Как избежать штрафов по 420-ФЗ: что важно знать маркетологу и владельцу сайта
С 30 мая 2025 года вступает в силу Федеральный закон № 420-ФЗ, усиливающий ответственность за нарушения в области обработки персональных и биометрических данных. Для маркетологов, владельцев сайтов и digital-агентств это означает одно: нельзя больше откладывать приведение сайтов в соответствие с законодательством.
Причём дело не только в формулах согласий и «политиках». Закон теперь требует не просто уведомления пользователя, но и регистрации в Роскомнадзоре, а также обязательного хранения данных в России. Нарушение может обернуться штрафами в десятки миллионов рублей и блокировкой сайта.
Кратко о законе 420-ФЗ
Федеральный закон № 420-ФЗ вносит изменения в КоАП РФ и усиливает ответственность за:
- неправильную или незаконную обработку персональных данных;
- отсутствие мер по защите данных;
- сбор биометрии без аккредитации;
- отказ в обслуживании из-за отказа пользователя сдавать биометрию.
Для юридических лиц максимальный штраф может составить до 3% от годовой выручки, но не менее 25 миллионов рублей.
Что считается нарушением?
- Вы не уведомили Роскомнадзор о намерении обрабатывать персональные данные.
- Уведомили Роскомнадзор, но не вовремя.
- Не отправили информацию об изменениях вовремя.
- Не сообщили об инциденте, который затронул права пользователей.
- Используете аналитику и сторонние формы без политики и согласий.
Всё это теперь — повод для штрафа. Причём не «где-то там, у больших корпораций», а у обычных сайтов, интернет-магазинов, форм обратной связи и лендингов.
Какие данные вы уже собираете на сайте?
Многие считают, что сбор персональных данных начинается там, где пользователь регистрируется или вводит паспортные данные. Это не так.
Что считается обработкой данных:
- Формы обратной связи, регистрации, подписки (имя, телефон, email и пр.);
- Системы аналитики (например, Яндекс.Метрика, Roistat, Calltouch);
- IP-адреса, cookies, отпечатки устройства;
- Ретаргетинг и сквозная аналитика.
Даже если пользователь не вводит ничего вручную, его данные могут собираться технически, а значит — подпадать под регулирование закона.
Где должны храниться данные?
Согласно статье 18.1 Федерального закона № 152-ФЗ, вы обязаны хранить персональные данные граждан РФ на серверах, расположенных на территории России.
Запрещено:
- использовать исключительно зарубежные сервисы: Google Analytics, Airtable, Notion, Hubspot и пр.;
- хранить данные на хостингах без локализации (например, AWS в Европе или США).
Разрешено:
Использование российских сервисов или российских локаций с дублированием (при необходимости) данных за рубежом. Подходят:
| Категория | Рекомендованные решения |
|---|---|
| Облачные хранилища | VK Cloud, Яндекс Облако, Selectel, МТС Cloud |
| Аналитика | Яндекс.Метрика, Roistat, Calltouch, Top.Mail.ru |
| Формы и CRM | Bitrix24, AmoCRM (в режиме хранения в РФ), WebForm, Envybox |
| Обратная связь | JivoSite, CallbackHunter (в версии с локальным хранилищем) |
| Конструкторы сайтов | LPgenerator, UKit, Nethouse (с подтверждённой локализацией) |
Какие могут быть последствия?
- За неуведомление Роскомнадзора — до 300 000 ₽.
- За несвоевременное сообщение об утечке — до 3 000 000 ₽.
- За отсутствие согласия на обработку данных — штраф + требование приостановить работу.
- За отказ обслужить без биометрии — до 500 000 ₽.
Что должен сделать маркетолог или владелец сайта?
1. Аудит
- Какие данные вы собираете?
- Где они хранятся?
- Кто к ним имеет доступ?
2. Обновить политику конфиденциальности
- Указать цель, основания и срок хранения;
- Список собираемых данных и используемые технологии;
- Контакты оператора и права пользователя.
3. Реализовать согласие на обработку данных
- Обязательный чекбокс под формами (не по умолчанию);
- Cookie-баннер с управлением предпочтениями.
4. Зарегистрироваться как оператор персональных данных
- Подача уведомления в Роскомнадзор (можно через сайт pd.rkn.gov.ru);
- Вести журнал обработки, актуализировать информацию об операциях с данными.
5. Перенести данные на территорию РФ
- Проверить хостинг;
- Перейти на облачные и аналитические сервисы с локализацией.
Важно!
Даже если сайт не собирает «очевидные» персональные данные, IP-адрес и cookies уже считаются персональными, если позволяют отследить действия конкретного пользователя.
Закон одинаково строг к корпоративным сайтам, лендингам, интернет-магазинам, блогам, форумам и даже проектам в стадии MVP.
Инструкция по формированию уведомления в РКН.
Заключение
В эпоху цифровизации каждый сайт — это потенциальный источник утечки персональных данных. С принятием 420-ФЗ, ответственность за это стала намного выше. Это не только вопрос соблюдения закона, но и вопрос доверия со стороны клиентов и партнёров.
Если вы ещё не провели аудит, не зарегистрированы в РКН, и ваш сайт работает на зарубежных платформах — начните с минимального: защита, документы, хостинг. Это инвестиция в стабильность вашего бизнеса.
Нужна помощь? Мы проводим аудит сайтов, настраиваем политику обработки данных, готовим шаблоны документов и помогаем с регистрацией в Роскомнадзоре.
Есть вопросы?
Можете обращаться по телефону +7 (911) 5-0000-45 по будням с 09:00 до 20:00.
