Почему сайт банка — зона особого внимания Роскомнадзора
Банки находятся в реестре операторов персональных данных и работают с чувствительной информацией клиентов: паспортные данные, финансовые сведения, история операций. Регулятор проверяет не только внутренние процессы, но и публичную часть — сайт, через который клиенты оставляют заявки, авторизуются и взаимодействуют с сервисами.
На практике риски возникают не в документах, а в том, что сайт делает до того, как посетитель дал согласие: трекеры стартуют раньше клика на баннер, данные уходят иностранным сервисам, формы собирают информацию без явного согласия. Каждый такой эпизод может квалифицироваться как нарушение требований закона.
Проблема в том, что ИТ-команда обновляет сайт часто — добавляет новые интеграции, меняет аналитику, подключает чат-боты. Комплаенс не всегда успевает проверить каждое изменение, и риск пропустить нарушение растёт. Внутренняя проверка не даёт независимой фиксации фактов, которую можно предъявить регулятору.
Что проверяет Роскомнадзор на сайте: данные, трекеры и согласия
Регулятор смотрит, что происходит с данными посетителя на публичных страницах. Первое — какие данные собирает сайт и куда их отправляет. Если трекеры и аналитика стартуют до согласия посетителя, а данные уходят за рубеж, это может создать риск по требованиям о трансграничной передаче и уведомлении Роскомнадзора.
Второе — cookie-баннер. Регулятор проверяет, можно ли отказаться от cookie равнозначно с согласием, есть ли настройка категорий, и что происходит до клика на баннер. Если трекеры уже работают, а кнопка «Отказаться» спрятана или требует лишних действий, это расхождение между текстом баннера и реальным поведением сайта.
Третье — веб-формы и сценарии авторизации. Если форма собирает персональные данные без явного согласия или авторизация идёт через иностранный сервис, а в политике конфиденциальности это не упомянуто, возникает риск по требованиям о законных основаниях обработки и согласиях.
Четвёртое — политика конфиденциальности и документы. Они должны покрывать все сценарии обработки данных на сайте: какие данные собираются, для каких целей, кому передаются, где хранятся. Если политика написана давно, а сайт добавил новые интеграции, расхождение создаёт риск.
Как проверить сайт банка на соответствие требованиям закона
Проверка начинается с чистой сессии — сайт открывается глазами нового посетителя, до любого согласия. Фиксируется, какие трекеры стартуют, какие данные собираются и куда отправляются сетевые запросы. Это показывает, что происходит на самом деле, а не только то, что написано в баннере.
Далее проверяются веб-формы: какие поля собирают персональные данные, есть ли явное согласие перед отправкой, упоминаются ли сторонние сервисы в политике конфиденциальности. Сценарии авторизации фиксируются отдельно: если банк использует вход через сторонние платформы, это должно быть отражено в документах.
Политика конфиденциальности, согласия и оферты проверяются на полноту: покрывают ли они все сценарии обработки данных на сайте, указаны ли реквизиты оператора, есть ли информация о трансграничной передаче. Каждое расхождение между документами и практикой попадает в отчёт.
Результат — заключение в PDF с фактами, снимками экрана, дословными цитатами из документов и правовой квалификацией каждого эпизода. Сетевые запросы к внешним сервисам фиксируются как технический сигнал для дополнительной проверки — они показывают, куда могут уходить данные, но сами по себе не являются доказательством нарушения.
Что делать, если на сайте банка найдены риски
Если отчёт показал эпизоды с признаками нарушений, первый шаг — оценить их серьёзность и очерёдность исправлений. Отчёт даёт приоритет каждому эпизоду и рекомендацию, что исправить: настроить трекеры, доработать баннер, обновить политику или изменить сценарий сбора данных.
Тариф с планом действий содержит готовые решения для кода, настроек и документов к каждому риску — это ускоряет работу ИТ-команды и юристов. После исправлений можно запустить повторную проверку и убедиться, что риски устранены.
Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет. Это не гарантия полного соответствия закону — закрытые разделы, серверная часть и внутренние процессы остаются за пределами проверки, но публичная часть, которую видят клиенты и регулятор, в порядке.
Чек-лист: что проверить на сайте банка прямо сейчас
- 01Трекеры и аналитика до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (вкладка «Сеть») и обновите страницу. Посмотрите, какие запросы уходят до клика на cookie-баннер — если видите домены иностранных сервисов (google-analytics, facebook, doubleclick), это сигнал для проверки.
- 02Равнозначный отказ в cookie-баннере. Проверьте, одинаково ли заметны кнопки «Принять» и «Отказаться» на баннере. Если отказ требует лишних кликов (например, через «Настроить» и затем снять галочки), это может не соответствовать требованиям равнозначности.
- 03Политика конфиденциальности и реальные сценарии. Откройте политику конфиденциальности и сверьте, упомянуты ли в ней все сторонние сервисы, которые использует сайт: аналитика, чат-боты, авторизация через внешние платформы. Если сервисов больше, чем описано, политику нужно обновить.
- 04Согласие перед отправкой формы. Найдите на сайте форму заявки или обратной связи. Проверьте, есть ли явное согласие на обработку персональных данных перед кнопкой «Отправить» — галочка или ссылка на политику. Если согласия нет, это риск.
- 05Реквизиты оператора персональных данных. Убедитесь, что в политике конфиденциальности указаны полные реквизиты банка как оператора: ИНН, ОГРН, юридический адрес, контакты. Отсутствие этих данных создаёт риск по требованиям к раскрытию информации.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Банк в реестре операторов персональных данных — нужна ли отдельная проверка сайта?
Да. Регистрация в реестре подтверждает, что банк уведомил Роскомнадзор о намерении обрабатывать данные, но не гарантирует, что сайт соответствует требованиям закона. Регулятор проверяет публичную часть отдельно: что происходит с данными посетителя, есть ли согласия и политики.
Что будет, если трекеры на сайте банка стартуют до согласия посетителя?
Это может квалифицироваться как обработка персональных данных без законных оснований или без согласия, когда оно обязательно. Риск зависит от того, какие данные собираются и куда отправляются — если они уходят за рубеж, может возникнуть вопрос о трансграничной передаче и уведомлении Роскомнадзора.
Достаточно ли внутренней проверки сайта банка силами ИТ-отдела?
Внутренняя проверка полезна, но не даёт независимой фиксации фактов с правовой квалификацией. Если придёт Роскомнадзор, нужны снимки экрана, дословные цитаты из документов, время фиксации и ссылки на нормы закона — это даёт внешняя проверка.
Как часто нужно проверять сайт банка на соответствие требованиям закона?
Проверку стоит запускать после значимых обновлений сайта: добавления новых форм, интеграций, смены аналитики или изменения cookie-баннера. Регулярная проверка раз в квартал или полгода помогает не пропустить риски, если сайт обновляется часто.
Может ли отчёт о проверке сайта заменить консультацию юриста?
Нет. Отчёт фиксирует факты и даёт правовую квалификацию, но не заменяет юридическую консультацию и не является обращением в Роскомнадзор. Решение, как действовать дальше, принимает банк с участием юристов.
Что делать, если в отчёте указаны обстоятельства, требующие дополнительной проверки?
Это сетевые запросы к внешним сервисам, которые зафиксированы как технический сигнал. Они показывают, куда могут уходить данные, но сами по себе не являются доказательством нарушения. Следующий шаг — проверить, упомянуты ли эти сервисы в политике конфиденциальности, и уточнить у ИТ-команды, какие данные передаются.
Покрывает ли проверка сайта закрытые разделы для клиентов банка?
Нет. Проверяются только публичные страницы — без входа в аккаунт, без отправки форм и ввода данных. Закрытые разделы, серверная часть и внутренние процессы обработки данных остаются за пределами проверки.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.