Изменения законов для сайтов в 2025–2026 годах

Здесь собраны изменения законов 2025–2026 годов, которые меняют требования к сайтам: когда норма вступает в силу, каким законом она введена, что поменять на сайте и где прочитать текст. Нормы сверены 21.10.2026 по текстам на consultant.ru: КоАП РФ в редакции от 04.08.2026, 152-ФЗ — от 26.07.2026, Закон № 2300-1 — от 28.12.2025 с изменениями от 17.02.2026, 149-ФЗ — от 26.06.2026, 38-ФЗ — от 04.08.2026. То, что на 21.10.2026 ещё не вступило в силу, помечено отдельно.

30 мая 2025: новые штрафы за персональные данные

С 30 мая 2025 года действуют поправки Федерального закона от 30.11.2024 № 420-ФЗ в ст. 13.11 КоАП РФ: выросли штрафы за обработку данных без законного основания, появились составы за неуведомление Роскомнадзора и за утечки.

Закон вступил в силу «по истечении ста восьмидесяти дней после дня его официального опубликования» (ст. 2 420-ФЗ). Суммы для организаций по ст. 13.11 КоАП РФ (в ч. 10–15 — для коммерческих организаций: в государственных органах и некоммерческих организациях по этим частям штрафуют должностных лиц, примечания 2 и 3 к ст. 13.11):

• обработка без законного основания (ч. 1) — от 150 000 до 300 000 ₽;
• не подано уведомление о намерении обрабатывать персональные данные (ч. 10) — от 100 000 до 300 000 ₽;
• Роскомнадзору не сообщили об утечке (ч. 11) — от 1 000 000 до 3 000 000 ₽;
• утечка данных (ч. 12–14) — от 3 000 000 ₽ до 15 000 000 ₽ в зависимости от числа людей и идентификаторов;
• повторная утечка (ч. 15) — от 1 до 3 процентов выручки за предыдущий год, но не менее 20 000 000 и не более 500 000 000 ₽.

Что сделать: проверить, подано ли уведомление (как это сделать), и заранее решить, кто и как сообщает Роскомнадзору об утечке. Суммы по всем составам — в статье «Штрафы для сайтов».

Запись оператора в реестре Роскомнадзора по ИНН с сайта Закониум проверяет правилом NC-152-24.

1 июля 2025: данные россиян — только в российских базах

С 1 июля 2025 года ч. 5 ст. 18 152-ФЗ действует в новой редакции: запись, хранение и другие действия с данными граждан России с использованием баз данных за пределами России не допускаются.

Новую редакцию дал Федеральный закон от 28.02.2025 № 23-ФЗ, он «вступает в силу с 1 июля 2025 года» (ч. 1 ст. 10). Исключения — случаи из пунктов 2, 3, 4 и 8 ч. 1 ст. 6 152-ФЗ.

Что сделать: проверить, где физически оказываются данные из форм, CRM, сервиса рассылок и на хостинге. Подробно — в статье «Локализация баз данных». Штраф организации по ч. 8 ст. 13.11 КоАП — от 1 000 000 до 6 000 000 ₽.

Страну, из которой отвечает сервер сайта, Закониум проверяет правилом NC-152-17, формы сторонних сервисов на страницах и страну такого сервиса — правилом NC-152-23.

1 сентября 2025: согласие — отдельно от других документов

С 1 сентября 2025 года согласие на обработку персональных данных оформляют отдельно от других документов, которые человек подтверждает или подписывает: такое предложение добавлено в ч. 1 ст. 9 152-ФЗ.

Текст нормы: «Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Его ввела ст. 5 Федерального закона от 24.06.2025 № 156-ФЗ; по ч. 2 ст. 7 того же закона «статьи 2 и 5 настоящего Федерального закона вступают в силу с 1 сентября 2025 года».

Что сделать: в форме — отдельная отметка и отдельный текст согласия, а не пункт оферты или пользовательского соглашения и не общая галочка «согласен со всеми условиями». Как составить согласие — в статье «Согласие на обработку персональных данных в форме».

Согласие, объединённое с офертой, условиями или согласием на рекламу, Закониум находит правилом NC-152-06.

1 сентября 2025: нельзя рекламировать средства обхода блокировок

С 1 сентября 2025 года ч. 10.8 ст. 5 38-ФЗ запрещает рекламу программ и устройств для доступа к сайтам и сетям, доступ к которым в России ограничен.

Текст нормы: «Не допускается распространение рекламы программно-аппаратных средств доступа к информационным ресурсам, информационно-телекоммуникационным сетям, доступ к которым ограничен в соответствии с законодательством Российской Федерации». Часть добавил Федеральный закон от 31.07.2025 № 332-ФЗ: по ч. 2 ст. 2 эта поправка, как и связанные с ней изменения ст. 38 38-ФЗ, вступает в силу с 1 сентября 2025 года, остальные положения закона — с 1 января 2026 года.

Что сделать: убрать с сайта баннеры и партнёрские ссылки на такие сервисы. Остальные требования к рекламе — в статье «Реклама на сайте».

