До 2022 года корпоративный сайт можно было сдать в работу и забыть о нём на несколько лет. Он открывался, форма отправляла заявки, реклама крутилась. Обслуживание сводилось к обновлению CMS и продлению домена.
2022-й эту модель закончил. За один год владелец сайта получил три вещи, которых у него раньше не было: технический риск, о котором он не подозревал, юридический статус, о котором его никто не спрашивал, и отчётность, которую надо вести самому. Ниже — по порядку, с датами.
Март: сайт может перестать открываться не по вашей вине
Первое, что сломалось, было самым неожиданным — HTTPS.
В марте 2022 года иностранные удостоверяющие центры начали отзывать SSL/TLS-сертификаты российских сайтов. Механика проста и от владельца сайта не зависит вообще никак: браузер проверяет сертификат и цепочку доверия до выпустившего его центра. Если проверка не проходит, посетитель видит не сайт, а предупреждение о небезопасном соединении. Сам сайт при этом жив, файлы на месте, сервер работает — но зайти на него человек не может.
Реакцией стал Национальный удостоверяющий центр Минцифры: его сертификаты действуют с 2022 года, выдаются бесплатно и работают так же, как сертификаты зарубежных центров. Оборотная сторона — доверие к ним не встроено в большинство браузеров по умолчанию, и пользователю приходится ставить корневой сертификат вручную. В Яндекс Браузере он встроен изначально.
Почему это до сих пор актуально. Тема не закрылась в 2022-м. В июне 2026 года японский GlobalSign — единственный крупный международный центр сертификации, продолжавший полноценно работать с российскими клиентами после 2022 года, — начал принудительный отзыв сертификатов у части российских компаний. По оценке Минцифры, доля GlobalSign в Рунете не превышает 5%, а получить российский TLS-сертификат через Госуслуги можно за три рабочих дня. Но сама конструкция никуда не делась: сертификат вашего сайта выпускает организация, находящаяся вне вашего контроля, и она может передумать.
Март: рекламная инфраструктура ушла за неделю
3 марта 2022 года Google приостановил продажу рекламы в России — поиск, YouTube и партнёрскую сеть. Одновременно прекратился показ объявлений AdSense на территории страны. Для владельцев контентных сайтов, живших с медийной монетизации, это было не снижение дохода, а обнуление строки.
История дотянулась до 2024 года: в августе Google деактивировал все аккаунты AdSense, страной местоположения которых указана Россия, — то есть отключил и тот остаточный доход, который до этого приходил от зарубежных показов.
Практический вывод из 2022 года, который подтвердился четырьмя последующими: единственный канал, который нельзя выключить извне, — это собственный сайт с собственным поисковым трафиком и собственной базой контактов. Всё остальное арендуется у платформы, которая может уйти по причинам, к вашему бизнесу отношения не имеющим.
1 сентября: двойная дата
Дальше был спокойный период, а 1 сентября 2022 года вступили в силу сразу две нормы, каждая из которых меняла статус обычного корпоративного сайта.
266-ФЗ: сайт с формой обратной связи стал оператором персональных данных
Федеральный закон от 14 июля 2022 года № 266-ФЗ внёс поправки в 152-ФЗ «О персональных данных». Ключевое для владельца сайта: были отменены исключения, по которым многие организации раньше могли не подавать уведомление в Роскомнадзор. Регулятор прямо указал, что уведомление нужно подать и тем, кто уже обрабатывал данные в ситуациях, ранее считавшихся исключением.
На практике это означает следующее. Если на сайте есть форма «оставьте имя и телефон, мы перезвоним», вы собираете персональные данные. Если данные попадают в CRM, почту или базу — вы оператор персональных данных и обязаны уведомить об этом Роскомнадзор до начала обработки. Обязанность не возникает только у тех, кто обрабатывает данные вообще без средств автоматизации — то есть исключительно на бумаге.
