Штрафы за авторизацию через иностранные сервисы и нарушения в рекомендательных технологиях

17 июня 2026 года Совет Федерации одобрил закон, предусматривающий административную ответственность за предоставление пользователям возможности авторизации через иностранные сервисы, а также за нарушения требований к применению рекомендательных технологий. Размеры штрафов являются значительными и могут достигать 700 000 рублей.

Следует учитывать, что запрет на вход и регистрацию на российских информационных ресурсах с использованием зарубежных сервисов, включая Apple ID и Google, действует с декабря 2023 года. Однако до настоящего времени ответственность за несоблюдение этого требования фактически не была установлена. В результате часть владельцев сайтов и приложений либо не учитывала данный запрет, либо сознательно продолжала использовать прежние механизмы авторизации.

Ситуация во многом аналогична регулированию маркировки интернет-рекламы: само требование было введено ранее, однако массовое соблюдение началось только после появления реальных штрафных санкций.

Кого касается ответственность

Ответственность по новому закону распространяется не на рядовых пользователей интернета, а на владельцев информационных ресурсов, сайтов и приложений, которые продолжают предоставлять возможность авторизации с нарушением установленных требований.

Пользователь не несет ответственности за наличие аккаунта в иностранном сервисе или за использование электронной почты зарубежного провайдера. Обязанность по приведению механизмов входа и регистрации в соответствие с законом возложена именно на владельцев ресурсов.

Какие способы авторизации запрещены

Под ограничения подпадают любые иностранные сервисы идентификации и авторизации, независимо от того, используются они как основной или дополнительный способ входа.

К запрещенным способам относятся, в частности:

• вход через аккаунт Google;
• авторизация через Apple ID;
• использование иностранных почтовых сервисов в качестве провайдера авторизации, включая Gmail, Outlook, Yahoo и другие зарубежные системы;
• иные иностранные сервисы, обеспечивающие техническую процедуру идентификации пользователя.

Принципиально важно различать адрес электронной почты и сервис авторизации. Закон не запрещает пользователю указывать адрес Gmail, Outlook или другой иностранной почтовой службы в качестве логина или контактного email. Нарушением является ситуация, при которой сайт предлагает кнопку входа через иностранный сервис, а сама процедура аутентификации осуществляется с использованием зарубежной системы.

Иными словами, пользователь может зарегистрироваться с адресом Gmail как с обычным email. Однако ресурс не вправе предоставлять ему возможность входа через кнопку «Войти через Google», если техническая авторизация происходит через иностранного провайдера.

Разрешённые способы авторизации

Закон предусматривает закрытый перечень допустимых способов входа для пользователей, находящихся на территории Российской Федерации.

К разрешенным вариантам относятся:

• авторизация по номеру мобильного телефона российского оператора связи;
• вход через Единую систему идентификации и аутентификации, то есть через учётную запись на портале «Госуслуги»;
• идентификация через Единую биометрическую систему;
• авторизация с использованием российских информационных систем, например через аккаунты Яндекс, VK, Mail.ru и другие отечественные платформы.

Основной вывод заключается в следующем: закон не требует удаления ранее созданных аккаунтов пользователей, если они были зарегистрированы через иностранные сервисы до введения запрета. Ограничение касается именно предоставления возможности входа через такие сервисы.

Владелец ресурса обязан исключить иностранные способы авторизации из интерфейса и технической инфраструктуры, а пользователям предоставить законные альтернативные способы входа. Наличие у пользователя аккаунта Google или Apple само по себе не является нарушением. Нарушением становится возможность авторизоваться на российском ресурсе через этот аккаунт.

Что относится к рекомендательным технологиям

Рекомендательные технологии — это информационные технологии предоставления информации на основе сбора, систематизации и анализа сведений о предпочтениях пользователей сети Интернет, находящихся на территории Российской Федерации.

