РКН Аудит
Если сайт показывает блок «с этим товаром покупают», персональную ленту или подборку «специально для вас» и эта подборка строится алгоритмом на данных о предпочтениях пользователей, он применяет рекомендательные технологии. Статья 10.2-2 149-ФЗ, введённая Федеральным законом №408-ФЗ от 31 июля 2023 года и действующая с 1 октября 2023 года, обязывает владельца такого ресурса информировать пользователей, разместить документ с правилами применения технологий и указать контакты для юридически значимых сообщений. Параллельно работает 152-ФЗ: сведения о предпочтениях конкретного посетителя — это обработка персональных данных, которой нужно основание.
Проверить бесплатно, что ваш сайт сообщает посетителю о данных и трекерах ←
Что закон считает рекомендательными технологиями?
Определение в статье 10.2-2 149-ФЗ построено вокруг предпочтений: это информационные технологии предоставления информации на основе сбора, систематизации и анализа сведений, относящихся к предпочтениям пользователей сети «Интернет», находящихся на территории Российской Федерации.
Из этой формулировки следуют границы, которые на практике важнее самого определения.
Попадает под норму:
- персональная лента товаров, статей, объявлений или видео;
- блок «с этим товаром покупают» и «похожие предложения», если подборка построена на поведении пользователей;
- подборка «для вас» в письме и в мобильном приложении;
- переупорядочивание результатов поиска по интересам конкретного посетителя.
Не попадает:
- статичные подборки, одинаковые для всех: «хиты продаж», «новинки», «редакция советует»;
- сортировка по цене, дате или рейтингу, которую выбрал сам пользователь;
- ручные кросс-ссылки «с этим товаром часто берут», проставленные контент-менеджером и не зависящие от того, кто смотрит страницу.
Проверить себя проще всего одним вопросом: строит ли блок алгоритм, анализируя данные о поведении и предпочтениях пользователей — ваших посетителей или покупателей вообще? Если да — обязанности возникают, даже когда все посетители видят одну и ту же подборку. Разные блоки у разных посетителей — частный случай, просто самый заметный снаружи.
Какие обязанности появляются у владельца сайта?
Статья 10.2-2 149-ФЗ устанавливает три требования и один запрет.
- Информировать пользователей о применении рекомендательных технологий. Содержание и порядок размещения такой информации установлены приказом Роскомнадзора от 06.10.2023 №149 (действует с 12 декабря 2023 года): на ресурсе размещается сообщение «На информационном ресурсе применяются рекомендательные технологии» со ссылкой на отдельную страницу, где сказано, что при этом осуществляются сбор, систематизация и анализ сведений о предпочтениях пользователей. Доступ к этой информации — свободный, на русском языке, без регистрации и оплаты.
- Разместить документ, устанавливающий правила применения рекомендательных технологий, — на русском языке, с беспрепятственным доступом.
- Указать контакты — адрес электронной почты для направления юридически значимых сообщений и наименование организации либо фамилию и имя владельца ресурса.
- Запрет: не применять рекомендательные технологии с нарушением прав и законных интересов граждан и организаций и не использовать их для предоставления информации с нарушением законодательства.
У Роскомнадзора по этой статье есть свой набор полномочий: запрашивать информацию и доступ к техническим средствам, направлять уведомления о нарушении, требовать прекращения предоставления информации с применением рекомендательных технологий и инициировать ограничение доступа к ресурсу, если требование не исполнено.
Что должно быть в правилах применения рекомендательных технологий?
Закон называет содержание документа прямо, и это не формальная отписка на три строки. Правила должны содержать:
- описание процессов и методов сбора, систематизации и анализа сведений, относящихся к предпочтениям пользователей, а также способы их осуществления;
- виды сведений о предпочтениях, которые используются, и их источники.
