«Сайт нам делала студия - вот пусть она и отвечает за эти согласия, cookie и политику». Это самая частая реакция владельца бизнеса, когда речь заходит о проверках Роскомнадзора. Логика понятная: не я же писал код и настраивал формы. Проблема в том, что закон смотрит на это иначе, и штраф приходит не тому, кто делал сайт, а тому, кто им владеет.
Ниже - кто по закону отвечает за то, что происходит на сайте, что можно и чего нельзя переложить на подрядчика, и что проверить, чтобы не платить за чужие недоработки. Проверить свой сайт по требованиям законов можно бесплатно, ссылка в конце статьи. Сначала разберёмся, кто вообще считается ответственным.
Кто такой оператор персональных данных и почему это вы
Коротко: оператор - это тот, кто решает, зачем и какие данные собирать. На сайте бизнеса это владелец: он собирает заявки, чтобы продавать. Разработчик лишь делает форму по вашему заданию, целей обработки он не определяет и оператором не становится.
Всё, что связано с ответственностью за данные на сайте, крутится вокруг одного слова - «оператор». Именно оператор обязан иметь политику, собирать согласия и отвечать за нарушения. Закон определяет его так:
«оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными».
Ключевые слова здесь - «определяющие цели обработки». Оператор это не тот, кто технически нажимает кнопки, а тот, кто решает, ради чего собираются данные. На сайте бизнеса цель придумывает владелец: получить заявку, чтобы позвонить и продать. Разработчик такой цели не ставит, он выполняет ваше задание. Поэтому оператор персональных данных - это вы, а не студия.
Отвечает ли разработчик, если сайт делал он
Коротко: перед государством - нет. По 152-ФЗ за обработку данных отвечает оператор, даже если технически её ведёт кто-то другой. Разработчик отвечает только перед вами, по вашему договору, а не перед Роскомнадзором и не перед клиентом.
Даже если формы, cookie и хранение данных настроил подрядчик, перед законом за это отвечаете вы. Прямая норма:
«Ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором».
Смысл простой. Когда вы поручаете обработку данных подрядчику, хостингу или CRM, они становятся исполнителями по поручению. Но перед человеком, чьи данные собираются, и перед Роскомнадзором отвечает оператор. Подрядчик отвечает не перед клиентом и не перед государством, а перед вами - за то, что нарушил условия вашего договора. Один нюанс: если обработку поручили иностранному лицу, тогда перед человеком отвечают оба.
Можно ли прописать в договоре, что за штрафы отвечает подрядчик
Коротко: в договоре с подрядчиком можно написать что угодно, но на Роскомнадзор это не действует. Штраф всё равно выпишут оператору. Договор помогает потом взыскать убытки с подрядчика, но первым платит владелец.
Здесь владельцы часто надеются на фразу в договоре: «за соответствие законодательству отвечает исполнитель». Такая строчка полезна, но работает она в другой плоскости.
Есть две разные ответственности. Первая - административная, перед государством: её несёт оператор, и договором между вами и подрядчиком её не переставить. Роскомнадзор придёт к владельцу сайта и штраф выпишет владельцу. Вторая - гражданско-правовая, между вами и подрядчиком: вот её договор как раз и регулирует. Если из-за ошибки подрядчика вы получили штраф, вы можете попытаться взыскать с него убытки в порядке регресса. Но последовательность именно такая: сначала платит владелец, потом - если это прописано и если удастся доказать вину - деньги возвращает подрядчик.
Если хотите понять, есть ли на вашем сайте те самые недоработки, за которые придётся отвечать, это видно за пару минут. Бесплатная проверка проходит сайт по требованиям законов и показывает зоны риска - до того, как их найдёт проверяющий.
Кого именно штрафует Роскомнадзор
Коротко: Роскомнадзор предъявляет требования к одному из трёх лиц: администратору домена, владельцу сайта или оператору данных. Во всех трёх ролях по умолчанию оказывается владелец бизнеса, а не студия-разработчик.
Когда ведомство находит нарушение, оно адресует требование конкретному лицу. По разбору правового аудита сайтов, ответственным может оказаться:
- администратор доменного имени - тот, на кого зарегистрирован домен;
- владелец (администратор) сайта - тот, кто определяет условия использования сайта;
- оператор персональных данных - тот, кто организует и ведёт обработку данных.
Эти роли описаны в чек-листе по правовому аудиту сайтов на ГАРАНТ. Присмотритесь: во всех трёх по умолчанию стоит владелец бизнеса. Домен обычно зарегистрирован на компанию, условия сайта определяет она же, данные собирает ради своих продаж. Разработчик не занимает ни одну из этих ролей - он сделал работу и ушёл.
Сколько стоит ошибка на сайте
Коротко: с 30 мая 2025 года штрафы за нарушения с персональными данными выросли в разы. Для компании обработка данных без согласия - от 150 000 рублей, а неуведомление об утечке - от 1 миллиона. Все они выписываются оператору, то есть владельцу.
