Некоторые правила вступили в силу непосредственно в 2026 году. Другие начали действовать в 2025 году, но именно сейчас стали обязательной частью аудита и разработки корпоративного сайта.
1. Информация для потребителей должна быть на русском языке
С 1 марта 2026 года действует Федеральный закон № 168-ФЗ. Информация, предназначенная для публичного ознакомления потребителей, должна размещаться на русском языке. Требование распространяется не только на вывески, таблички и указатели, но и на аналогичную информацию на интернет-сайтах.
Иностранный язык использовать можно, но русский текст должен:
— передавать то же содержание; — быть равнозначным по размещению; — не уступать иностранному тексту по размеру и оформлению.
Исключение предусмотрено для фирменных наименований, зарегистрированных товарных знаков и знаков обслуживания. Например, зарегистрированное название бренда на латинице не обязательно переводить.
Что проверить на сайте
Следует обратить внимание на:
— пункты меню и кнопки; — названия услуг и тарифов; — уведомления о скидках и распродажах; — формы заказа и бронирования; — подписи к полям; — баннеры и рекламные сообщения; — иностранные слоганы и названия разделов.
Это не означает полного запрета английских слов. Однако вариант, при котором на сайте крупно написано Sale, Book now или Contact us, а русского эквивалента нет либо он практически незаметен, создаёт дополнительный правовой риск.
При этом нужно различать обычную информацию для потребителей и рекламу. Для рекламных материалов действуют также требования законодательства о рекламе и государственном языке; правовая квалификация конкретного блока зависит от его содержания и способа размещения.
2. За иностранную авторизацию и непрозрачные рекомендации появились штрафы
Ограничения на способы авторизации пользователей появились раньше, но с 7 июля 2026 года за их нарушение введена отдельная административная ответственность.
Российские владельцы сайтов, приложений и других ресурсов с регистрацией пользователей должны использовать один из предусмотренных законом способов:
— номер мобильного телефона; — ЕСИА, то есть учётную запись Госуслуг; — Единую биометрическую систему; — другую систему авторизации, соответствующую требованиям к защите информации и принадлежащую российскому гражданину либо российской компании.
Использование только Google, Apple ID или другой иностранной системы входа требованиям не соответствует. Для юридических лиц штраф за нарушение составляет от 500 000 до 700 000 рублей.
Что проверить на сайте
Если на сайте есть личный кабинет, закрытый раздел, подписка или регистрация, необходимо проверить все способы входа. Иностранную авторизацию лучше не просто переименовать, а заменить или дополнить одним из разрешённых вариантов.
Тот же закон ввёл штрафы за нарушения при использовании рекомендательных технологий.
Речь идёт о системах, которые собирают и анализируют сведения о предпочтениях пользователей, а затем автоматически определяют, какие товары, статьи, видео или другие материалы им показывать.
Владелец такого ресурса должен:
— уведомить пользователей о применении рекомендательных технологий; — опубликовать правила их применения; — описать используемые данные и общий принцип формирования рекомендаций; — разместить сведения о владельце ресурса и адрес электронной почты для юридически значимых сообщений.
За первичное нарушение для компании также предусмотрен штраф от 500 000 до 700 000 рублей.
Обычный блок «Похожие статьи», сформированный редактором вручную, сам по себе не обязательно является рекомендательной технологией. Основной критерий — автоматическое использование сведений о предпочтениях конкретных пользователей.
3. Формы, аналитика и персональные данные требуют отдельного аудита
Значительная часть требований начала действовать в 2025 году, однако в 2026 году их уже необходимо учитывать при создании и поддержке любого сайта с формами обратной связи.
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от пользовательского соглашения, договора, анкеты и других документов, которые принимает пользователь. Нельзя считать, что согласие автоматически включено в общий текст политики конфиденциальности или условий использования.
Для сайта это обычно означает, что рядом с формой должны быть:
— отдельное согласие на обработку персональных данных; — ссылка на политику обработки персональных данных; — понятное указание целей сбора данных; — перечень передаваемых сведений; — информация о сроке обработки и порядке отзыва согласия.
С 1 июля 2025 года запись, систематизация, накопление, хранение, обновление и извлечение персональных данных российских граждан не должны осуществляться с использованием зарубежной базы как основной базы сбора данных.
Последующая трансграничная передача полностью не запрещена, но требует отдельного правового основания и соблюдения установленной процедуры. Минцифры, в частности, указывало, что использование Google Analytics, если сервис обрабатывает персональные данные, является трансграничной передачей.
Поэтому следует проверять не только хостинг сайта, но и все подключённые сервисы:
— CRM и базы заявок; — формы и квизы; — системы аналитики; — онлайн-чаты; — сервисы рассылок; — системы бронирования; — облачные хранилища; — плагины и сторонние виджеты.
Также оператор персональных данных по общему правилу должен уведомить Роскомнадзор до начала обработки. С 30 мая 2025 года штраф за отсутствие или несвоевременную подачу уведомления для юридического лица составляет от 100 000 до 300 000 рублей. За неуведомление Роскомнадзора об утечке предусмотрен штраф от 1 до 3 млн рублей.
Отдельно для маркетплейсов и цифровых платформ
С 1 октября 2026 года начинает действовать Федеральный закон № 289-ФЗ о платформенной экономике.
Он затрагивает маркетплейсы и другие посреднические цифровые платформы, через которые сторонние продавцы, исполнители и заказчики взаимодействуют друг с другом. Закон регулирует проверку партнёров, договорные отношения, карточки товаров, работу с обращениями и взаимодействие с потребителями.
Обычный интернет-магазин, в котором компания продаёт только собственные товары или услуги, сам по себе не становится посреднической платформой. Поэтому этот раздел лучше сделать дополнительным блоком, а не одним из трёх основных изменений.
Что бизнесу проверить на сайте в 2026 году
Есть ли на сайте публичная информация только на иностранном языке.
Оформлено ли согласие на обработку персональных данных отдельно от других документов.
Находится ли первичная база заявок российских пользователей в России.
Подано ли уведомление в Роскомнадзор и соответствует ли оно фактической обработке данных.
Используются ли иностранные CRM, аналитика, чаты или формы.
Есть ли вход через Google, Apple ID или другие иностранные системы.
Используются ли автоматические персональные рекомендации.