Когда доска объявлений — оператор персональных данных
Если сайт позволяет пользователям регистрироваться (имя, email, телефон), публиковать объявления с контактами или обмениваться сообщениями — вы оператор персональных данных. Факт, что данные вводят сами пользователи, не освобождает от обязанностей: вы определяете цели обработки (размещение объявлений, обеспечение связи) и способы (хранение в базе, отображение на сайте, модерация).
Это означает три базовые обязанности: опубликовать политику обработки персональных данных, получить согласие там, где оно требуется, и уведомить Роскомнадзор, если обрабатываете данные без согласия или передаёте их за рубеж. Отсутствие любого из этих элементов может квалифицироваться как нарушение.
Автоматическая проверка анализирует публичные страницы сайта: какие формы и поля собирают данные, опубликована ли политика, есть ли согласие и соответствует ли оно требованиям закона. Результат — заключение в PDF с цитатами из документов, снимками экрана и ссылками на нормы.
Трекеры и аналитика: что происходит до согласия пользователя
Счётчики аналитики (Google Analytics, Яндекс Метрика, Facebook Pixel) часто запускаются в момент загрузки страницы — до того, как пользователь увидел cookie-баннер или нажал «Согласен». Если трекер собирает идентификаторы или поведенческие данные до получения согласия, это может квалифицироваться как обработка без законного основания.
Особенно рискованны сценарии, где данные сразу отправляются иностранному сервису: например, Google Analytics по умолчанию передаёт IP-адреса и идентификаторы на серверы в США. Если уведомление Роскомнадзора о трансграничной передаче не подано, это создаёт дополнительный риск.
Проверка открывает сайт с чистой сессии — как новый посетитель, без клика на баннер — и фиксирует, какие скрипты запустились, какие запросы ушли к внешним доменам и в какой момент. Снимок экрана, временная метка и список запросов входят в отчёт как доказательство того, что произошло до любого согласия.
Регистрация через соцсети и мессенджеры: передача данных за рубеж
Кнопки «Войти через Google», «Войти через Telegram» или Facebook упрощают регистрацию, но создают сценарий трансграничной передачи персональных данных. Когда пользователь нажимает на такую кнопку, его данные (имя, email, идентификатор) передаются сервису для аутентификации — и если сервис иностранный, вы обязаны уведомить Роскомнадзор до начала такой передачи.
Закон предусматривает исключения для некоторых случаев, но для большинства популярных платформ уведомление обязательно.
Проверка фиксирует, какие кнопки авторизации установлены на сайте, какие запросы отправляются при их использовании и к каким доменам. Если обнаружен сценарий передачи за рубеж, он попадает в отчёт с квалификацией по соответствующей норме закона и рекомендацией проверить наличие уведомления.
Политика обработки и согласия: что должно быть на сайте
Политика обработки персональных данных — обязательный документ для публикации на сайте. Она должна содержать: цели обработки, категории данных, сроки хранения, права субъекта (доступ, исправление, удаление), сведения об операторе (наименование, ИНН, адрес) и способы связи для запросов.
Согласие на обработку требуется не всегда: если обработка ведётся для исполнения договора (например, размещение объявления по заявке пользователя), согласие не обязательно. Но если вы обрабатываете данные для целей, не связанных напрямую с услугой (например, email-рассылка или таргетированная реклама), согласие необходимо — и оно должно быть явным, конкретным и отделимым от других условий.
Проверка определяет, опубликована ли политика, доступна ли она по прямой ссылке, содержит ли обязательные сведения. Если на сайте есть формы с чекбоксами согласия, фиксируется их текст — и отчёт показывает, соответствует ли формулировка требованиям закона или создаёт риск.
Как проверить доску объявлений на соответствие 152-ФЗ
Самостоятельная проверка требует технических навыков: нужно открыть инструменты разработчика браузера, отследить сетевые запросы, проверить, какие скрипты запустились до согласия, и сопоставить это с текстом политики и уведомлениями Роскомнадзора. Для владельца сайта без технического бэкграунда это сложно.
Автоматизированная проверка упрощает процесс: сайт открывается с чистой сессии, фиксируются снимки экрана, запросы к внешним сервисам, тексты политик и форм. Каждый эпизод (трекер без согласия, отсутствие политики, передача за рубеж) квалифицируется по норме закона с указанием серьёзности — план исправлений даёт очерёдность действий.