Тем же законом появилась ещё одна обязанность, о которой в 2022-м почти не говорили, а с 2025-го она стала дорогой: при установлении факта неправомерной передачи персональных данных оператор обязан уведомить об этом Роскомнадзор. Часть норм 266-ФЗ вступила в силу позже, с 1 марта 2023 года.
Три года эти требования существовали почти без санкций. С 30 мая 2025 года штрафы выросли в разы — но об этом в выпуске за 2025 год.
347-ФЗ: вся интернет-реклама стала учитываемой
С 1 сентября 2022 года заработал закон от 2 июля 2021 года № 347-ФЗ, добавивший в закон «О рекламе» статью 18.1. Вся реклама в российском сегменте интернета должна маркироваться: до публикации креатив отправляется оператору рекламных данных (ОРД), тот присваивает ему идентификатор erid, а сведения о договорах, участниках цепочки и статистике передаются в Единый реестр интернет-рекламы (ЕРИР), который ведёт Роскомнадзор.
Первый год прошёл в режиме привыкания: ответственность за нарушение правил маркировки вступила в силу только с 1 сентября 2023 года. Именно поэтому многие компании узнали о законе не в 2022-м, а через год — когда появились штрафы.
Отдельная сложность, которая никуда не делась: граница между «рекламой» и «информацией о себе» на собственном сайте не очевидна и разбирается в каждом случае отдельно. Блок «наши партнёры» со ссылками, баннер стороннего сервиса, обзор чужого продукта — всё это в разных обстоятельствах может оказаться по разные стороны границы.
Что осталось от 2022 года
Три вещи, и все три работают до сих пор.
Инфраструктура сайта стала зоной риска. До 2022-го хостинг, домен и сертификат были технической рутиной. После — стали параметрами, которые надо периодически проверять, потому что решения принимаются не вами. Дальше эта линия только усиливалась: в 2023-м появился реестр хостинг-провайдеров, в 2026-м — обязательная идентификация владельцев доменов .RU.
Владелец сайта получил юридический статус по умолчанию. Никто не спрашивал согласия: поставил форму — стал оператором персональных данных со всеми обязанностями.
Появилась отчётность, которую нельзя делегировать площадке. Маркировка рекламы — это не то, что можно целиком переложить на подрядчика: ответственность распределена по всей цепочке.
Что проверить на своём сайте прямо сейчас
Короткий список — по следам 2022 года, актуальный на 2026-й.
- Кто выпустил ваш TLS-сертификат и когда он истекает. Если это зарубежный коммерческий центр — понимать, что делать при отзыве, лучше заранее, а не в день, когда сайт перестанет открываться.
- Подано ли уведомление в Роскомнадзор об обработке персональных данных. Проверяется по реестру операторов на сайте РКН. Если форма на сайте есть, а вас в реестре нет — это нарушение с 1 сентября 2022 года.
- Актуальны ли сведения в поданном уведомлении. Сменился адрес, добавились новые цели обработки, появилась CRM — сведения надо обновлять.
- Есть ли на сайте политика обработки персданных и корректное согласие в форме. Одной галочки «согласен» без ссылки на политику недостаточно.
- Знаете ли вы порядок действий при утечке. Уведомление в РКН и внутреннее расследование имеют жёсткие сроки, и разбираться в них в момент инцидента — плохая идея.
- Есть ли на сайте что-то, что может быть признано рекламой. Если да — промаркировано ли, передаются ли данные в ЕРИР.
Следующий выпуск хроники: 2023 год — когда за всё перечисленное начали штрафовать, а хостинг стал разрешительным видом деятельности.
Источники и нормативные акты
- Федеральный закон от 14.07.2022 № 266-ФЗ (поправки в 152-ФЗ «О персональных данных»)
- Федеральный закон от 02.07.2021 № 347-ФЗ (статья 18.1 закона «О рекламе»)
- Сообщения Минцифры России о работе Национального удостоверяющего центра
- Сообщения Reuters и российских деловых изданий о приостановке Google Ads, 3–4 марта 2022