Мы проверили 9 000 сайтов малого бизнеса на нарушения закона

Почти у 9 из 10 сайтов малого бизнеса автоматическая проверка находит хотя бы одно нарушение — сервис открывает сайт так же, как обычный посетитель, и видит то же, что увидит проверяющий. Мы прогнали через vlip.site 9 027 сайтов и посмотрели, какие нарушения встречаются чаще всего, у кого именно и с чего стоит начинать, если найдено сразу несколько.

Как мы считали

Это данные о сайтах, которые проверили через vlip.site с 17 апреля по 13 сентября 2026 года, — 9 027 уникальных доменов, если сайт проверяли несколько раз, бралась последняя проверка. Такую выборку нельзя назвать случайным срезом рунета: сайты вводили сами владельцы, маркетологи и веб-студии, часть — из открытых каталогов малого бизнеса. Это скорее срез тех, кто уже задумался о соответствии закону, — реальная доля нарушений по всем сайтам малого бизнеса может отличаться в любую сторону.

Проверка автоматическая: сервис заходит на сайт как посетитель, проходит по основным страницам и смотрит документы, формы, cookie-баннер, счётчики и реквизиты. Большинство находок ниже — «вероятное нарушение»: автоматика замечает признак, а окончательную оценку по конкретному сайту даёт человек. Тип сайта (магазин, услуги, лендинг) тоже определяет сервис автоматически, и от него зависит, какие требования вообще проверяются: правила возврата и оферту сервис ищет только там, где есть корзина или заказ.

Главные цифры

У 86,8% сайтов из выборки нашлось хотя бы одно нарушение, у 63,9% — три и больше. Без единого замечания прошли 13,2% сайтов. В среднем на сайт приходится 3,3 нарушения.

Цифры сильно разнятся по типу сайта. У интернет-магазинов (5 148 сайтов в выборке) нарушения нашлись у 97,0% — в среднем 4,1 на сайт. У сайтов услуг (1 359) — 95,2% и 3,3 в среднем. У лендингов (1 752) — заметно ниже, 47,1% и 1,1 в среднем.

Разница объясняется не тем, что лендинги честнее устроены, а тем, что часть требований к ним попросту не применяется: без корзины не нужны правила возврата, без оплаты — публичная оферта, меньше форм — меньше поводов для нарушений с согласием на обработку данных. По тем пунктам, которые к лендингам применимы, — cookie-баннер и счётчики — нарушения встречаются и у них, просто список проверок короче.

Семь самых частых нарушений

1. Счётчики и пиксели загружаются до согласия посетителя

Что это и почему нарушение. Яндекс.Метрика, реклама и другие счётчики в момент загрузки страницы сохраняют cookie в браузере посетителя и начинают собирать через них данные — раньше, чем он успел что-то нажать на баннере согласия. Такие cookie — персональные данные, их сбор без согласия нарушает ст. 9 152-ФЗ независимо от того, есть на сайте баннер или нет: если счётчик уже сработал до клика «Принять», согласие ничего не решило.

Как проверить за минуту. Откройте сайт в режиме инкогнито — старые cookie не должны мешать. До того как нажимать что-либо на баннере, откройте DevTools (F12) → вкладка Application → Cookies слева, домен сайта справа. Если там уже есть ключи вроде _ym_uid или _ga — счётчик сработал раньше согласия.

Как исправить. Настроить загрузку Метрики и рекламных пикселей так, чтобы они срабатывали только после клика «Принять» на баннере, а не при открытии страницы. Технически это разводка между «баннер показан» и «баннер нажат» — обычно занимает у разработчика от часа.

Штраф. Ст. 9 152-ФЗ, ч. 1 ст. 13.11 КоАП: 150 000–300 000 ₽ для юрлица.

Это самое массовое нарушение из всех: счётчики срабатывают до согласия у 52,0% сайтов выборки — 61,3% у магазинов, 54,6% у сайтов услуг и 20,0% даже у лендингов.

2. Нет правил возврата товара

Что это и почему нарушение. Закон о защите прав потребителей обязывает продавца публиковать условия возврата и обмена товара — сроки, порядок, что можно вернуть, а что нет. Без этого раздела покупатель не знает своих прав до момента, когда уже решил вернуть покупку, и часто узнаёт это в переписке с поддержкой, а не на сайте.

Как проверить за минуту. Откройте подвал сайта и страницы вроде «Доставка и оплата» — ищите ссылку «Возврат и обмен» или похожую. Если её нет ни в меню, ни в футере, ни на странице товара — раздела, скорее всего, нет вообще.

