Вход через Google и Apple ID теперь под штрафом: разбираю новый закон для бизнеса

С 7 июля 2026 года в России действует закон, который многие владельцы сайтов и приложений пропустили мимо себя — а зря. Речь не о блокировках и не о запретах для пользователей, а о новой административной ответственности для бизнеса за способ входа, который он предлагает своим клиентам.

Что изменилось

Федеральный закон от 26.06.2026 №199-ФЗ внёс поправки в КоАП РФ и установил ответственность за авторизацию пользователей через иностранные сервисы — прежде всего речь про вход по аккаунту Google, Apple ID и аналогичные зарубежные системы идентификации, не имеющие отношения к российской юрисдикции.

Кто отвечает — пользователь или бизнес

Важный момент, который сразу снимает панику: рядовых пользователей закон не касается. Ответственность лежит исключительно на владельцах сайтов и приложений — тех, кто предлагает вход через иностранный сервис как опцию. Если на сайте есть кнопка «Войти через Google» — теперь это не просто вопрос UX, а предмет административного нарушения.

Какие способы входа остались законными

• Российский номер телефона (SMS или звонок с кодом)
• Портал «Госуслуги»
• Единая биометрическая система
• Информационная система, владелец которой — гражданин РФ или российское юридическое лицо

Сколько теперь стоит нарушение

• Граждане, включая ИП — владельцев сайтов — от 10 000 до 20 000 ₽
• Должностные лица — от 30 000 до 50 000 ₽
• Юридические лица — от 500 000 до 700 000 ₽
• Повторное нарушение для юрлиц — до 1 400 000 ₽

Что делать прямо сейчас

Если на сайте или в приложении есть вход через иностранный OAuth — это первое, что стоит проверить в ближайшие дни. Практический план:

• Провести аудит всех способов входа — от формы регистрации на сайте до личного кабинета и партнёрских интеграций
• Отключить или скрыть кнопки входа через иностранные сервисы, если рядом нет российской альтернативы
• Подключить хотя бы один из разрешённых способов — вход по номеру телефона обычно быстрее всего реализовать технически
• Проверить мобильные приложения отдельно — там иностранная авторизация иногда встроена в SDK и легко упускается из виду
• Зафиксировать дату перехода на новую схему — пригодится, если возникнут вопросы у проверяющих

Зачем это понадобилось государству

Формально закон продолжает курс на цифровой суверенитет: последние годы регулятор системно переводит критичные для граждан сервисы — банкинг, госуслуги, доступ к персональным данным — на инфраструктуру, которая физически и юридически подконтрольна России. Авторизация — это не просто «кнопка входа», а канал, через который иностранный сервис получает техническую возможность видеть активность российского пользователя на стороннем ресурсе. С этой точки зрения логика закона понятна, даже если для бизнеса она означает дополнительные расходы на доработку.

Кто реально подпадает под ответственность

Формулировка «владелец сайта или приложения» на практике означает юридическое лицо или индивидуального предпринимателя, которые эксплуатируют ресурс — то есть получают выгоду от его работы и определяют его функциональность. Некоммерческий личный блог без регистрации ИП формально в зоне повышенного риска не находится, но как только на ресурсе появляется коммерческая составляющая — платные подписки, реклама, продажа товаров и услуг — разумно исходить из того, что требования закона применимы.

Как фиксируется нарушение

Административные дела по КоАП традиционно начинаются с составления протокола уполномоченным органом — в данном случае это, вероятнее всего, Роскомнадзор как регулятор в сфере связи и информационных технологий. У владельца ресурса есть право дать объяснения до вынесения решения и обжаловать постановление в суде, если есть основания считать его необоснованным. Практика по абсолютно новым составам обычно начинается с профилактических предупреждений, прежде чем регулятор переходит к штрафам в полном объёме — но рассчитывать на это как на гарантию не стоит: закон уже действует, и формальных оснований для штрафа с первого дня достаточно.

Если уже получили предупреждение или протокол

Первое — не игнорировать документ и не тянуть со сроками ответа: у административных дел жёсткие процессуальные рамки, пропущенный срок на подачу объяснений или обжалование резко сужает возможности защититься. Второе — как можно быстрее устранить нарушение технически: сам факт оперативного исправления, зафиксированный документально (дата изменения, скриншоты до/после), часто становится сильным аргументом при рассмотрении дела, особенно если нарушение не было злонамеренным. Третье — проконсультироваться с юристом до того, как давать официальные объяснения регулятору, а не после.

Особый случай — маркетплейсы и агрегаторы

Отдельная головная боль — площадки, которые технически являются лишь витриной для сторонних продавцов, но сами администрируют вход пользователя в личный кабинет. Если авторизация покупателя реализована через инфраструктуру самой площадки, а не переадресовывается на сторонний сервис продавца, ответственность за способ входа несёт именно площадка, а не продавцы, которые на ней торгуют. Это стоит учитывать при пересмотре договоров с маркетплейсами и агрегаторами.

Чего точно не стоит делать

Не стоит спешно отключать вообще все способы входа кроме телефона «на всякий случай» без тестирования — резкий обрыв привычного способа авторизации у активных пользователей бьёт по конверсии сильнее, чем сам штраф для небольшого бизнеса. Разумнее внедрять разрешённые способы параллельно с существующими и только затем поэтапно отключать иностранные — с уведомлением пользователей заранее, чтобы не потерять доступ к их аккаунтам.

Международные площадки и их дальнейшая судьба

Отдельный практический вопрос — что будет с уже накопленной базой пользователей, которые годами входили через Google или Apple ID. Простой перенос всех на новый способ авторизации без сохранения истории аккаунта технически рискован: одно дело — добавить новую опцию входа, совсем другое — смигрировать миллионы существующих учётных записей на новый идентификатор, не потеряв связь с их данными. Для бизнеса с большой пользовательской базой это отдельный проект, который стоит начинать параллельно с добавлением разрешённых способов входа, а не откладывать на потом.

Штраф за первое нарушение для юрлица начинается от полумиллиона рублей — сумма ощутимая даже для крупного бизнеса, не говоря про малый. По опыту вижу, что чаще всего страдают не намеренные нарушители, а компании, которые просто не заметили изменение — интеграция с Google или Apple стояла годами и работала «по умолчанию». Лучше проверить это на неделе, чем объяснять постфактум.

Вопросы и ответы

Пошагово

1. Проверить, есть ли на сайте или в приложении вход через иностранный OAuth (например, Google или Apple ID).
2. Убрать кнопки и функционал входа через иностранные системы авторизации.
3. Обеспечить использование только разрешённых способов входа, соответствующих российской юрисдикции.

Автор · Консультант

Виктор Браунский

Риск, который не посчитан, — это риск, который обязательно реализуется.

Профиль эксперта на ExpertRank →