С 30 мая 2025 года вступает в силу закон, который может обойтись бизнесу очень дорого.
Речь про закон №420-ФЗ: он вводит «оборотные» штрафы за утечку персональных данных (ПДн), а также за не корректную обработку ПДн. Это значит, что сумма штрафа будет зависеть от вашего дохода. И под «утечкой» теперь попадает даже простая передача данных третьим лицам — например, в сторону Google Analytics, Google Tag Manager (GTM) или Google Forms, Facebook Pixel Code.
Минимальные штрафы такие:
- физлица: от 100 000 до 200 000 ₽
- должностные лица: от 200 000 до 400 000 ₽
- юрлица и ИП: от 3 до 5 млн ₽
С января 2025 года Роскомнадзор требует, чтобы все сайты, использующие Google-сервисы, официально уведомляли об этом. Потому что данные улетают за границу — а это уже трансграничная передача персональных данных. И она должна быть согласована с РКН.
Что нужно сделать
- Удалить с сайта любые скрипты Google Analytics, Google Tag Manager (GTM) или Google Forms.
- Если Роскомнадзор уже зафиксировал передачу данных — просто удалить код недостаточно. Придётся отправить официальное уведомление о прекращении передачи.
Подать уведомление через сайт Роскомнадзора.
Дождаться решения (до 10 рабочих дней).
- Дополнительно от вас требуется:
- добавить форму согласия на обработку персональных данных
- указать использование аналитики (GA, Яндекс.Метрика и пр.)
- обновить политику конфиденциальности
- дополнить текстом окно с информацией о cookie
Если вы продолжаете использовать Google-сервисы без согласия пользователей, возможны штрафы:
- физлица: от 30 000 до 50 000 ₽
- ИП: от 100 000 до 200 000 ₽
- юрлица: от 1 до 6 млн ₽ (повторно — до 18 млн)
- Если вам НЕОБХОДИМЫ сервисы Google, то:
На сайте Роскомнадзора заполнить уведомление о намерении осуществлять трансграничную передачу персональных данных.
В уведомлении нужно указать, куда и зачем будут передавать данные. В случае с Google Analytics цель — анализ поведения посетителей сайта, а страна — США.
Роскомнадзор рассмотрит уведомление в течение 10 дней и примет решение, может ли бизнес заниматься трансграничной передачей персональных данных. Если ведомство посчитает, что данные пользователей в безопасности, оно вынесет разрешение. А если решит, что данные россиян недостаточно защищены, — потребует ограничить передачу или остановить её.
Google Analytics не запрещён, но порядок работы с ним теперь строго регламентирован.
Дополнительные источники
Роскомнадзор требует уведомлять об использовании Google Analytics, Google Forms, Google Tag Manager (GTM)
- Роскомнадзор требует уведомлять об использовании Google Analytics
- 7 ошибок, из-за которых ваш сайт могут оштрафовать, новые требования с 25 мая 2025 года: чек-лист по 152-ФЗ от IT-юриста
- Новые требования к персональным данным: что изменится с 30 мая 2025 года
- Роскомнадзор будет наказывать владельцев сайтов за Google Analytics и Google Forms