Как исправить. Опубликовать отдельную страницу с условиями возврата: сроки (закон даёт минимум 7 дней на отказ от товара надлежащего качества, если не сказано иное), порядок оформления, кто оплачивает доставку обратно. Шаблон можно взять у похожего магазина в своей нише и адаптировать под свои условия.

Точной вилки штрафа именно за отсутствие правил возврата в статьях КоАП нет — санкции зависят от конкретной ситуации спора с покупателем, поэтому сумму мы не приводим. Но по частоте это второе по массовости нарушение: у 41,2% сайтов выборки нет такого раздела, а среди магазинов — у 72,1%.

3. Нет cookie-баннера с запросом согласия

Что это и почему нарушение. Ещё до вопроса о том, когда именно срабатывают счётчики, у части сайтов нет самого баннера, который спрашивает согласие на cookie. Посетитель вообще не в курсе, что сайт что-то собирает и хранит на его устройстве.

Как проверить за минуту. Откройте сайт в режиме инкогнито и посмотрите на первый экран: если через несколько секунд не появилось окно или полоса с текстом про cookie и кнопкой «Принять» — баннера нет.

Как исправить. Добавить баннер согласия и связать его с загрузкой счётчиков, как описано в пункте 1: одно без другого не решает задачу. Подробный разбор с примерами формулировок — в статье «Как правильно оформить cookie-баннер по 152-ФЗ».

Штраф. Как и для пункта 1 — отсутствие механизма получения согласия на обработку данных через cookie квалифицируется по ст. 9 152-ФЗ, ч. 1 ст. 13.11 КоАП: 150 000–300 000 ₽ для юрлица.

Баннера нет у 37,5% сайтов выборки: у 41,2% магазинов, 43,0% сайтов услуг и 21,7% лендингов.

4. Нет реквизитов компании

Что это и почему нарушение. Закон о защите прав потребителей обязывает продавца указывать на сайте полное наименование, ИНН и ОГРН — это часть информации о продавце, которая должна быть доступна до совершения покупки. Без реквизитов покупатель не может проверить, с кем вообще имеет дело.

Как проверить за минуту. Откройте подвал сайта и страницу «Контакты» или «О компании» — ищите ИНН и ОГРН текстом, не просто телефон и адрес.

Как исправить. Добавить реквизиты в подвал сайта или на отдельную страницу «Реквизиты» — этого обычно достаточно, правки на 15–20 минут для разработчика или самостоятельно через конструктор сайта.

Штраф. Ч. 1 ст. 14.8 КоАП (непредоставление информации о продавце): 5 000–10 000 ₽ для юрлица.

Реквизитов нет у 34,4% сайтов выборки. У сайтов услуг доля даже выше, чем у магазинов, — 56,0% против 39,9%: услуги чаще ограничиваются телефоном и формой заявки, не считая реквизиты обязательными.

5. Политика обработки персональных данных устарела

Что это и почему нарушение. Страница «Политика обработки персональных данных» на сайте есть, но составлена по старой редакции закона или скопирована с чужого сайта без адаптации: без актуальных целей обработки, реквизитов оператора или упоминания требований, которые вступили в силу позже. Формально документ есть, но по сути не выполняет свою функцию — не описывает, что именно и зачем делает конкретный сайт с данными.

Как проверить за минуту. Откройте политику и посмотрите на дату последнего обновления внизу документа и на реквизиты внутри текста: указаны ли ваши ИНН и точное название компании, а не общие фразы вроде «мы уважаем вашу конфиденциальность».

Как исправить. Переписать документ под свой сайт: указать точные цели обработки (какие данные, зачем, как долго хранятся), реквизиты оператора и актуальную дату. Использовать чужой шаблон без правок — то же самое, что не иметь документа вовсе, только на первый взгляд незаметно.

Штраф. Ст. 18.1 152-ФЗ, ч. 3 ст. 13.11 КоАП: 30 000–60 000 ₽ для юрлица, 10 000–20 000 ₽ для ИП.

Устаревшая или формальная политика — у 33,1% сайтов выборки: 42,2% у магазинов, 31,1% у сайтов услуг и лишь 4,3% у лендингов, где меньше форм и, соответственно, поводов для устаревшего документа.

6. Нет согласия на обработку персональных данных в формах

Что это и почему нарушение. Рядом с формой заявки, подписки или заказа нет чекбокса согласия на обработку персональных данных — или он есть, но оформлен неправильно: например, галочка стоит по умолчанию. Предзаполненное согласие — это согласие «по умолчанию», которое не требует от посетителя решения, и суды с Роскомнадзором такое согласие не признают.

Как проверить за минуту. Откройте любую форму на сайте и посмотрите, есть ли рядом чекбокс со ссылкой на текст согласия — отдельного документа, не пункта в общей политике. Проверьте, стоит ли галочка изначально или её нужно поставить самому.

