

Чек-лист рассчитан на обычные сайты компаний, сервисов и интернет-магазинов. Для медицины, финансов, образования, алкоголя, ставок, маркетплейсов и других регулируемых сфер действуют дополнительные отраслевые требования.

Короткая версия: что проверить на сайте прямо сейчас

Если хочется сначала увидеть весь фронт работ, а уже потом разбираться в деталях - вот он.

Для большинства коммерческих сайтов

• На сайте указаны полные и актуальные реквизиты владельца бизнеса.
• Опубликована политика обработки персональных данных.
• Согласие на обработку персональных данных оформлено отдельно от оферты, правил сервиса и других документов.
• Под каждой формой есть понятное действие пользователя, подтверждающее согласие, и ссылка на его текст.
• Поля согласия не отмечены заранее.
• Сайт собирает только те данные, которые действительно нужны для заявленной цели.
• Cookies, аналитика, онлайн-чаты, CRM, виджеты и сторонние скрипты учтены в документах и настройках сайта.
• Первичный сбор персональных данных граждан РФ происходит с использованием баз данных в России.
• Компания подала уведомление в Роскомнадзор, если она не относится к редким исключениям.
• Информация для российских потребителей представлена на русском языке.
• Реклама в интернете маркируется и передаётся в ЕРИР, когда это требуется.
• Рекламные рассылки отправляются только с предварительного согласия, а отказаться от них можно без квеста на выживание.
• На запрещённых и заблокированных ресурсах не размещается реклама компании.

Если на сайте есть продажи

• Указаны продавец, характеристики и цена товара или услуги, условия оплаты, доставки и возврата.
• Оферта соответствует реальному процессу заказа и оплаты.
• Покупатель до оплаты видит итоговую стоимость и существенные условия покупки.
• Онлайн-оплата связана с корректной выдачей кассового чека, если применяется 54-ФЗ.

Если есть личный кабинет или персональные рекомендации

• Авторизация работает одним из допустимых российским законодательством способов.
• Пользователь проинформирован о применении рекомендательных алгоритмов.
• На сайте опубликованы правила работы рекомендаций и контакт для юридически значимых обращений.

Если напротив какого-то пункта пока хочется поставить не галочку, а нервный смайлик - идём дальше.

1. Покажите, кто стоит за сайтом

Пользователь не должен проводить маленькое журналистское расследование, чтобы понять, кому он оставляет телефон или переводит деньги.

На сайте компании обычно указывают:

• полное наименование юридического лица или ФИО индивидуального предпринимателя;
• ИНН и ОГРН либо ОГРНИП;
• юридический адрес, а когда это важно для связи с клиентом - также фактический адрес;
• рабочие контакты;
• сведения о лицензии или аккредитации, если деятельность лицензируется.

Для интернет-магазина сведения о продавце должны быть доступны до заключения договора. Логотип и фраза «работаем с любовью с 2014 года» юридически продавца не идентифицируют, даже если любовь настоящая.

Проверяем:

• Реквизиты легко найти в футере, разделе «Контакты» или на отдельной странице.
• Название, адрес и номера совпадают с актуальными регистрационными данными.
• В документах сайта указан тот же владелец, который фактически получает заявки и платежи.

2. Политика обработки персональных данных - не декоративная ссылка в футере

Если сайт принимает имя, телефон, электронную почту, адрес доставки, резюме, сообщение в форме, данные аккаунта или идентификаторы из cookies, он обрабатывает персональные данные.

Политика должна объяснять как минимум:

• кто является оператором персональных данных;
• чьи и какие данные обрабатываются;
• для каких целей;
• на каких правовых основаниях;
• какие действия совершаются с данными;
• кому данные могут передаваться;
• как долго они хранятся и когда уничтожаются;
• как человек может отозвать согласие или направить запрос;
• какие меры защиты применяет оператор;
• используется ли трансграничная передача.