Такое определение содержится в статье 10.2-2 Федерального закона от 27 июля 2006 года № 149-ФЗ.

В практическом смысле речь идет о любых алгоритмах, которые анализируют поведение, интересы или предпочтения пользователя и на основании этих данных подбирают для него товары, услуги, публикации, видео, музыку, новости или иной контент.

Где применяются рекомендательные технологии

Рекомендательные алгоритмы используются значительно шире, чем может показаться на первый взгляд. С ними пользователи сталкиваются практически ежедневно.

Типичные примеры:

• маркетплейсы, которые предлагают товары на основе истории просмотров, покупок или похожих интересов;
• видеосервисы, формирующие подборки роликов с учётом предыдущих просмотров;
• музыкальные платформы, предлагающие треки и плейлисты на основе предпочтений пользователя;
• онлайн-кинотеатры, рекомендуемые фильмы и сериалы;
• социальные сети, формирующие персонализированные ленты;
• новостные агрегаторы, подбирающие материалы с учетом читательского поведения;
• интернет-магазины с блоками «с этим товаром покупают», «вам может понравиться», «похожие товары»;
• сервисы с персональными подборками услуг, статей, курсов или другого контента.

Если на сайте или в приложении используется механизм, который подбирает информацию под конкретного пользователя на основании его действий, интересов или иных данных, такой ресурс применяет рекомендательные технологии и должен соблюдать соответствующие требования закона.

Почему регулирование касается не только крупных платформ

Распространенная ошибка владельцев небольших сайтов и интернет-магазинов заключается в предположении, что требования к рекомендательным технологиям относятся только к крупным цифровым платформам. Это неверно.

Закон не устанавливает исключений для малого бизнеса, небольших интернет-магазинов, блогов, сервисных сайтов или сайтов-визиток. Если на ресурсе работают персонализированные рекомендации, владелец обязан выполнить установленные требования независимо от масштаба проекта.

Даже простой блок с рекомендациями похожих товаров или услуг может формально подпадать под регулирование, если он формируется на основе анализа пользовательских предпочтений или поведения.

Обязанности владельца ресурса при использовании рекомендательных технологий

Владелец информационного ресурса, на котором применяются рекомендательные технологии, обязан соблюдать ряд требований.

Во-первых, такие технологии не должны нарушать права и законные интересы граждан и организаций.

Во-вторых, запрещается использовать рекомендательные алгоритмы для предоставления информации с нарушением законодательства Российской Федерации.

В-третьих, пользователи должны быть проинформированы о применении рекомендательных технологий.

В-четвертых, на сайте необходимо разместить в свободном доступе документ под названием «Правила применения рекомендательных технологий». Документ должен быть составлен на русском языке, быть доступным без регистрации, оплаты и иных ограничений.

В указанных Правилах необходимо раскрыть:

• какие рекомендательные технологии используются на ресурсе;
• какие сведения о предпочтениях пользователей собираются;
• каким образом осуществляется сбор, систематизация и анализ таких сведений;
• какие методы применяются для формирования рекомендаций;
• какие способы обработки данных используются;
• кто является владельцем информационного ресурса;
• адрес электронной почты для обращений.

Ответственность за нарушения

Закон вводит новые составы административных правонарушений в КоАП РФ: статью 13.55, связанную с нарушениями требований к авторизации, и статью 13.56, касающуюся нарушений при применении рекомендательных технологий.

По статье 13.55 ответственность наступает, в частности, за предоставление пользователям возможности входа через иностранные сервисы идентификации, включая Google ID, Apple ID, Gmail, Outlook, Yahoo и другие зарубежные системы, а также за отсутствие предусмотренных законом способов авторизации.

По статье 13.56 ответственность может наступить за применение рекомендательных технологий с нарушением прав и законных интересов граждан, за использование таких технологий без информирования пользователей, за отсутствие на сайте Правил применения рекомендательных технологий, а также за непредставление сведений о владельце ресурса и контактной информации.

