Отзывы на сайте по закону 2026: согласие, фото и фейки

Блок «Отзывы клиентов» есть почти на каждом коммерческом сайте, и почти везде он собран одинаково: имя, фотография, город, пара тёплых фраз. С 1 марта 2021 года такой блок — это распространение персональных данных, для которого нужно отдельное согласие автора (ст. 10.1 152-ФЗ). Без него юрлицо рискует штрафом от 150 000 до 300 000 ₽ по ч. 1 ст. 13.11 КоАП, ИП — от 50 000 до 100 000 ₽. Вымышленные отзывы — другая история: это обман потребителя и недобросовестная конкуренция, там вилки до 500 000 ₽. Разбираем, как собрать отзывы так, чтобы они работали на продажи, а не на жалобу в Роскомнадзор.

Отзывы на сайте: три закона, которые срабатывают одновременно

Один блок отзывов смотрят три ведомства, и у каждого свой вопрос. Роскомнадзор: на каком основании опубликованы имя, фото и город человека? Это 152-ФЗ. ФАС и Роспотребнадзор: эти люди существуют и правда ли они это писали? Это ЗоЗПП, закон о рекламе и 135-ФЗ о защите конкуренции. Суд, когда отзыв кого-то задел: это мнение или утверждение о фактах и отвечает ли за него владелец сайта? Это ст. 152 ГК и практика Верховного суда.

Кого это касается, а кого нет

Касается любого сайта, где отзывы показаны с данными, по которым человека можно узнать: имя и фамилия, фото, ссылка на профиль, название компании клиента вместе с именем сотрудника. Формат не важен: слайдер на Тильде, отзывы к товарам, скриншоты из Telegram, видео.

Не касается в части 152-ФЗ, если:

• отзывы обезличены: «Клиент, Москва», «Владелец интернет-магазина», без фото и фамилии. Инициалы — пограничная зона, о ней ниже;
• отзывы подтягиваются официальным виджетом Яндекс Карт, 2ГИС или Flamp: данные остаются на серверах площадки, оператором остаётся она;
• отзыв оставила компания как юрлицо: «ООО „Ромашка“ благодарит…» без имени конкретного сотрудника.

Требование достоверности касается всех без исключений. Обезличенный, но выдуманный отзыв остаётся обманом потребителя.

Имя и фото автора отзыва: нужно отдельное согласие на распространение

До 2021 года многие считали, что общей галочки «согласен на обработку персональных данных» в форме заказа хватает на всё. Закон от 30.12.2020 № 519-ФЗ добавил в 152-ФЗ статью 10.1 и разделил согласия.

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.ч. 1 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»

На практике это значит: галочка под формой заказа даёт право обработать заявку, но не даёт права показать имя и фото клиента всему интернету. Для публикации нужно второе, отдельное согласие, и в нём человек вправе выбрать, что именно разрешает распространять: только имя, имя с фото или всё вместе с городом (ч. 1 и ч. 9 ст. 10.1). Если из согласия не следует, что человек разрешил распространение, данные обрабатываются без права публикации (ч. 4).

По какой части ст. 13.11 квалифицировать публикацию без такого согласия, официальных разъяснений нет. Логика закона указывает на ч. 1 (150 000–300 000 ₽ для юрлиц): письменной формы для этого согласия он не требует, а ч. 2 с вилкой до 700 000 ₽ написана для случаев, где письменная форма обязательна.

Требования к содержанию согласия утвердил Роскомнадзор приказом от 24.02.2021 № 18, он действует до 1 сентября 2027 года. В согласии должны быть: ФИО и контакт человека; реквизиты оператора (название или ФИО ИП, адрес, ИНН, ОГРН или ОГРНИП); адрес сайта, где данные будут опубликованы; цель; перечень данных, разрешённых к распространению; условия и запреты, если человек их установил; срок действия. На портале pd.rkn.gov.ru есть конструктор такой формы. И ещё одно правило, с 1 сентября 2025 года: любое согласие оформляется отдельно от других документов, которые человек подтверждает или подписывает. Спрятать его в оферту или правила сайта нельзя.