Документ должен описывать ваш реальный сайт. Если в политике нет CRM, системы аналитики и обратного звонка, а на сайте они есть, политика описывает не сайт, а параллельную вселенную.

Проверяем:

• Политика доступна без регистрации и открывается по рабочей ссылке.
• В ней перечислены все формы, цели обработки и категории собираемых данных.
• Указаны используемые сервисы и получатели данных, когда это необходимо.
• Сроки обработки не сформулированы как «храним вечно, потому что вдруг пригодится».

3. Согласие теперь живёт отдельно

С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иных документов, которые подтверждает или подписывает человек. Его нельзя прятать внутри пользовательского соглашения, договора, оферты или общего текста «нажимая кнопку, вы соглашаетесь вообще со всем».

Для сайта это означает: рядом с формой должна быть отдельная и однозначная конструкция, из которой понятно, что пользователь даёт согласие именно на обработку персональных данных. Текст согласия должен быть доступен по ссылке или представлен рядом с формой и соответствовать конкретной цели обработки.

Согласие должно быть конкретным, информированным, сознательным и однозначным. Поэтому заранее отмеченная галочка - плохая идея: молчание и бездействие пользователя сложно выдать за свободное волеизъявление.

Например, возле формы заявки можно использовать такую механику:

Я даю согласие на обработку персональных данных в соответствии с условиями согласия.

Если вы хотите ещё и отправлять рекламу, для этого требуется отдельное предварительное согласие:

Я согласен получать рекламные и информационные сообщения.

Одна галочка на заявку, рассылку, передачу партнёрам и мир во всём мире - не универсальность, а смешение разных целей.

Проверяем:

• У каждой формы понятна цель сбора данных.
• Согласие на персональные данные отделено от оферты и пользовательских правил.
• Рекламное согласие не является условием отправки обычной заявки, если реклама для оказания услуги не нужна.
• Сайт сохраняет сведения, позволяющие подтвердить факт и содержание полученного согласия.
• Отзыв согласия можно направить по реально работающему адресу.

4. Не собирайте данные «на всякий случай»

Принцип простой: объём данных должен соответствовать цели обработки. Для звонка обычно не нужна дата рождения. Для подписки на новости - паспорт. Для скачивания презентации иногда вообще не нужен телефон, как бы отдел продаж ни смотрел на это с грустью.

Проверьте каждую форму: какие поля обязательные, зачем они нужны и отражены ли они в документах. Отдельно обратите внимание на свободное поле комментария - пользователи способны добровольно написать туда сведения, которые вы не планировали получать.

Проверяем:

• Удалены лишние обязательные поля.
• Для каждого поля есть понятная цель обработки.
• Данные не используются для новой цели без подходящего правового основания.

5. Cookies и сторонние сервисы тоже участвуют в вечеринке

Cookies, IP-адреса, идентификаторы устройств и сведения о поведении пользователя могут относиться к персональным данным, если позволяют прямо или косвенно определить человека. Поэтому баннер «мы используем cookies» сам по себе не является магическим оберегом.

Нужно понимать, какие именно технологии работают на сайте:

• веб-аналитика;
• рекламные пиксели;
• системы коллтрекинга;
• онлайн-чаты и обратный звонок;
• карты, видео и шрифты со сторонних серверов;
• CRM и сервисы рассылок;
• антиспам- и captcha-сервисы.

Для необязательных аналитических и маркетинговых cookies безопаснее использовать механизм выбора: не запускать соответствующие скрипты до действия пользователя, дать возможность отказаться и позже изменить решение. Технически необходимые cookies можно выделить отдельно и объяснить их назначение.

Проверяем:

• Проведена инвентаризация всех cookies и внешних скриптов.
• Баннер сообщает не только о факте использования cookies, но и даёт понятный выбор там, где он нужен.
• Отказ не замаскирован серой ссылкой восьмого кегля на сером фоне.
• Политика и фактическая загрузка скриптов не противоречат друг другу.

