Что изменилось в 152-ФЗ в 2025–2026: обзор новых требований Роскомнадзора к сайту

Разбираем не общий чек-лист, а конкретно то, что изменилось: семь дат, шесть федеральных законов и одно постановление Правительства. Если вы уже проходили аудит сайта раньше — этот текст покажет, что из сделанного могло устареть, а не заставит переделывать всё с нуля.

152-ФЗ и поправочные законы — это не одно и то же

«152-ФЗ» — не документ, который переписывают каждый год. Базовый закон «О персональных данных» приняли 27.07.2006, и с тех пор он живёт, но не переиздаётся целиком: отдельные его статьи точечно правят другие федеральные законы. Когда в новостях пишут «изменения 152-ФЗ в 2025 году» — речь как раз про такие точечные поправки, а не про новую редакцию всего закона.

Если вы ещё не проверяли сайт целиком — начните с базового чек-листа «Требования Роскомнадзора к сайту в 2026 году». Эта статья — не его повтор, а апдейт: что изменилось с тех пор.

Отдельно стоит развести две нормы про локализацию, которые постоянно путают. Старая — из 242-ФЗ от 21.07.2014, действует с 01.09.2015: она и раньше требовала хранить базы россиян на территории РФ. Новая — из 23-ФЗ 2025 года — жёстче: прямо запрещает даже первичный сбор данных в зарубежные базы.

Ещё одна частая путаница: 420-ФЗ и 421-ФЗ подписаны в один день, 30.11.2024, — но правят разные кодексы: первый КоАП (штрафы), второй УК (личная ответственность физлица). Ниже — шпаргалка, какой закон что меняет.

Последняя строка — единственная, которая вообще не про персональные данные: 569-ФЗ правит закон «Об информации…» (149-ФЗ). Сама норма про домены к персональным данным отношения не имеет, зато касается каждого владельца сайта — подробности ниже.

По каким новым законам РФ проверять сайт: хронология 2024–2026

Те же законы — но по датам вступления в силу, а не по номерам. Именно из этих семи точек складывается сегодняшний набор требований к сайту.

• 11.12.2024 — 421-ФЗ: заработала уголовная ст. 272.1 УК РФ.
• 30.05.2025 — 420-ФЗ: штрафы по ст. 13.11 КоАП выросли кратно, скидка 50% отменена.
• 01.07.2025 — 23-ФЗ: запрет первичного сбора ПДн россиян в зарубежные базы.
• 01.09.2025 — 156-ФЗ: согласие оформляется отдельно от других документов.
• 05.09.2025 — постановление № 1286: новые критерии риска, влияют на частоту проверок РКН.
• 01.01.2026 — 508-ФЗ: дела по ст. 13.11 КоАП вернулись судам общей юрисдикции.
• 01.09.2026 — 569-ФЗ: без идентификации через Госуслуги домен не зарегистрировать и не продлить.

Самое практичное изменение: согласие — отдельно от оферты и политики

Если из всей хронологии выбрать одно изменение, которое реально касается почти каждого сайта, — это оно. С 01.09.2025 действует новая редакция ч. 1 ст. 9 152-ФЗ (её ввёл закон 156-ФЗ от 24.06.2025). Дословно норма звучит так:

«Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных».

На языке сайта это значит простую вещь: отдельный чекбокс и отдельный текст согласия, а не пункт внутри оферты, пользовательского соглашения или политики. Закон требует одного — обособить согласие от иных информации и документов, которые человек подтверждает или подписывает. Как эта норма применяется именно к веб-форме, правоприменительная практика пока складывается, поэтому безопасный вариант — отдельный чекбокс, отдельный текст согласия и сохранённый лог проставления отметки: кто, когда и с какой версией текста согласился.

Хорошая новость: переходных положений о переоформлении 156-ФЗ не содержит и обратной силы не имеет — сами по себе ранее полученные согласия переоформлять не требуется. Но если меняются цели или состав обработки, согласие берут заново, уже по новым правилам. Плохая — многие лендинги и формы заявок до сих пор устроены по-старому: один общий чекбокс «согласен с политикой и офертой» на всё сразу.

Как оформить это правильно на уровне формы и чекбоксов — разобрали в статье «Согласие на обработку персональных данных: как оформить чекбокс в форме заявки».

Штрафы выросли кратно — но это уже отдельная история

420-ФЗ (в силе с 30.05.2025) поднял штрафы по ст. 13.11 КоАП кратно, ввёл новые составы за утечку персональных данных и оборотные штрафы, а заодно отменил скидку 50% за быструю уплату. Все суммы — в статье «Штрафы Роскомнадзора 2026», здесь только ориентиры:

• Нет опубликованной политики обработки ПДн — до 60 000 ₽ юрлицу.
• Обработка без письменного согласия там, где закон его требует, — до 700 000 ₽ (ч. 2); типовые дефекты согласия в форме — до 300 000 ₽ (ч. 1).
• Нарушение локализации баз данных — до 6 000 000 ₽ юрлицу (повторно — до 18 000 000 ₽).
• Оборотный штраф за повторную утечку — 1–3% годовой выручки, не менее 20 млн и не более 500 млн ₽.