Три правила из той же статьи, о которых обычно не знают:

• Молчание не считается согласием ни при каких обстоятельствах (ч. 8). Фраза «если вы не против, опубликуем ваш отзыв» юридически ничего не даёт.
• Человек вправе в любой момент потребовать прекратить распространение, и у вас три рабочих дня, чтобы убрать отзыв (ч. 12 и ч. 14).
• В течение трёх рабочих дней после получения согласия оператор публикует условия обработки и запреты, которые установил человек (ч. 10), — на практике это пункт политики конфиденциальности об отзывах.

«Анна К., Москва» — это ещё персональные данные?

Персональные данные — любая информация о прямо или косвенно определяемом человеке (ст. 3 152-ФЗ). Имя с инициалом и городом само по себе человека не определяет: Анн К. в Москве десятки тысяч. Но стоит добавить фото, должность или название компании, и человек снова определяем. Официальной позиции Роскомнадзора по таким подписям нет, поэтому практическое правило такое: имя и инициал без фото — безопасный минимум, фамилия и фото — только с отдельным согласием.

Фотография: второй слой защиты в Гражданском кодексе

Кроме 152-ФЗ, у фотографии есть собственная норма: ст. 152.1 ГК разрешает обнародовать и использовать изображение гражданина только с его согласия. Исключения — публичные интересы, съёмка в открытых для посещения местах, если человек не главный объект кадра, и позирование за плату. Портрет клиента на странице «Отзывы» под исключения не попадает, поэтому помимо жалобы в Роскомнадзор человек может пойти в суд за удалением фото и компенсацией морального вреда. Согласие на фото может быть и устным, но доказывать, что оно было, обязан тот, кто фото опубликовал (п. 48 постановления Пленума ВС от 23.06.2015 № 25), и отозвать его человек вправе в любой момент.

Свежий пример: в июле 2026 года суд в Перми, по сообщениям СМИ, взыскал со стоматологической клиники 80 000 ₽ за рекламу брекетов в соцсетях с фотографиями женщины «до и после», которая даже не была её пациенткой. Она просила 120 000, клиника предлагала 20 000. Фото обязали удалить.

Можно ли копировать отзывы с Яндекс Карт, 2ГИС и Отзовика

Самый частый способ наполнить блок отзывов — скопировать текст и имя с карточки организации на Яндекс Картах. Логика понятна: человек сам опубликовал отзыв, значит, данные общедоступны. Закон думает иначе.

Часть 2 ст. 10.1 написана ровно про этот случай: если человек сам раскрыл свои данные неопределённому кругу лиц, но отдельного согласия на распространение никому не давал, доказывать законность дальнейшей публикации обязан каждый, кто эти данные распространил. То есть вы. Оставляя отзыв на Яндекс Картах, человек соглашался с правилами Яндекса, а не с публикацией на вашем сайте. С фотографиями и аватарами та же логика в Гражданском кодексе: по разъяснению Пленума ВС (постановление № 25, п. 43) то, что человек сам выложил своё фото в интернет, само по себе не даёт другим права его использовать.

Второй слой — правила самих площадок. Отзовик в пользовательском соглашении прямо запрещает публиковать его отзывы на других сайтах без разрешения администрации. Яндекс Карты предлагают официальный виджет: до пяти отзывов, обязательная ссылка на карточку организации, никакого API для выгрузки текста. 2ГИС получает от автора лицензию на контент и допускает трансляцию отзывов через API на сторонних площадках; ручное копирование в правилах не описано.

Вывод: хотите показать отзывы с карт — ставьте виджет площадки, данные остаются у неё и обновляются сами. Нужен именно текст — напишите автору через площадку и получите согласие. Скриншот отзыва — то же копирование, только ещё и с аватаркой.

Вымышленные и заказные отзывы: ЗоЗПП, 135-ФЗ и закон о рекламе

Начнём с хорошей новости: настоящие отзывы покупателей на сайте продавца — не реклама, маркировать их и получать erid не нужно. ФАС отвечает на этот вопрос в официальных разъяснениях.