6. Персональные данные россиян сначала собираем в России

С 1 июля 2025 года при сборе персональных данных граждан РФ нельзя записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных, находящихся за пределами России, кроме прямо предусмотренных законом случаев.

На практике проверить нужно не только хостинг сайта. Данные из формы могут мгновенно уходить в зарубежную CRM, таблицу, почтовый сервис, аналитику или корпоративный мессенджер. Красивый российский сервер на главной точке маршрута не поможет, если сама форма первым делом отправляет заявку за границу.

Последующая трансграничная передача возможна при соблюдении отдельных требований. До её начала оператор в установленных случаях уведомляет Роскомнадзор и оценивает получателя и страну передачи.

Проверяем:

• Известен полный маршрут данных от формы до всех систем хранения и обработки.
• Первичная база находится в России.
• Зарубежные интеграции проверены на предмет трансграничной передачи.
• Необходимые уведомления поданы до начала такой передачи.

7. Уведомление Роскомнадзора: политика на сайте его не заменяет

Большинство компаний и ИП, которые обрабатывают персональные данные, должны уведомить Роскомнадзор о начале или осуществлении обработки. Исключения есть, но после их сокращения фраза «у нас всего одна форма» обычно не освобождает от обязанности автоматически.

С 30 мая 2025 года за неподачу уведомления для коммерческих организаций и ИП предусмотрены отдельные существенные штрафы. Поэтому лучше проверить себя в реестре операторов, а не надеяться, что документ когда-то отправлял бывший бухгалтер, разработчик или человек, чьё имя уже никто не помнит.

Проверяем:

• Оператор найден в реестре Роскомнадзора.
• В уведомлении актуальны цели, категории данных, способы обработки, информационные системы и места баз данных.
• При изменениях сведения обновляются, а не остаются памятником сайту версии 2019 года.
• Назначен ответственный и существует порядок действий при утечке данных.

8. Русский язык теперь не факультатив

С 1 марта 2026 года информация, предназначенная для публичного ознакомления потребителей в России, должна быть представлена на русском языке. Требование касается и информации на сайтах.

Иностранный язык можно использовать дополнительно, но русский текст должен быть идентичным по содержанию и равнозначным по размещению и оформлению. Схема «огромный SALE и микроскопическая “распродажа” где-то возле подвала сайта» выглядит творчески, но не равнозначно.

Есть исключения для зарегистрированных товарных знаков, фирменных наименований и некоторых общеупотребительных слов из нормативных словарей. Поэтому автоматически переименовывать компанию или закрашивать английский логотип не нужно. А вот названия разделов, кнопки, описания услуг, условия акций и рекламные сообщения стоит проверить отдельно.

Проверяем:

• Навигация, кнопки, характеристики, цены, условия и сообщения пользователю доступны на русском.
• Иностранные формулировки имеют равнозначный русский вариант, если не подпадают под исключение.
• Зарегистрированные товарные знаки не переписаны «на всякий случай» - сначала проверен их статус.
• Русская версия не менее полная и заметная, чем иностранная.

9. Интернет-реклама: маркировка, ЕРИР и правильная площадка

Реклама в интернете должна содержать пометку «реклама», сведения о рекламодателе или ссылку на страницу с такими сведениями и рекламный идентификатор - токен. Информация о размещении передаётся через оператора рекламных данных в Единый реестр интернет-рекламы.

Не вся информация на собственном сайте автоматически является рекламой: справочное описание ассортимента, услуг и условий покупки может носить информационный характер. Но баннеры, специальные выделения отдельных товаров, партнёрские размещения и продвижение за пределами сайта требуют отдельной оценки. Назвать рекламную интеграцию «личной рекомендацией от души» недостаточно, если по существу это реклама.