1 сентября 2025 и 9 января 2026: допуслуги — только с согласия покупателя

С 1 сентября 2025 года платные дополнительные товары и услуги продают только с согласия покупателя, а заранее проставленные отметки о таком согласии запрещены: так требует п. 3.1 ст. 16 Закона № 2300-1.

Пункт ввёл Федеральный закон от 07.04.2025 № 69-ФЗ, он «вступает в силу с 1 сентября 2025 года». В норме сказано: «Проставление продавцом (исполнителем, владельцем агрегатора) автоматических отметок о согласии потребителя на приобретение дополнительных товаров … не допускается». Согласие оформляют письменно, если иное не предусмотрено законом, а доказать его должен продавец. Деньги за навязанное покупатель вправе потребовать назад, и вернуть их нужно в течение трёх дней.

С 9 января 2026 года выросли штрафы за навязывание — когда покупку основного товара обусловливают покупкой дополнительного — по ч. 2.1 ст. 14.8 КоАП РФ: должностным лицам — от 50 000 до 150 000 ₽, организациям — от 200 000 до 500 000 ₽. Суммы поменял Федеральный закон от 29.12.2025 № 561-ФЗ; своей даты вступления в силу в нём нет, поэтому действует общее правило — «по истечении десяти дней после дня их официального опубликования» (ст. 6 Федерального закона от 14.06.1994 № 5-ФЗ); закон опубликован 29.12.2025.

Что сделать: убрать из корзины и оформления заказа заранее выбранные платные опции — например, страховку, подарочную упаковку, расширенную гарантию — и спрашивать согласие на каждую отдельно.

1 марта 2026: информация для покупателей — на русском

С 1 марта 2026 года действует ст. 10.1 Закона № 2300-1: информация, предназначенная для публичного ознакомления потребителей и не являющаяся рекламой, должна быть выполнена на русском языке.

Статью ввела ст. 1 Федерального закона от 24.06.2025 № 168-ФЗ; по ч. 2 ст. 5 168-ФЗ «статьи 1 и 4 настоящего Федерального закона вступают в силу с 1 марта 2026 года».

Сайты в статье прямо не названы: п. 1 ст. 10.1 говорит о вывесках и иных средствах размещения информации — надписях, указателях, информационных табличках и других носителях — при торговле и обслуживании потребителей. Сведения о продавце и товарах на русском языке требует и п. 2 ст. 8 Закона № 2300-1.

Что сделать: проверить надписи и названия, обращённые к покупателю, и дать русский вариант. Что считается нарушением и какие иностранные слова остаются законными — в статье «Англицизмы на сайте».

Иностранные слова в текстах, латиницу в интерфейсе и заголовок главной на иностранном языке Закониум проверяет правилами NC-168-01, NC-168-02 и NC-168-03.

1 марта 2026: подписка — отказ от сохранённой карты

С 1 марта 2026 года сервис, который продаёт подписку через сайт или приложение, не вправе списывать периодические платежи по реквизитам карты или счёта, от использования которых покупатель отказался.

Так требует п. 4.2 ст. 16.1 Закона № 2300-1. Исполнитель также «обязан обеспечить прием отказа потребителя … в том числе в электронной форме». Пункт ввёл Федеральный закон от 15.10.2025 № 376-ФЗ, он «вступает в силу с 1 марта 2026 года».

Что сделать: дать в личном кабинете способ отказаться от сохранённой карты и после отказа не списывать по ней платежи.

1 апреля 2026: одна цена при оплате в рассрочку

С 1 апреля 2026 года продавец не вправе устанавливать на один вид товара разные цены в зависимости от того, платит покупатель сразу, в рассрочку или через сервис рассрочки.

Это п. 4.1 ст. 16.1 Закона № 2300-1, его ввёл Федеральный закон от 31.07.2025 № 284-ФЗ: «Настоящий Федеральный закон вступает в силу с 1 апреля 2026 года» (ч. 1 ст. 4). Исключения — договоры с участниками эксперимента по партнёрскому финансированию по Федеральному закону от 04.08.2023 № 417-ФЗ и договоры участия в долевом строительстве (ч. 2 ст. 4 284-ФЗ).

Что сделать: убрать с карточек товара отдельную цену «при оплате частями», если она отличается от обычной. О цене на сайте — в статье «Цена на сайте».

7 июля 2026: штрафы за авторизацию и рекомендательные технологии

С 7 июля 2026 года в КоАП РФ есть ст. 13.55 — за авторизацию пользователей из России не тем способом, который требует закон, и ст. 13.56 — за нарушения при рекомендательных технологиях.

Обе статьи ввёл Федеральный закон от 26.06.2026 № 199-ФЗ. Своей даты вступления в силу в нём нет, поэтому действует общее правило — «по истечении десяти дней после дня их официального опубликования» (ст. 6 Федерального закона от 14.06.1994 № 5-ФЗ); закон опубликован 26.06.2026.

Способы авторизации перечислены в ч. 10 ст. 8 149-ФЗ: если информация на сайте доступна только после входа, российская организация или гражданин России проводит авторизацию пользователей из России по номеру мобильного телефона, через ЕСИА, через Единую биометрическую систему или через иную систему российского владельца, отвечающую требованиям ст. 16 149-ФЗ. Штраф по ст. 13.55: должностным лицам — от 30 000 до 50 000 ₽, организациям — от 500 000 до 700 000 ₽.