Отдельный и наиболее серьёзный состав связан с неисполнением требования Роскомнадзора о прекращении применения рекомендательных технологий. В этом случае размер штрафа для юридических лиц может достигать 2,8 млн рублей.

Важно учитывать, что нарушения требований к авторизации и нарушения порядка применения рекомендательных технологий являются самостоятельными составами. Если на одном ресурсе одновременно сохраняется вход через иностранные сервисы и отсутствуют обязательные документы по рекомендательным технологиям, штрафы могут быть назначены отдельно по каждому нарушению.

Что необходимо сделать владельцам сайтов и приложений

Закон находится на стадии подписания Президентом, поэтому у владельцев ресурсов остается ограниченное время для приведения сайтов и приложений в соответствие с новыми требованиями.

Ниже приведен порядок действий, который позволит снизить риск привлечения к ответственности.

Шаг 1. Провести аудит всех способов авторизации

Первым этапом необходимо проверить все точки входа и регистрации пользователей.

Аудиту подлежат:

• основной сайт;
• мобильная версия сайта;
• адаптивные интерфейсы;
• мобильные приложения для iOS и Android;
• личные кабинеты пользователей;
• страницы регистрации;
• страницы восстановления доступа;
• разделы привязки внешних аккаунтов.

Необходимо установить, какие способы входа доступны пользователям. Особое внимание следует обратить на кнопки и интеграции вида «Войти через Google», «Войти через Apple», а также на авторизацию через Gmail, Outlook, Yahoo, GitHub, Microsoft Account и иные иностранные сервисы.

Также следует проверить, используется ли зарубежная электронная почта именно как сервис аутентификации, а не просто как логин или контактный адрес.

Шаг 2. Отключить запрещённые способы входа

Удаления кнопки из интерфейса недостаточно. Необходимо не только визуально убрать запрещённые способы авторизации, но и полностью отключить техническую возможность входа через иностранные сервисы.

Для этого требуется:

• удалить кнопки и ссылки на иностранные способы авторизации;
• отключить OAuth-провайдеров;
• деактивировать API-ключи и технические интеграции с Google, Apple и другими зарубежными системами;
• проверить сценарии восстановления пароля;
• исключить возможность привязки иностранного аккаунта в личном кабинете;
• убедиться, что пользователь не может использовать запрещенный способ входа ни на одном этапе взаимодействия с ресурсом.
  
  
  
  

В качестве примера можно отметить, что на некоторых крупных платформах ранее сохранялись кнопки входа через Gmail, но они уже были неактивны. Однако с точки зрения минимизации рисков целесообразно полностью удалить такие элементы из интерфейса.

Шаг 3. Внедрить разрешённые способы авторизации

Владельцу ресурса необходимо предоставить пользователям как минимум один законный способ входа.

Для небольших сайтов наиболее практичным решением может быть авторизация по номеру телефона с подтверждением через СМС. Для крупных платформ целесообразно предусмотреть несколько вариантов входа, включая российские сервисы авторизации и, при необходимости, интеграцию с ЕСИА.

При планировании работ следует заранее оценить технические сроки, бюджет, нагрузку на разработчиков и возможное влияние изменений на пользовательский опыт.

Шаг 4. Организовать переход для ранее зарегистрированных пользователей

Если пользователи ранее создавали аккаунты через иностранные сервисы, удалять такие аккаунты не требуется. Однако необходимо обеспечить переход на разрешённые способы входа.

Рекомендуемый порядок действий:

1. Уведомить пользователей о необходимости привязать российский способ авторизации.
2. Предусмотреть возможность привязки номера телефона или аккаунта в российской информационной системе через личный кабинет.
3. Сделать процедуру перехода максимально простой и понятной.
4. После привязки разрешенного способа входа отключить для пользователя возможность авторизации через иностранный сервис.

