Почему общий чек-лист не покажет реальные риски вашего сайта
Типовой чек-лист перечисляет требования закона: опубликовать политику, получить согласие, настроить cookie-баннер. Но он не ответит на главный вопрос: что ваш сайт делает на самом деле.
Трекеры могут запуститься раньше, чем посетитель нажмёт кнопку согласия. Данные — уйти иностранному сервису, даже если об этом ничего не сказано в политике. Баннер может не давать равнозначного отказа. Эти факты не видны при чтении документов — их нужно фиксировать в момент, когда сайт открывается с чистой сессии.
Проверка сайта начинается с фиксации поведения: какие запросы отправляются, какие данные собираются, когда стартуют скрипты. Только после этого факты сопоставляются с нормами закона, и становится ясно, где возникают риски.
Что проверять на сайте: ключевые точки риска
Первое — трекеры и cookie-файлы. Если аналитика или реклама стартует до согласия посетителя, это создаёт риск по КоАП. Важно не только наличие баннера, но и реальный момент запуска скриптов.
Второе — трансграничная передача данных. Если сайт использует иностранные сервисы — аналитику, авторизацию, платёжные системы — и данные посетителей уходят за рубеж, оператор обязан уведомить Роскомнадзор до начала передачи. Отсутствие уведомления может квалифицироваться как нарушение.
Третье — веб-формы и согласия. Если форма собирает персональные данные, рядом должно быть согласие на обработку с конкретными целями и перечнем данных. Общая фраза в политике не заменяет согласие при сборе.
Четвёртое — политика обработки персональных данных. Она должна быть опубликована, содержать сведения об операторе (ИНН, ОГРН, адрес), цели и основания обработки, перечень данных. Отсутствие политики создаёт риск штрафа.
- Реальный момент запуска трекеров и cookie-файлов
- Иностранные сервисы, которые получают данные посетителей
- Согласия рядом с формами сбора данных
- Политика обработки персональных данных с полными реквизитами оператора
- Равнозначный отказ от cookie в баннере
- Уведомление Роскомнадзора о трансграничной передаче
Как устроена проверка: от фиксации фактов до правовой оценки
Сайт открывается с чистой сессии — так, как его видит новый посетитель. Фиксируются снимки экрана, тексты документов, сетевые запросы браузера. Время фиксации записывается для каждого факта.
Затем факты сопоставляются с нормами закона. Если трекер стартовал до согласия — это один эпизод. Если данные ушли иностранному сервису без уведомления Роскомнадзора — другой. Каждый эпизод получает правовую квалификацию, ссылку на норму и оценку серьёзности.
Результат — заключение в PDF с установленными обстоятельствами, снимками экрана и рекомендациями, что исправить. Сетевые запросы к внешним сервисам указываются как обстоятельства, требующие дополнительной проверки, а не как готовые выводы.
Что вы получаете в отчёте и как использовать результаты
Резюме показывает эпизоды с признаками нарушений, их серьёзность и ориентировочный диапазон санкций. Вы сразу видите, какие риски создаёт сайт и на что обратить внимание в первую очередь.
Раздел с установленными обстоятельствами содержит снимки экрана, дословные цитаты из политики и согласий, данные о сетевых запросах. Каждый факт подтверждён и привязан к моменту фиксации.
Правовая квалификация связывает факты с нормами закона и даёт рекомендации по исправлению. Если эпизодов не найдено, отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений нет — это не гарантия соответствия закону, но сигнал, что базовые требования выполнены.
Как проверить сайт на соответствие 152-ФЗ и смежным законам
Проверка Dobrolex фиксирует, что сайт делает на самом деле: какие данные собирает, куда их отправляет и где возникают правовые риски. Результат — заключение в PDF с фактами, уровнем риска и очерёдностью исправлений.
Проверяются публичные страницы сайта: без входа в аккаунт, без отправки форм. Это позволяет увидеть, что происходит с данными посетителя с первых секунд на сайте — когда риски штрафа уже могут возникнуть.
Заключение не заменяет консультацию юриста, но даёт фактическую основу для работы: вы видите конкретные эпизоды, а не общие рекомендации, и можете выстроить план исправлений.