Отзывы о товаре в специальном разделе рекламой не являются, поскольку в оставленных отзывах содержится личное мнение покупателей.ФАС России, «Ответы на вопросы по рекламе», раздел о рекламе в интернете

Ключевое слово — «личное мнение покупателей». Как только отзыв пишет не покупатель, а копирайтер по брифу «побольше про скорость доставки», конструкция ломается: это информация продавца о себе, поданная под чужим именем. Дальше события развиваются по одной из трёх линий.

Линия Роспотребнадзора. Ст. 10 ЗоЗПП обязывает давать потребителю достоверную информацию о товаре и продавце. Отзывы клиентов, которых не существует, — введение в заблуждение по ч. 2 ст. 14.7 КоАП: для юрлиц от 100 000 до 500 000 ₽, для ИП и должностных лиц от 12 000 до 20 000 ₽.

Линия ФАС по конкуренции. Если на фейковых отзывах вы строите преимущество перед конкурентами или пишете негатив о них, это недобросовестная конкуренция: ст. 14.2 135-ФЗ (введение в заблуждение) и ст. 14.1 (дискредитация). Штраф по ч. 1 ст. 14.33 КоАП: для юрлиц от 100 000 до 500 000 ₽, для ИП и должностных лиц от 12 000 до 20 000 ₽; условие — вы и пострадавший конкурируете на одном рынке. Честно: формальных решений ФАС именно по фейковым отзывам мы не нашли; в октябре 2024 года ассоциация интернет-торговли ФОСТ предлагала закрепить «ложный отзыв» как форму недобросовестной конкуренции, решения нет. Практика пока идёт через суды.

Что уже случалось. В мае 2026 года арбитражный суд отказал московской стоматологии «Шифа» в иске к площадке ПроДокторов. Площадка обнулила клинике рейтинг, обнаружив около 1500 положительных отзывов от несуществующих пациентов с вымышленными телефонами и поддельными медицинскими документами; клиника требовала рейтинг вернуть. Суд назвал заказные отзывы недостоверной рекламой, вводящей потребителей в заблуждение, факт заказа клиника не оспаривала (о деле писал «Коммерсантъ»). А в январе 2025 года в Подмосковье возбудили уголовное дело о мошенничестве (ч. 4 ст. 159 УК): около миллиона фиктивных отзывов на маркетплейсе за пять месяцев по схеме «самовыкуп, отзыв за баллы, отмена заказа», ущерб больше 18 млн ₽.

Линия ФАС по рекламе. Отзыв, вынесенный из раздела отзывов в баннер, на страницу акции или в пост блогера, становится частью рекламы, а п. 10 ч. 3 ст. 5 38-ФЗ прямо называет недостоверной рекламу с ложными сведениями «о рекомендациях физических или юридических лиц… либо о его одобрении»: для юрлиц от 100 000 до 500 000 ₽ по ч. 1 ст. 14.3 КоАП, как и за фиктивные скидки. У клиник, аптек и продавцов БАД ловушка жёстче: ст. 24 и 25 того же закона запрещают в рекламе лекарств, медуслуг и БАД благодарности физических лиц и ссылки на случаи излечения. Отзыв пациента в рекламном креативе клиники нарушает закон, даже если в нём каждое слово правда.

Как это выглядит на практике: три сценария

Стоматология на Тильде

Маркетолог клиники собрал слайдер: фото пациентов «до и после», имена, цитаты из переписки в WhatsApp. Стандартные блоки отзывов Тильды — не форма, в которую пишет клиент, а статический контент, который вписывает владелец сайта; согласия платформа не спрашивает. Через год пациентка находит своё фото на сайте и пишет в Роскомнадзор. У клиники есть общее согласие из договора на лечение, но нет отдельного согласия на распространение, а сам факт лечения — ещё и врачебная тайна. Итог — проверка, предписание и протокол по ст. 13.11.

Как надо: отдельная форма «Оставить отзыв» с двумя чекбоксами, на обработку и на публикацию (в настройках форм Tilda это раздел «Agreement», чекбокс можно сделать обязательным), для фото — своя галочка. В слайдер попадает лишь то, на что есть согласие, и согласия хранятся в CRM вместе с отзывом.