По ч. 2 и 3 ст. 13.56 организацию штрафуют на сумму от 500 000 до 700 000 ₽, если сайт подбирает информацию по предпочтениям пользователей и не сообщает об этом или если на нём нет правил применения рекомендательных технологий, адреса электронной почты и наименования владельца. Сами требования — в ст. 10.2-2 149-ФЗ.

Что сделать: если на сайте есть вход — проверить, каким способом он проходит; если информация подбирается по предпочтениям посетителей — сообщить об этом на сайте, опубликовать правила применения рекомендательных технологий, указать адрес электронной почты и наименование владельца.

Вход через иностранные сервисы Закониум находит правилом NC-149-02.

26 июля 2026: передача данных за рубеж — по перечню стран

С 26 июля 2026 года после уведомления Роскомнадзора сразу передавать персональные данные можно только в страны из перечня Роскомнадзора: участие страны в Конвенции Совета Европы само по себе этого больше не даёт.

Так изменил ст. 12 152-ФЗ Федеральный закон от 26.07.2026 № 265-ФЗ: из частей 10 и 11 исключены слова о сторонах Конвенции, а в перечень теперь включают страны, регулирование и меры защиты данных в которых соответствуют Конвенции. В страны вне перечня данные по общему правилу передают не раньше сроков из ч. 9 ст. 12. Статья 1 закона действует со дня официального опубликования (ч. 1 ст. 7), закон опубликован 26.07.2026.

Что сделать: для зарубежных сервисов на сайте — аналитики, рассылок, CRM — проверить страну по перечню и уведомление о трансграничной передаче. Подробно — в статье «Локализация баз данных».

Зарубежные сервисы, которые получают данные посетителей, Закониум находит правилом NC-152-09, зарубежные подключения вне каталога сервисов — правилом NC-152-20.

1 сентября 2026: сертификат или декларация — ссылкой в описании товара

С 1 сентября 2026 года при продаже через сайт информацию об обязательном подтверждении соответствия товара продавец доводит ссылкой в описании товара на запись о сертификате или декларации в реестре.

Так требует п. 2 ст. 26.1 Закона № 2300-1 в редакции Федерального закона от 28.12.2024 № 546-ФЗ, который «вступает в силу с 1 сентября 2026 года». Ссылка ведёт на запись в реестре сертификатов соответствия и деклараций о соответствии или в Едином реестре ЕАЭС. Владелец агрегатора (маркетплейса) обязан дать продавцу техническую возможность разместить такую ссылку (п. 4 ст. 10 Закона № 2300-1).

Что сделать: в карточках товаров, которые подлежат обязательной сертификации или декларированию, поставить ссылку на запись в реестре. Что ещё указать о продавце и товаре — в статье «Сведения о продавце на сайте».

1 сентября 2026: домен — после идентификации через ЕСИА

С 1 сентября 2026 года доменное имя регистрируют только после идентификации лица, на которое оно регистрируется, через единую систему идентификации и аутентификации (ЕСИА).

Это ч. 7 ст. 14.2 149-ФЗ из Федерального закона от 29.12.2025 № 569-ФЗ: по ч. 3 ст. 8 «пункт 2 статьи 1 настоящего Федерального закона вступает в силу с 1 сентября 2026 года». Регистрировать домены вправе российские организации из перечней регистраторов (ч. 5 ст. 14.2). Сроки и порядок регистрации определяют правила, которые утверждает Правительство; про уже зарегистрированные домены и их продление закон отдельно не говорит.

Что сделать: новый домен регистрировать у регистратора из перечня и заранее пройти идентификацию через ЕСИА; как именно она проходит, определяют правила регистрации доменных имён.

С 1 сентября 2026 года: оплата цифровыми рублями по этапам

Продавец с выручкой больше 20 000 000 ₽ за прошлый год обязан дать покупателю возможность платить цифровыми рублями. Обязанность вводится в три этапа: с 1 сентября 2026, 2027 и 2028 года.

Норма — абзац пятый п. 1 ст. 16.1 Закона № 2300-1, этапы — в ст. 4 Федерального закона от 23.07.2025 № 248-ФЗ:

• с 1 сентября 2026 года — если выручка за прошлый год больше 120 000 000 ₽ и на 1 января 2026 года у вас есть договор о приёме электронных средств платежа с системно значимым банком или банком, значимым на рынке платёжных услуг;
• с 1 сентября 2027 года (ещё не вступило в силу) — если выручка больше 30 000 000 ₽ и на 1 января 2026 года договор есть с таким банком или с банком с универсальной лицензией;
• с 1 сентября 2028 года (ещё не вступило в силу) — для остальных продавцов с выручкой больше 20 000 000 ₽.

Что сделать: узнать у банка, через который сайт принимает оплату, как подключить оплату цифровыми рублями, и посчитать, на какой этап вы попадаете.

Материал подготовила редакция Закониума и сверила с текстами норм на дату обновления. Как мы готовим материалы.