Чек-лист: что проверить на сайте прямо сейчас
- 01Трекеры до согласия. Откройте сайт в режиме инкогнито. Не нажимайте кнопки на cookie-баннере. Откройте инструменты разработчика (F12), вкладку Network, обновите страницу. Если видите запросы к аналитике или рекламным сервисам до того, как дали согласие — это риск.
- 02Равнозначный отказ в cookie-баннере. Проверьте, можно ли отказаться от необязательных cookie так же легко, как согласиться. Если кнопка «Принять всё» яркая и крупная, а отказ спрятан в настройках или мелким текстом — это может создать претензию.
- 03Иностранные сервисы в сетевых запросах. В той же вкладке Network посмотрите домены, на которые уходят запросы: google-analytics.com, facebook.com, doubleclick.net и подобные. Если данные передаются за рубеж, выясните, требуется ли уведомление Роскомнадзора.
- 04Согласие рядом с формой. Найдите на сайте формы обратной связи, подписки, заказа. Рядом с полями ввода должен быть чекбокс или текст согласия на обработку персональных данных с конкретными целями. Если согласия нет или оно общее — это риск.
- 05Политика обработки персональных данных. Откройте политику (обычно ссылка в футере) и проверьте: указаны ли ИНН, ОГРН, адрес оператора, перечень обрабатываемых данных, цели и основания обработки. Если политики нет — это риск штрафа.
- 06Реквизиты оператора в политике. Убедитесь, что в политике указаны полные данные оператора: наименование юрлица или ИП, ИНН, ОГРН или ОГРНИП, адрес места нахождения, контакты. Отсутствие этих данных делает политику формальной.
- 07Авторизация через иностранные сервисы. Если на сайте есть вход через соцсети (Google, Facebook и подобные), проверьте, передаются ли данные пользователя за рубеж. Это может потребовать уведомления Роскомнадзора и создать риски по локализации данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Достаточно ли опубликовать политику обработки персональных данных, чтобы соответствовать 152-ФЗ?
Нет. Политика — обязательное требование, но не единственное. Нужно получать согласие на обработку данных, где это требуется, не запускать трекеры до согласия посетителя, уведомлять Роскомнадзор о трансграничной передаче. Политика фиксирует правила, но соответствие закону зависит от того, как эти правила выполняются на практике.
Как понять, нужно ли уведомлять Роскомнадзор о передаче данных за рубеж?
Если сайт передаёт персональные данные иностранным сервисам (аналитика, реклама, авторизация), оператор обязан уведомить Роскомнадзор до начала передачи. Это требование распространяется на операторов, обрабатывающих данные граждан РФ. Проверка сайта фиксирует, какие иностранные сервисы получают данные, как обстоятельство для дополнительной проверки и оценки правовых рисков.
Можно ли использовать Google Analytics и другие иностранные сервисы на сайте?
Использовать можно, но с соблюдением требований закона: получить согласие посетителя до запуска трекера, уведомить Роскомнадзор о трансграничной передаче данных, указать в политике, что данные передаются за рубеж. Если эти условия не выполнены, возникают риски штрафа.
Что делать, если проверка показала нарушения на сайте?
Отчёт содержит рекомендации по каждому эпизоду: что именно нужно исправить в коде, настройках или документах. Вы можете передать отчёт разработчику или юристу и выстроить план исправлений по приоритетам. Тариф с планом действий даёт готовые решения для кода и документов.
Проверка показала, что нарушений нет. Значит ли это, что сайт полностью соответствует закону?
Отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений не выявлено. Это важный сигнал, но не гарантия: проверяются только публичные страницы, без входа в аккаунт и без отправки форм. Серверная часть, закрытые разделы и внутренние процессы обработки данных остаются за рамками проверки.
Как часто нужно проверять сайт на соответствие 152-ФЗ?
Каждый раз, когда на сайте меняются сервисы обработки данных (аналитика, реклама, формы), добавляются новые функции или обновляются документы. Разовая проверка фиксирует текущее состояние, но сайт может измениться — и риски появятся снова.
Чем проверка Dobrolex отличается от консультации юриста?
Проверка фиксирует факты: что сайт делает на самом деле, какие данные собирает и куда их отправляет. Юрист получает не догадки, а снимки экрана, цитаты из документов и технические данные — основу для правовой оценки и рекомендаций. Заключение не заменяет консультацию, но даёт фактическую базу для работы.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.