Практически это означает, что документ пишется вместе с тем, кто настраивал систему рекомендаций, а не берётся из шаблона. Минимальный честный набор разделов:
| Раздел документа | Что в нём отвечают |
|---|---|
| Какие сведения используются | История просмотров и заказов, поисковые запросы, добавления в избранное, город, устройство |
| Откуда они берутся | Действия пользователя на сайте, данные аккаунта, сторонние сервисы аналитики — с прямым указанием |
| Как обрабатываются | Что именно делает алгоритм: группирует товары, сравнивает поведение похожих пользователей, учитывает недавние действия |
| Что влияет на выдачу сильнее всего | Понятный человеку порядок факторов, а не формула |
| Как отказаться | Есть ли выключатель персонализации, что произойдёт после отказа |
| Контакты | Электронная почта для юридически значимых сообщений, наименование владельца |
Раздел «как отказаться» закон в перечне содержания прямо не называет, но он решает практическую задачу: пользователь, который не хочет персонализации, получает ответ на сайте, а не через обращение в Роскомнадзор.
Причём тут 152-ФЗ, если статья про информацию?
Потому что сведения о предпочтениях привязаны к конкретному человеку или к его устройству — иначе рекомендация не была бы персональной. Отсюда три обязанности, которые приходят уже из 152-ФЗ и которые 149-ФЗ не отменяет.
Основание обработки. Рекомендации редко необходимы для исполнения договора: заказ исполняется и без подборки «для вас». Значит, основанием обычно оказывается согласие, и цель должна быть названа: персонализация контента и предложений. Если рекомендации уходят в рассылку или в звонок, добавляется статья 15 152-ФЗ с её отдельным предварительным согласием — разбор в статье «Статья 15 152-ФЗ: обработка данных для маркетинга».
Политика и уведомление. Цель «персонализация» должна быть в политике обработки по статье 18.1 152-ФЗ и среди целей в реестре операторов. Формулировки целей разобраны в статье «Цели обработки ПДн в уведомлении РКН».
Автоматизированные решения. Статья 16 152-ФЗ касается решений, которые порождают юридические последствия или иным образом затрагивают права и законные интересы человека и принимаются исключительно на основании автоматизированной обработки. Показ товарной подборки таким решением обычно не является. А вот персональная цена, отказ в доставке или в рассрочке, выставленные алгоритмом без участия человека, — ситуация, в которой статью 16 152-ФЗ нужно разбирать всерьёз, а не отмахиваться от неё.
Трекеры. Данные для рекомендаций собираются скриптами, которые обычно грузятся вместе с аналитикой. Если они срабатывают до получения согласия, нарушение возникает раньше, чем алгоритм что-то порекомендует: механика — в статье «Блокировка скриптов до согласия на cookie».
Чем грозит нарушение требований к рекомендательным технологиям?
До июля 2026 года у статьи 10.2-2 149-ФЗ не было собственного состава в КоАП. Федеральный закон №199-ФЗ, подписанный 26 июня 2026 года и действующий с 7 июля 2026 года, ввёл статью 13.56 КоАП — она посвящена именно этим требованиям.
| Что нарушено | Юридические лица | Должностные лица | Граждане |
|---|---|---|---|
| Применение технологий с нарушением прав и законных интересов (часть 1) | 500 000 – 700 000 ₽ | 30 000 – 50 000 ₽ | 10 000 – 20 000 ₽ |
| Отсутствие информирования пользователей (часть 2) | 500 000 – 700 000 ₽ | 30 000 – 50 000 ₽ | 10 000 – 20 000 ₽ |
| Неразмещение документа с правилами и (или) контактов владельца (часть 3) | 500 000 – 700 000 ₽ | 30 000 – 50 000 ₽ | 10 000 – 20 000 ₽ |
| Повторное нарушение частей 1–3 (часть 4) | 1 000 000 – 1 400 000 ₽ | 60 000 – 100 000 ₽ | 20 000 – 40 000 ₽ |
| Неисполнение требования о прекращении (часть 5) | 1 000 000 – 1 400 000 ₽ | 60 000 – 100 000 ₽ | 20 000 – 40 000 ₽ |
| Повторное неисполнение требования (часть 6) | 1 400 000 – 2 800 000 ₽ | 120 000 – 200 000 ₽ | 40 000 – 80 000 ₽ |
Тем же законом введена статья 13.55 КоАП — про авторизацию на сайтах через иностранные сервисы. Эти два состава появились вместе и проверяются на одних и тех же страницах; что именно изменилось для входа через зарубежные аккаунты, разобрано в статье «Вход через Google: что меняется».
