Вокруг требований к интернет-сервисам появилось много громких заголовков. Из них кажется, что в России запретили ленту рекомендаций, рассылки в Telegram и вход в приложения через Gmail. Так ли это? Разбираемся!

На самом деле запрет на авторизацию с использованием иностранных сервисов (№ 406-ФЗ) и регулирование рекомендательных технологий (№ 408-ФЗ) появились еще в 2023 году. Сейчас к ним добавилась только ответственность за нарушение: штрафы от 10 до 100 тыс. для физлиц и от 500 тыс. до 2,8 млн для юрлиц. 

Поправки касаются тех, у кого есть:

• мобильное приложение;

• SaaS-сервис;

• сайт с доступом через личный кабинет;

• образовательная платформа;

• интернет-магазин;

• сервис, который персонализирует контент, товары или услуги.

На связи Стефан Соловьев – юрист AG-LEGAL, специалист по защите персональных данных, в этой статье я разберу:

1. Что такое авторизация и почему ее запрещают

2. Запрещен ли Telegram

3. Что делать с «неправильно» зарегистрированными пользователями

4. Если у сервиса иностранный домен и есть пользователи не из РФ

5. Как изменить способы авторизации

6. Что такое рекомендательные технологии

7. Что делать, если ваш сервис персонализирует контент

8. Как защитить ИТ-бизнес от нарушений

Что такое авторизация и почему ее запрещают

Авторизация — это подтверждение личности для доступа к закрытой части продукта. Например, просмотра истории заказов, записи на прием или управления подпиской.

Запрет об авторизации через иностранные сервисы относится к онлайн-ресурсам, у которых одновременно совпадают три пункта:

1. Владелец — юрлицо или гражданин РФ.

2. Сервис работает в России.

3. Для доступа к сервису нужно авторизоваться.

Закон не запрещает ИТ-бизнесу пользоваться иностранными сервисами в принципе. Ограничение касается только случаев, когда они подтверждают личность пользователя.

Если человек авторизуется по кнопке «Войти через Google», фактически Google подтверждает, что перед вами этот пользователь. Решение о доступе — на стороне иностранного сервиса.

Если для входа нужны логин и пароль и человек вводит в графу логина gmail.com или icloud.com — это не нарушение. Почтовый ящик в таком случае — средство коммуникации, куда приходит код. Без пароля доступ к сайту закрыт и решение «впустить» пользователя остается на стороне вашего сервиса.

Особенно будьте внимательны с Magic Link — способом аутентификации по индивидуальной ссылке, которая приходит на почту и позволяет войти без пароля, сразу из письма. Если отправляете такую ссылку на зарубежную почту, переход по ней тоже считается авторизацией через иностранный сервис.

Запрещен ли Telegram

Как и в случае с зарубежной почтой, закон разрешает использовать Телеграм только как средство коммуникации с клиентом. Вы можете:

• отправлять сообщения о заказах;

• присылать уведомления через бота;

• отвечать пользователям в поддержке;

• отправлять одноразовые коды, если сам вход организован другим способом.

Что делать с «неправильно» зарегистрированными пользователями

Допустим, несколько лет назад интернет-магазин разрешал регистрацию через Apple ID. Сам факт, что человек однажды зарегистрировался через Apple, — не нарушение. Важно, как он входит в сервис сегодня.

Так можно. После обновления сайта пользователь открывает страницу входа и видит варианты авторизации. Например:

• войти по номеру телефона;

• войти по логину и паролю;

• войти через VK ID;

• войти через Яндекс ID.

Он выбирает один из них и входит в свой аккаунт, который раньше был привязан к Apple. При этом зарубежных сервисов среди вариантов авторизации нет.

А так нельзя. Если каждый раз при входе пользователь нажимает «Войти через Apple ID», Apple подтверждает его личность и только после этого открывается личный кабинет, — эту возможность нужно отключить.

Задача бизнеса сейчас — не переносить клиентов в новые аккаунты, а плавно перевести их на разрешенный способ авторизации. 

Если у сервиса иностранный домен и есть пользователи не из РФ

Если ваш сервис работает сразу в нескольких странах, можно настроить гео-разделение аудитории. То есть российским пользователям показывать одни способы входа, а иностранным — другие. Но важно не допустить, чтобы пользователь из РФ мог авторизоваться через Google, Apple или Telegram.

То же самое с иностранным доменом. Можно оставить авторизацию через иностранные сервисы, если у вас действительно есть зарубежная версия продукта. 

Как изменить способы авторизации 

Откройте все места, где пользователь входит в сервис, и пройдите путь его глазами. Кроме основной версии сайта или приложения, не забудьте проверить:

• старые версии личного кабинета;

• кабинеты партнера, продавца, администратора и других пользовательских ролей;

• тестовый доступ и промо-страницы;

• вход по email-ссылке;

• регистрацию через иностранный аккаунт;

• способы входа для старых пользователей.

Не советуем прятать неугодные авторизаторы поглубже. Легальные способы намного проще и безопаснее. Можно:

1. Настроить иностранный email только как идентификатор: в качестве логина и способа связи.

2. Убрать иностранный SSO вообще и оставить вход через свою систему или по номеру телефона.

3. Заменить кнопки в один клик: вход через Google / Apple ID — на Яндекс / VK ID.

Что такое рекомендательные технологии

Рекомендательные технологии — это цифровые алгоритмы и инструменты, которые собирают и изучают данные о предпочтениях людей, чтобы предлагать им подходящий контент, товары и услуги.

Есть простой способ проверить, работают ли в вашем продукте рекомендательные технологии и относится ли к вам закон об их регулировании. Откройте одну и ту же страницу под двумя разными аккаунтами. Если пользователи видят разный контент, потому что сервис учитывает их действия и интересы, — это оно.

Что делать, если ваш сервис персонализирует контент

Закон не требует отключить рекомендательные технологии. Но пользователь должен понимать, что рекомендации в сервисе есть, и в общих чертах знать, как они работают. 

Правила использования рекомендаций — не внутренняя информация, ее обязательно нужно разместить в открытом доступе. Например, в футере сайта, в разделе «Правовая информация» либо рядом с политикой обработки персональных данных. 

Из описания должно быть ясно:

• кто владелец сервиса и как с ним связаться;

• как сервис собирает данные о предпочтениях;

• какие именно данные использует;

• как их анализирует;

• на основе чего формирует рекомендации.

При этом вы не обязаны рассказывать, по какой формуле считается вероятность покупки товара. Если сложно описать, как у вас работает процесс рекомендаций, лучше заранее подготовиться к проверке РКН с профильными ИТ-юристами.

Что еще можно сделать:

1. Упростить механику и просто отключить поведенческие технологии для РФ.

2. Настроить безопасные механики: рекомендации по текущей странице, похожие товары по одной категории — без куки, истории и анализа профиля.

3. Оставить персональные подборки, но уведомить об этом пользователей, опубликовать правила и email владельца, назначить ответственного за РКН и быть готовым к отключению рекомендаций за 24 часа по требованию.

Как защитить ИТ-бизнес от нарушений

Административная ответственность действует с 7 июля 2026, поэтому советую проверить сценарии входа и рекомендации уже сейчас. 

Если статья была полезной — ставьте лайк. Ну а если что-то осталось не понятно, жду вас в комментариях, помогу, чем смогу!

Если глобально интересуетесь персональными данными в ИТ-сфере, пишу об этом в своем небольшом тг-канале и на хабре @zoomerlawyer. Рад буду там видеть!

В моем блоге кстати есть еще одна любопытная статья:

DeepSeek, коммерческая тайна и увольнение за ИИ: чему первое громкое дело учит бизнес