Результат — заключение в PDF, которое можно передать разработчику, юристу или использовать как основание для внутреннего аудита. Если эпизодов не найдено, отчёт подтверждает, что на публичных страницах признаков нарушений нет — это даёт спокойствие и доказательство добросовестности.
- Проверка выполняется без входа в аккаунт — только публичные страницы, формы регистрации и авторизации
- Фиксируются снимки экрана, цитаты из политик и временные метки запросов
- Каждый эпизод связывается с конкретной нормой закона, указывается серьёзность и очерёдность исправлений
- Сетевые запросы к внешним сервисам — технический сигнал для дополнительной проверки, а не окончательный вывод
- Отчёт не заменяет консультацию юриста, но даёт фактуру для принятия решений
Чек-лист: что проверить на доске объявлений прямо сейчас
- 01Политика обработки персональных данных. Откройте главную страницу и футер сайта — есть ли ссылка на политику? Открывается ли документ, содержит ли он цели обработки, сроки хранения, права субъекта и ваши контакты как оператора?
- 02Трекеры до согласия. Откройте сайт в режиме инкогнито, нажмите F12 (инструменты разработчика), вкладка Network. Обновите страницу, не нажимая на cookie-баннер. Появились ли запросы к google-analytics.com, mc.yandex.ru или другим внешним доменам?
- 03Кнопки авторизации через соцсети. Есть ли на странице регистрации кнопки «Войти через Google», Facebook, Telegram? Если да — проверьте, подано ли уведомление Роскомнадзору о трансграничной передаче данных.
- 04Согласие на обработку в формах. Откройте форму регистрации или подачи объявления. Есть ли чекбокс с согласием на обработку? Указаны ли в тексте цели, можно ли отказаться без потери доступа к услуге?
- 05Cookie-баннер: отказ и настройка. Появляется ли при первом визите баннер о cookie? Есть ли кнопка «Отклонить» или «Настроить», равнозначная кнопке «Принять»? Или только кнопка «Согласен» и крестик?
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли подавать уведомление в Роскомнадзор, если доска объявлений работает только для граждан РФ?
Уведомление обязательно, если вы обрабатываете персональные данные без согласия (например, на основании договора или законной необходимости) либо передаёте данные за рубеж. География пользователей значения не имеет — важны основания и сценарии обработки.
Считается ли нарушением, если Google Analytics стоит, но в политике это не указано?
Если счётчик собирает данные и передаёт их за рубеж, а политика не содержит сведений о такой передаче — это несоответствие между документом и фактической обработкой. Может квалифицироваться как обработка без законного основания или нарушение требований к политике.
Можно ли использовать отчёт Dobrolex как доказательство для Роскомнадзора?
Отчёт — это фиксация фактов (снимки экрана, цитаты, сетевые запросы) и их правовая квалификация. Он не является официальным экспертным заключением, но может использоваться как материал для внутреннего аудита или как основание для обращения к юристу.
Что делать, если в отчёте указано «обстоятельство, требующее дополнительной проверки»?
Это означает, что по публичным страницам зафиксирован технический сигнал (например, запрос к внешнему серверу), но для окончательного вывода нужна дополнительная проверка — например, анализ серверной части или настроек хостинга. Рекомендация в отчёте подскажет, к кому обратиться.
Нужно ли согласие пользователя на публикацию объявления с его телефоном?
Если пользователь сам вводит телефон в форму объявления и понимает, что объявление будет опубликовано, это может рассматриваться как согласие, выраженное действием. Но политика обработки должна явно описывать эту цель и срок хранения данных.
Может ли доска объявлений работать без политики обработки персональных данных?
Нет. Если сайт собирает персональные данные (регистрация, формы, объявления с контактами), политика обработки обязательна для публикации. Её отсутствие — самостоятельное нарушение с предусмотренной санкцией.
Как часто нужно проверять сайт на соответствие 152-ФЗ?
После каждого значимого изменения: добавление новых форм, интеграция с внешними сервисами (аналитика, CRM, авторизация), изменение политики или миграция на новый хостинг. Регулярная проверка — раз в год или при изменении требований законодательства.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.