Цена вопроса перестала быть символической. Федеральный закон от 30 ноября 2024 года № 420-ФЗ усилил ответственность по статье 13.11 КоАП, и с 30 мая 2025 года суммы для юридических лиц выглядят так:
| Нарушение | Штраф для юрлица |
|---|---|
| Обработка данных без согласия (или в несовместимых целях) | 150 000 - 300 000 ₽ |
| То же повторно | 300 000 - 500 000 ₽ |
| Нет уведомления Роскомнадзора о намерении обрабатывать данные | 100 000 - 300 000 ₽ |
| Не уведомили об утечке данных | 1 - 3 млн ₽ |
| Сама утечка (до 10 тыс. человек / до 100 тыс. / свыше) | 3-5 / 5-10 / 10-15 млн ₽ |
Данные о размерах - из обзора КонсультантПлюс о новых штрафах с 30 мая 2025 года. Отдельно отмечу: скидка 50% за быструю оплату к статье 13.11 не применяется, платить придётся полную сумму. Полную таблицу штрафов по всем законам мы собрали в отдельном разборе - штрафы за нарушения на сайте в 2026 году.
Когда отвечает подрядчик, а когда владелец
Коротко: подрядчик не бесправен и отвечает за свою работу, но перед вами, по договору, а не перед государством. Ниже - кто перед кем и на каком основании отвечает.
Чтобы не сложилось впечатление, будто подрядчик всегда чист, разложим ответственность по полочкам.
| Ситуация | Кто отвечает | Перед кем | На каком основании |
|---|---|---|---|
| Штраф Роскомнадзора за данные | Владелец (оператор) | Перед государством | 152-ФЗ, КоАП 13.11 |
| Утечка по вине подрядчика | Владелец платит штраф, затем взыскивает с подрядчика | Штраф - государству, регресс - к подрядчику | Договор, поручение на обработку |
| Подрядчик как исполнитель по поручению | Подрядчик | Перед оператором (владельцем) | 152-ФЗ, статья 6, часть 5 |
| Некачественно сделанный сайт | Подрядчик | Перед заказчиком | Договор подряда, ГК РФ |
Вывод из таблицы: подрядчик отвечает реально, но эта ответственность направлена на вас, а не наружу. Для Роскомнадзора и для клиента фигура одна - оператор. Тот же принцип действует по остальным требованиям к сайту: за рекламу отвечает рекламодатель, за реквизиты и документы - владелец. Мы разбирали эту логику на примере 152-ФЗ.
Что сделать владельцу, чтобы не платить за чужие ошибки
Коротко: ответственность не убрать, но ей можно управлять. Оформите с подрядчиком поручение на обработку данных, проверьте сайт своими глазами и держите документы в порядке. Тогда при проверке будет чем ответить, а при ошибке подрядчика - с кого спросить.
Раз отвечает владелец, то и порядок наводить владельцу. Пройдите по пунктам:
- Оформите поручение на обработку данных с каждым, кто трогает данные ваших клиентов - подрядчиком, хостингом, CRM, сервисом рассылок. Закон (статья 6, часть 3) требует прописать в нём перечень данных, цели обработки, обязанность соблюдать конфиденциальность и требования к безопасности.
- Заложите в договор зону ответственности подрядчика и право взыскать с него убытки, включая уплаченный по его вине штраф. Без этой строчки регресс будет доказать труднее.
- Проверьте сайт глазами оператора. Есть ли политика обработки данных, работают ли согласия и cookie-баннер, указаны ли реквизиты, не грузятся ли иностранные трекеры. Это и есть то, за что спрашивают.
- Подайте уведомление в Роскомнадзор о намерении обрабатывать персональные данные, если ещё не подавали. Его отсутствие - отдельный состав со штрафом до 300 000 рублей.
- Держите документы актуальными и требуйте от подрядчика акты сдачи работ. Готовые шаблоны политики и согласия можно взять на странице документов для сайта.
Заниматься этим приходится именно потому, что переложить ответственность не на кого. Раньше владельцы откладывали проверку в надежде «пока не пришли - и ладно». Почему это дорогая логика, мы разобрали отдельно - «Подожду, пока не штрафуют».
Как быстро понять, есть ли на сайте нарушения
Коротко: пройти весь список руками можно, но легко упустить форму или скрипт на внутренней странице. Бесплатная проверка за пару минут показывает, где на сайте зоны риска, по десяти законам сразу.
Проблема ручной проверки в том, что риски прячутся не на главной. Формы заявки, попапы, чекбоксы согласия, сторонние скрипты и cookie живут на внутренних страницах, в личном кабинете, на отдельных лендингах. Проверишь главную - пропустишь самое важное.
WebScanner 2026 проходит сайт целиком и проверяет его сразу по десяти направлениям: персональные данные, cookie, реклама, реквизиты, безопасность и другие. На выходе - отчёт с приоритетами: что критично, а что можно отложить. Проверка бесплатна, без регистрации и без карты - как раз чтобы вы увидели, за что при случае пришлось бы отвечать, и закрыли риски заранее.
Источники
- Федеральный закон № 152-ФЗ, статья 3 (определение оператора) - ГАРАНТ
- Федеральный закон № 152-ФЗ, статья 6 (поручение и ответственность) - legalacts.ru
- Чек-лист по правовому аудиту сайтов: кого привлекает Роскомнадзор - ГАРАНТ
- Персональные данные: новые штрафы с 30 мая 2025 года - КонсультантПлюс
- КоАП РФ, статья 13.11 - КонсультантПлюс
За то, что происходит на вашем сайте, перед законом отвечаете вы - значит, и увидеть слабые места стоит первым именно вам. Проверка сайта по десяти законам РФ - бесплатно, без регистрации и без карты.
Проверьте свой сайт на нарушения
Бесплатно, по всем законам РФ, за 2-7 минут