Отдельно появился штраф за неуведомление РКН о намерении обрабатывать ПДн: до 420-ФЗ отдельного состава за это в ст. 13.11 КоАП не было, с 30.05.2025 он есть — ч. 10, до 300 000 ₽ юрлицу. Сама обязанность подать уведомление (ст. 22 152-ФЗ) не менялась — изменилась цена вопроса.

Что ещё поменялось: уголовка, утечки и суды — коротко

Уголовная ст. 272.1 УК РФ (закон 421-ФЗ, в силе с 11.12.2024) — это не «нет политики на сайте у компании», а личная ответственность физлица за незаконный оборот ПДн: от штрафа до 300 000 ₽ до лишения свободы до 10 лет при тяжких последствиях. Подробный разбор — в статье «Уголовная ответственность за утечку персональных данных: что грозит по ст. 272.1 УК РФ».

Обязанность уведомить РКН об утечке за 24 часа (и дать результаты расследования за 72 часа, ч. 3.1 ст. 21 152-ФЗ) не новая. Новое — штраф за её неисполнение: до 3 000 000 ₽ юрлицу (ч. 11 ст. 13.11 КоАП), введённый 420-ФЗ и действующий с 30.05.2025.

И короткая сноска для порядка: с 01.01.2026 (508-ФЗ, принят 28.12.2025) дела по ст. 13.11 КоАП вернулись из арбитражных судов в суды общей юрисдикции. Это про процедуру обжалования штрафа, а не про требования к сайту.

Что впереди: 1 сентября 2026 и что пока только обсуждается

Федеральный закон от 29.12.2025 № 569-ФЗ внёс поправки в закон «Об информации, информационных технологиях и о защите информации» (149-ФЗ). Норма про домены — пункт 2 статьи 1 — заработает с 1 сентября 2026 года. Суть: зарегистрировать домен в зонах .ru, .рф и .su, продлить его или изменить сведения о нём можно будет только после идентификации администратора домена через Госуслуги (ЕСИА). Правило касается всех: физлиц, ИП и юридических лиц.

Уже зарегистрированные домены тоже переходят в новую систему: идентификацию нужно пройти к ближайшему продлению — детали перехода регистраторы уточняют. Продлить домен без неё не получится: он уйдёт в режим ожидания продления, а затем освободится и станет доступен другим. Отдельного штрафа закон не вводит — риск здесь не в КоАП, а в потере домена вместе с сайтом и почтой на нём.

Ещё две темы остаются «на радаре», без конкретных дат: поэтапное ужесточение трансграничной передачи персональных данных и обсуждаемый в СМИ законопроект об отзыве согласия в той же форме, в которой оно было дано. Пока это обсуждение, а не действующая норма.

Требования Роскомнадзора к сайту: разбираться самому или с юристом

Каждое из этих изменений по отдельности несложное, но вместе они создают именно тот риск, ради которого написана эта статья: «у меня всё было готово в 2024-м» — это не то же самое, что «у меня всё в порядке сейчас».

Свериться можно двумя путями. Первый — один раз позвать юриста и разобрать требования РКН к сайту вместе с профильным специалистом: дороже, зато с учётом вашей специфики. Второй — автоматическая проверка сайта: она показывает состояние политики, форм и чекбоксов, уведомления в РКН и зарубежных сервисов на страницах — то есть ровно тех мест, которых касались поправки.

Практика это подтверждает — только не та, о которой пишут в новостях. За 2025 год РКН зафиксировал 118 случаев компрометации баз, а штрафов за утечки выписал шесть — на 570 000 ₽ суммарно. Массово наказывают за базовые вещи: три производства в Арбитражном суде Москвы (2025 год) — совокупно 155 000 ₽ за связку «нет политики + формы без надлежащего согласия + не подано уведомление в РКН». Их же чаще всего находит и бот-сканер РКН.

Итог: свежий закон — повод свериться, а не переделывать всё

Коротко: 152-ФЗ как базовый закон не менялся, но за неполные два года шесть федеральных законов и одно постановление Правительства потребовали оформлять согласие отдельно от оферты и политики, кратно подняли штрафы, ввели личную уголовную ответственность и ужесточили локализацию. А с 1 сентября 2026 добавится идентификация владельца домена через Госуслуги.

Это не повод переделывать сайт с нуля: если год назад вы сделали политику, чекбоксы и подали уведомление в РКН, база у вас есть. Это повод для быстрой точечной сверки — и регулярная сверка сама по себе и есть защита от РКН: закон меняется точечно, но постоянно.

Быстрее всего — запустить проверку сайта на 152-ФЗ и риск штрафов прямо сейчас: бесплатный аудит покажет, что из перечисленного уже касается именно вас.