Кроме маркировки, с 1 апреля 2025 года для участников распространения интернет-рекламы действует обязательный сбор в размере 3% от дохода, относящегося к распространению рекламы. Кто именно платит его в вашей цепочке, зависит от роли и договоров.

С 1 сентября 2025 года запрещено размещать рекламу на ресурсах нежелательных организаций, а также на иных ресурсах, доступ к которым ограничен в России. Запрет касается и новых, и продолжающихся размещений.

Проверяем:

• Для рекламных размещений определены рекламодатель, рекламораспространитель и ответственная сторона.
• Получен токен, нанесена маркировка и переданы данные в ЕРИР.
• В договорах закреплено, кто маркирует рекламу, отчитывается и отвечает за ошибки.
• Реклама не размещается на запрещённых и заблокированных ресурсах.
• Учтён обязательный рекламный сбор, если компания входит в круг плательщиков.

10. Рассылки: сначала согласие, потом «у нас для вас кое-что интересное»

Рекламу по электронной почте, SMS, в мессенджерах и с помощью звонков можно распространять только при предварительном согласии адресата. Доказывать наличие такого согласия должен рекламораспространитель.

Поэтому согласие на обработку персональных данных и согласие на получение рекламы лучше не смешивать. Человек может попросить расчёт стоимости и не подписываться на еженедельную подборку «пяти причин купить прямо сейчас».

Проверяем:

• Рекламное согласие собирается отдельно и добровольно.
• Сохраняются дата, способ, формулировка и источник согласия.
• В каждом канале есть простой способ отказаться от сообщений.
• После отказа рассылка действительно прекращается.

11. Интернет-магазину понадобится ещё несколько галочек

До оформления заказа покупатель должен получить достоверную информацию о продавце, товаре или услуге, цене, оплате, доставке, сроках, гарантии, возврате и иных существенных условиях.

На сайте обычно размещают публичную оферту, правила оплаты и доставки, порядок возврата и реквизиты продавца. Но важен не сам факт наличия страниц, а их соответствие реальному процессу. Если оферта обещает доставку за три дня, интерфейс показывает семь, а менеджер после оплаты называет четырнадцать - юридическая сила документа не превращает это в хороший сценарий.

Проверяем:

• В карточке есть обязательная информация о товаре или услуге и итоговая цена.
• До оплаты понятны стоимость и сроки доставки, способы оплаты и ограничения.
• Оферта содержит существенные условия и корректный момент заключения договора.
• Описан порядок отказа и возврата денег.
• Чек отправляется покупателю в предусмотренном законом порядке.
• Нет заранее добавленных платных услуг и других сюрпризов в корзине.

12. Личный кабинет и рекомендации: проверьте механику, а не только тексты

Если на российском сайте пользователь создаёт аккаунт, способ авторизации должен соответствовать требованиям закона. Среди допустимых вариантов - российский номер телефона, ЕСИА, Единая биометрическая система либо российская информационная система, отвечающая установленным требованиям. Одна только иностранная кнопка входа может не подойти.

Если сайт применяет рекомендательные технологии - алгоритмы, которые на основе данных о пользователе определяют порядок или состав предлагаемой информации, - нужно уведомить об этом пользователя, опубликовать правила применения технологии и указать электронную почту для юридически значимых обращений.

С 7 июля 2026 года за нарушение этих обязанностей действуют отдельные штрафы. Поэтому блок «Вам может понравиться» иногда требует внимания не только дизайнера.

Проверяем:

• Используется хотя бы один допустимый способ авторизации.
• Иностранный сервис не является единственным способом входа.
• Пользователь уведомлён о работе рекомендаций.
• Правила описывают виды собираемых сведений и источники их получения.
• Указан рабочий адрес для обращений, связанных с рекомендациями.