Как исправить. Добавить чекбокс, который посетитель ставит сам, и отдельный текст согласия по ссылке рядом. С 1 сентября 2025 года согласие должно быть оформлено отдельным документом — Федеральный закон № 156-ФЗ дополнил ст. 9 152-ФЗ этим требованием, прятать его внутри оферты или общих условий больше нельзя. Подробный разбор с образцами формулировок — в статье «Как оформить согласие на обработку персональных данных на сайте».

Штраф. Ст. 9 152-ФЗ, ч. 2 ст. 13.11 КоАП (обработка без согласия, когда оно обязательно): 300 000–700 000 ₽ для юрлица.

Такого согласия нет у 29,2% сайтов выборки: 35,0% у магазинов, 29,8% у сайтов услуг и 12,1% у лендингов.

7. Не описан порядок действий при утечке данных

Что это и почему нарушение. В политике обработки персональных данных нет раздела о том, что компания делает в случае утечки, — и, судя по всему, такого порядка нет и внутри компании неформально. Закон обязывает уведомить Роскомнадзор об утечке в течение 24 часов кратким сообщением и в течение 72 часов — полной информацией. Без заранее прописанного порядка компания не уложится в эти сроки просто потому, что в момент утечки никто не будет знать, что делать в первую очередь.

Как проверить за минуту. Откройте политику обработки персональных данных и поищите раздел про инциденты, утечки или нарушения безопасности данных.

Как исправить. Прописать в политике порядок действий при утечке и назначить внутри компании ответственного, который знает про сроки 24/72 часа и куда именно подавать уведомление. Это не техническая доработка сайта, а организационный шаг — но без него остальные пункты теряют смысл при первом же реальном инциденте.

Штраф. Сама процедура на сайте не публикуется под отдельный штраф, но без неё при реальной утечке легко пропустить сроки по ст. 21.1 152-ФЗ, — а несвоевременное уведомление Роскомнадзора наказывается по ч. 11 ст. 13.11 КоАП: 1–3 млн ₽ для юрлица и ИП.

Такого раздела нет у 28,3% сайтов выборки: 35,6% у магазинов, 28,4% у сайтов услуг, 4,3% у лендингов.

Отдельно: реестр операторов персональных данных

Проверить регистрацию в реестре операторов персональных данных можно только по ИНН или ОГРН — и они нашлись не на всех сайтах: на 4 695 из 9 027. Из этих 4 695 сайтов мы не нашли в реестре 1 602 — 34,1%.

Это не значит однозначно, что уведомление не подано: компания могла зарегистрироваться под другими реквизитами, например если сайт ведёт агентство, а оператором формально выступает другое юрлицо. Правильный следующий шаг — проверить вручную на pd.rkn.gov.ru по своим точным реквизитам, а не полагаться на автоматическую проверку. Ещё на 3 572 сайтах ИНН и ОГРН не указаны вовсе, поэтому проверить регистрацию нельзя в принципе, — это тот же случай, что и нарушение из пункта 4. Как подать уведомление и что писать в полях формы — в статье «Уведомление в Роскомнадзор об обработке персональных данных».

С чего начать

Если нашлось сразу несколько нарушений, есть смысл идти не по алфавиту, а по сочетанию трёх факторов: насколько нарушение массовое (то есть насколько вероятно, что оно есть и на вашем сайте), насколько просто его исправить и какой штраф за него грозит.

По этой логике первым делом стоит закрыть счётчики до согласия и cookie-баннер (пункты 1 и 3) — это самое частое нарушение, а исправление у разработчика занимает часы, не недели. Следом — реквизиты (пункт 4): десять минут работы и самый маленький штраф из всех перечисленных, но без них не пройти даже базовую проверку по ЗоЗПП. Дальше — актуализация политики обработки персональных данных (пункт 5): текстовая правка, которую можно сделать самостоятельно. Согласие в формах (пункт 6) требует уже небольшой доработки формы, поэтому логично идти следующим шагом. Правила возврата и порядок действий при утечке (пункты 2 и 7) — организационные решения, которые проще всего отложить в долгий ящик, но именно они всплывают в реальном споре с покупателем или при настоящей утечке данных, поэтому оставлять их «на потом» не стоит дольше недели-двух.

Все нарушения из этой статьи — из бесплатного отчёта, который проверка сайта на соответствие законодательству РФ формирует по вашему сайту за пару минут: те же пункты, но уже с указанием, что именно не так у вас.

Проверить, какие из этих семи пунктов актуальны именно для вашего сайта, можно бесплатно на vlip.site — сервис проходит по этим и другим пунктам автоматически и показывает отчёт с нормами и вилками штрафов за пару минут.