Оговорка, без которой таблица вводит в заблуждение: санкция — это верхняя граница риска, а не ожидаемое событие. Статья 13.56 КоАП действует с 7 июля 2026 года, устоявшейся практики по ней пока нет. Как вообще читать таблицы санкций и насколько назначаемые штрафы расходятся с написанными в кодексе — на примере персональных данных разобрано в статье «Оборотный штраф: сколько раз его назначили на самом деле».
Кто отвечает на маркетплейсе — площадка или продавец?
Требования статьи 10.2-2 149-ФЗ обращены к владельцу информационного ресурса. На маркетплейсе рекомендательную систему строит и запускает площадка: она собирает поведение пользователей, ранжирует карточки и показывает подборки. Продавец, который разместил карточку товара, владельцем ресурса не является и правила применения рекомендательных технологий за маркетплейс не пишет.
Это не значит, что у продавца нет обязанностей вовсе. Разделение ролей по 152-ФЗ — отдельный вопрос, и там продавец почти всегда оказывается самостоятельным оператором в своей части: разбор — в статье «Маркетплейс и персональные данные: кто здесь оператор».
Обратная ситуация встречается чаще, чем кажется: собственный интернет-магазин с включённым модулем рекомендаций — это тот самый информационный ресурс, и обязанности лежат на его владельце целиком, без площадки, на которую можно сослаться.
Что делать владельцу сайта: короткий порядок
- Выясните, есть ли персонализация. Откройте сайт в обычном и в приватном окне и сравните блоки рекомендаций. Спросите разработчика, какие модули CMS и какие внешние сервисы участвуют в подборках.
- Решите: оставлять или отключать. Если рекомендации почти не влияют на продажи, отключение снимает целый пласт обязанностей. Отключать нужно вместе со сбором данных, а не только с блоком в интерфейсе.
- Если оставляете — соберите факты. Какие сведения о предпочтениях собираются, откуда, как обрабатываются, где хранятся.
- Напишите правила применения по перечню из статьи 10.2-2 149-ФЗ и разместите отдельной страницей на русском языке со свободным доступом.
- Добавьте информирование о применении рекомендательных технологий по приказу Роскомнадзора №149 — сообщение со ссылкой на страницу с пояснением — и контакты для юридически значимых сообщений.
- Приведите в соответствие документы по 152-ФЗ: цель персонализации в политике, в тексте согласия и в карточке реестра операторов.
- Проверьте очередь загрузки скриптов: сбор данных для рекомендаций не должен начинаться до согласия.
Пункты 6 и 7 видны снаружи, и именно они обычно оказываются не сделаны. Бесплатный скан на rkn-ok.ru покажет, какие сторонние скрипты работают на страницах, что написано в политике и текстах согласий и есть ли компания в реестре операторов.
→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)
Что читать дальше
- Маркетплейс и персональные данные: кто здесь оператор — разделение ролей площадки и продавца
- Статья 15 152-ФЗ: обработка данных для маркетинга — когда для рекомендаций в рассылке нужно отдельное согласие
- Персональные данные в маркетинге по отраслям — какие данные делают форму чувствительной
- Блокировка скриптов до согласия на cookie — как не собирать предпочтения раньше времени
- Оборотный штраф: сколько раз его назначили — как читать таблицы санкций
Источники: Федеральный закон №149-ФЗ «Об информации, информационных технологиях и о защите информации» — статья 10.2-2; Федеральный закон №408-ФЗ от 31.07.2023; КоАП РФ, статья 13.56; Федеральный закон №152-ФЗ «О персональных данных» — статьи 15, 16, 18.1; приказ Роскомнадзора №149 от 06.10.2023 — требования к содержанию информирования о применении рекомендательных технологий.