Что изменилось именно в 2025-2026 годах

Чтобы даты не слились в одно большое «кажется, недавно что-то приняли»:

• с 30 мая 2025 года действуют новые крупные штрафы за нарушения в сфере персональных данных, включая неподачу уведомления и неуведомление об утечке;
• с 1 июля 2025 года ужесточено требование о локализации первичного сбора персональных данных граждан РФ;
• с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов;
• с 1 сентября 2025 года запрещено размещать рекламу на ряде запрещённых и заблокированных ресурсов;
• с 1 марта 2026 года расширены требования к использованию русского языка в публичной информации для потребителей и рекламе;
• с 7 июля 2026 года действуют отдельные штрафы за нарушения требований к авторизации и рекомендательным технологиям.

То есть 1 сентября 2026 года - не дата, когда весь интернет должен одновременно нажать красную кнопку «обновить документы». Это удобная контрольная точка: к ней уже действует несколько блоков поправок, принятых в разное время.

Как проверить сайт и не утонуть в документах

Идите не от шаблонов, а от фактического движения данных и действий пользователя:

1. Выпишите все формы, кабинеты, способы оплаты, рассылки, cookies и сторонние интеграции.
2. Зафиксируйте, какие данные собираются, зачем, куда попадают и сколько хранятся.
3. Сверьте этот список с политикой, согласиями, офертой и уведомлением Роскомнадзора.
4. Проверьте интерфейс: тексты возле форм, состояние галочек, ссылки, cookie-баннер, русский язык и рекламную маркировку.
5. Исправьте не только документы, но и техническую механику сайта.

Потому что политика может быть безупречной, но если заявка всё равно улетает не туда, галочка уже не спасёт.

Частые вопросы

Какие документы обязательно должны быть на сайте в 2026 году?

Для большинства коммерческих сайтов нужны сведения о владельце, политика обработки персональных данных и отдельные тексты согласий для форм. Интернет-магазину также потребуются документы и сведения о продаже: оферта, оплата, доставка, возврат, продавец и информация о товаре. Точный набор зависит от функций сайта и сферы бизнеса.

Нужна ли политика конфиденциальности, если есть только форма обратной связи?

Да. Если форма собирает имя, телефон, электронную почту или другие данные человека, владелец сайта становится оператором персональных данных и должен опубликовать политику обработки персональных данных.

Можно ли поставить одну галочку под формой?

Можно использовать одну отдельную галочку для конкретного согласия на обработку данных, если её формулировка и связанный текст охватывают реальную цель формы. Но нельзя смешивать в ней согласие на обработку данных с офертой, пользовательским соглашением и необязательной рекламной рассылкой.

Обязательно ли получать согласие на cookies?

Это зависит от вида cookies, целей и оснований обработки. Технически необходимые cookies отличаются от аналитических и рекламных. Безопасный практический подход - описать используемые технологии, дать выбор для необязательных cookies и не запускать маркетинговые скрипты до получения соответствующего действия пользователя.

Нужно ли переводить название бренда на русский язык?

Не всегда. Для фирменных наименований и зарегистрированных товарных знаков предусмотрены исключения. Но публичная информация для потребителя - навигация, описания, цены, условия, рекламные сообщения - должна соответствовать требованиям к русскому языку.

Достаточно ли скачать шаблон политики из интернета?

Только если ваш сайт случайно полностью совпадает с чужим бизнесом, формами, CRM, аналитикой, сроками хранения и маршрутами передачи данных. Такое бывает примерно никогда. Документы нужно собирать по фактической работе конкретного сайта.

Можно выдыхать?

Если все пункты отмечены - почти да. Законодательство меняется, сайт обрастает новыми формами и сервисами, а маркетолог иногда подключает пиксель быстрее, чем успевает сообщить об этом кому-либо. Поэтому такую проверку стоит повторять после каждого заметного изменения сайта и хотя бы раз в год.

Главное правило простое: пользователь должен понимать, с кем имеет дело, какие данные отдаёт, зачем они нужны и что произойдёт после нажатия кнопки. Всё остальное - уже аккуратная настройка процессов, документов и интерфейса.