Интернет-магазин на WordPress с WooCommerce

Отзывы к товарам работают поверх системы комментариев WordPress. Покупатель оставляет отзыв с именем и email, рядом появляется аватар с Gravatar: WordPress считает хэш от email автора и при каждой загрузке страницы отправляет его на серверы Automattic в США. Владелец магазина об этом не знает, это поведение по умолчанию, а формально — трансграничная передача, о которой мы писали в статье о локализации персональных данных. Второй момент: премодерация наследуется от настроек комментариев, и если она выключена, на сайте появляется всё, включая спам.

Как надо: отключить Gravatar или заменить локальными инициалами, включить премодерацию, добавить в форму отзыва чекбокс согласия на публикацию имени, а в политике конфиденциальности описать, что публикуется.

Онлайн-школа на Getcourse со скриншотами из Telegram

Школа вставила в «Слайдер отзывов» скриншоты благодарностей из чата курса. На каждом — имя, аватар, иногда телефон автора, а рядом сообщения других участников, которые ни о чём не знают. Один из случайно попавших в кадр требует удалить скриншот — у школы три рабочих дня по ч. 14 ст. 10.1.

Как надо: скриншоты заменить текстом с согласия автора, чужие имена и аватары замазывать до публикации, а в правилах курса предупредить, что отзывы публикуются только с отдельного согласия.

Негативный отзыв: удалить, ответить или судиться

Со своим сайтом всё просто: вы не обязаны публиковать негативные отзывы. Ни один закон не требует от продавца показывать критику на собственной странице, премодерация и отбор законны. Незаконна подмена: удалить негатив и написать взамен позитив от имени несуществующих людей.

Отдельная плохая идея — пункт в оферте: «клиент обязуется не оставлять негативные отзывы, штраф 50 000 ₽». Ст. 16 ЗоЗПП признаёт недопустимыми условия, ущемляющие права потребителя, в том числе ограничивающие его в способах защиты своих прав; такие пункты ничтожны, а за их включение в договор Роспотребнадзор штрафует по ч. 2 ст. 14.8 КоАП. Слова «отзыв» в ст. 16 нет, официальной квалификации тоже, так что это наше прочтение нормы. Штраф скромный, для юрлиц от 10 000 до 20 000 ₽, но пункт всё равно не работает, а скриншот такого договора расходится по отзовикам быстрее любой рекламы.

С чужими площадками сложнее. Требовать удаления отзыва с Яндекс Карт или из Отзовика можно через саму площадку, а в суде — только если отзыв содержит не мнение, а утверждения о фактах, которые не соответствуют действительности и порочат репутацию (ст. 152 ГК). Верховный суд разводит эти категории уже двадцать лет: судам «следует различать имеющие место утверждения о фактах, соответствие действительности которых можно проверить, и оценочные суждения, мнения, убеждения, которые не являются предметом судебной защиты в порядке статьи 152» (п. 9 постановления Пленума ВС от 24.02.2005 № 3). «Врач хамит, мне не понравилось» — мнение, оспорить нельзя. «Врач удалил здоровый зуб и подделал карту» — утверждение о фактах, его можно и нужно проверять в суде.

Показательное дело — определение Верховного суда от 28.03.2023 № 5-КГ22-147-К2 об отзыве пациентки о враче на ПроДокторов. Две инстанции отказали врачу, посчитав весь отзыв субъективным мнением. ВС отменил их решения: в одном отзыве человек может одновременно выражать и оценку, и утверждение о фактах, и суд обязан проверить факты отдельно. В таких спорах почти всегда назначают лингвистическую экспертизу: в деле № А57-13212/2023 клиника добилась удаления отзыва о том, что её врачи якобы не проходят медосмотры, а в деле № А83-11480/2022 клинике отказали, потому что из текста нельзя было понять, о какой клинике речь. Быстрым такой путь не бывает: спор компании «Сибпром» с 2ГИС об отзыве на Flamp занял полтора года.