Оптимальный вариант — разместить в личном кабинете уведомление с предложением привязать номер телефона или иной разрешенный способ авторизации.

Шаг 5. Проверить наличие рекомендательных технологий

Следующий этап — определить, используются ли на ресурсе рекомендательные алгоритмы.

Проверке подлежат:

• блоки похожих товаров;
• персональные подборки;
• рекомендации услуг;
• умные ленты;
• автоматические предложения контента;
• подборки на основе просмотров, покупок или интересов;
• блоки «вам может быть интересно»;
• механизмы индивидуальной выдачи материалов.

Если хотя бы один из таких инструментов работает на основе анализа пользовательских данных или предпочтений, ресурс должен соблюдать требования закона о рекомендательных технологиях.

Шаг 6. Подготовить и опубликовать Правила применения рекомендательных технологий

На сайте должен быть размещен отдельный документ, описывающий порядок применения рекомендательных технологий.

В документе необходимо указать:

• какие именно рекомендательные технологии используются;
• какие данные учитываются при формировании рекомендаций;
• используются ли история просмотров, покупки, геолокация, действия в личном кабинете или иные сведения;
• как осуществляется сбор и систематизация данных;
• каким образом формируются рекомендации;
• какие права есть у пользователя;
• куда пользователь может направить обращение;
• кто является владельцем ресурса.

Документ должен быть доступен без регистрации и оплаты. Разместить его можно в разделе «Документы», «Правовая информация», «Политика конфиденциальности» или на отдельной странице сайта.

Шаг 7. Уведомить пользователей о применении рекомендательных технологий

Самого наличия документа на сайте недостаточно. Пользователь должен быть проинформирован о том, что на ресурсе используются рекомендательные технологии.

Наиболее безопасный вариант — разместить уведомление при первом посещении сайта или при первом использовании функционала, связанного с персональными рекомендациями. В уведомлении следует указать, что ресурс применяет рекомендательные алгоритмы, а также предоставить ссылку на Правила их применения.

Шаг 8. Разместить сведения о владельце ресурса

Закон требует раскрытия информации о владельце информационного ресурса.

Для физических лиц необходимо указать фамилию и инициалы. Для юридических лиц — полное наименование организации. Также должен быть указан адрес электронной почты для юридически значимых сообщений и обращений пользователей.

Эти сведения следует разместить в открытом доступе, например в разделах «Контакты», «О сайте», «Реквизиты» или «Правовая информация».

Шаг 9. Назначить ответственного за взаимодействие с Роскомнадзором

Роскомнадзор получает полномочия выявлять нарушения и направлять владельцам ресурсов требования об их устранении. Поэтому необходимо заранее определить ответственного сотрудника или подразделение, которое будет отслеживать такие уведомления и обеспечивать оперативное реагирование.

Рекомендуется:

• назначить ответственного за мониторинг требований Роскомнадзора;
• установить порядок обработки поступающих уведомлений;
• определить сроки внутреннего реагирования;
• обеспечить взаимодействие между юридическим, техническим и административным блоками;
• контролировать исполнение требований в полном объёме.

Особое внимание следует уделить предписаниям о прекращении использования рекомендательных технологий. Неисполнение такого требования может повлечь для юридического лица штраф до 2,8 млн рублей.

Итог

Владельцам сайтов и приложений необходимо провести комплексную проверку своих ресурсов: отключить иностранные способы авторизации, внедрить разрешённые механизмы входа, проверить наличие рекомендательных технологий, подготовить обязательные правила их применения и разместить сведения о владельце ресурса.

Формальный подход в данном случае создает существенные риски. Недостаточно просто удалить кнопку из интерфейса или добавить общий текст в политику конфиденциальности. Требуется фактическое техническое и документальное соответствие требованиям закона.

Чем раньше ресурс будет приведён в соответствие, тем ниже вероятность штрафов, предписаний Роскомнадзора и последующих претензий со стороны контролирующих органов.