Зеркальная ситуация: на вашем сайте открытая форма отзывов, и кто-то написал в ней ложь или оскорбление о третьем лице — сотруднике, конкуренте, другом клиенте. Автоматически владелец сайта не виноват: по обзору практики Верховного суда от 16.03.2016 (п. 16) он обязан удалить порочащие сведения по заявлению пострадавшего после того, как суд признал их не соответствующими действительности, а до решения суда за отказ не отвечает, если объективно не мог проверить достоверность. Два риска остаются: за оскорбления в сети есть отдельный состав о непринятии мер (ч. 3 ст. 5.61 КоАП, для юрлиц 50 000–100 000 ₽), а п. 5 ст. 152 ГК позволяет требовать удаления через суд именно с вас, если автора не найти. Правило простое: получили мотивированное требование — скрыли отзыв до разбирательства.

И об ответах на отзывы. Отвечая публично, не раскрывайте данные клиента: номер заказа, диагноз, «вы приходили 12 мая с мужем» — это распространение персональных данных без согласия, та же ч. 1 ст. 13.11. Заведомая ложь о клиенте в ответе стоит компании ещё дороже: клевета для юрлиц наказывается по ст. 5.61.1 КоАП штрафом от 500 000 до 3 млн ₽.

Что обычно понимают неправильно

«У нас есть согласие на обработку, значит, можно публиковать». Нет. Согласие на обработку и согласие на распространение — два разных документа, ч. 1 ст. 10.1 требует оформлять второе отдельно.

«Отзыв уже опубликован на Яндекс Картах, он общедоступный». Понятие общедоступных персональных данных из закона убрали в 2021 году. Теперь действует ч. 2 ст. 10.1: доказывать законность копирования обязан тот, кто скопировал.

«Мы ставим инициалы, это не персональные данные». Почти так, пока рядом нет фото, должности или названия компании: с ними человек снова определяем.

«Отзывы — это реклама, значит, нужен erid». Наоборот: ФАС считает реальные отзывы покупателей в разделе отзывов не рекламой. Маркировка нужна, если вы платите блогеру за «отзыв» о себе или вставляете отзывы в рекламный креатив. Подробнее — в статье про рекламу у блогеров.

«Сделаем разметку рейтинга, чтобы в выдаче были звёзды». Для отзывов организации о самой себе Google не показывает звёзды с 2019 года, а разметку без реальных отзывов на странице считает «fake reviews» и наказывает ручными санкциями. Разметка Review имеет смысл на карточках товаров с настоящими отзывами покупателей.

Что сделать сегодня

1. Откройте свой блок отзывов и выпишите, что видно по каждому автору: имя, фамилия, фото, город, компания. Всё, где есть фамилия или фото, — в список на проверку согласий.
2. По каждому отзыву из списка найдите отдельное согласие на распространение: письмо, сообщение, галочку в форме. Нет согласия — замените фамилию инициалом и уберите фото или напишите человеку и попросите согласие.
3. В форму «Оставить отзыв» добавьте второй чекбокс: «Разрешаю опубликовать мой отзыв с указанием имени и фотографии на сайте…». Дайте выбор: с фото или без.
4. Включите премодерацию везде, где отзывы пишут посетители: WooCommerce, InSales, Site Reviews, Битрикс. Публикуйте только то, что проверили.
5. Если сайт на WordPress, проверьте, не уходят ли аватары на gravatar.com. Уходят — отключите или замените локальными инициалами.
6. Уберите скопированные с карт и отзовиков тексты и скриншоты. Вместо них поставьте официальный виджет площадки.
7. Добавьте в политику конфиденциальности абзац об отзывах: какие данные авторов публикуются, на каком основании и как потребовать удаления.
8. Проверьте оферту и договор на пункты о запрете негативных отзывов или штрафах за них. Нашли — удалите.

Одно правило для всей команды: в блок отзывов попадает только то, что написал реальный клиент и разрешил опубликовать. Всё остальное — либо обезличенные цитаты, либо виджет площадки. Это закрывает и 152-ФЗ, и ЗоЗПП, и вопросы конкурентов одним движением.

Отзывы — часть общего порядка на сайте вместе с политикой, офертой и согласиями в формах. Сверить остальное можно по полному чек-листу соответствия сайта законам, а о том, как Роскомнадзор считает штрафы за данные, — в разборе штрафов РКН.