Когда маркетинговое агентство отвечает по 152-ФЗ
Если агентство разрабатывает сайт или лендинг, настраивает аналитику и формы захвата лидов — оно участвует в обработке персональных данных. Заказчик может переложить на агентство ответственность за соответствие закону, особенно если это прописано в договоре или агентство выступает подрядчиком «под ключ».
Даже если формально оператором остаётся клиент, претензии от Роскомнадзора или жалобы посетителей сайта могут вернуться к агентству — через репутационные риски, споры по договору или требование устранить нарушения за свой счёт.
Частые эпизоды: трекеры стартуют до согласия посетителя, на сайте нет политики обработки персональных данных, данные передаются иностранным сервисам, cookie-баннер не даёт равноценного отказа.
Что на самом деле происходит на сайте: трекеры, формы и передача данных
Маркетинговое агентство обычно подключает Google Analytics, Яндекс Метрику, Facebook Pixel, Roistat или коллтрекинг. Эти инструменты собирают данные о посетителях — IP-адреса, cookie, поведение на сайте — и отправляют их на серверы сервиса.
Проблема возникает в двух точках: когда трекер начинает работать до того, как посетитель дал согласие, и когда данные передаются за рубеж. Первое создаёт риск обработки без согласия, второе — риск по трансграничной передаче данных.
Формы захвата лидов, pop-up'ы и чат-боты собирают имена, телефоны и email. Если рядом с формой нет ссылки на политику обработки персональных данных или чекбокса с согласием — это может квалифицироваться как обработка без правового основания.
Как проверить сайт клиента на риски по 152-ФЗ
Проверка открывает сайт с чистой сессии — как новый посетитель — и фиксирует, что происходит до любого согласия. Она показывает, какие трекеры запустились, куда ушли данные, есть ли политика и согласия в формах.
Каждый эпизод связывается с нормой закона и получает приоритет исправления. В заключении — снимки экрана, цитаты из документов, правовая квалификация и рекомендация, что исправить.
Если эпизодов не найдено, отчёт подтверждает, что на публичных страницах признаков нарушений нет. Это не гарантия соответствия — закрытые разделы и серверная часть не проверяются, — но даёт фактическое основание для передачи проекта клиенту.
Что исправить перед запуском: план действий для агентства
Типичный сценарий исправлений: настроить отложенный запуск трекеров через cookie-баннер, добавить равнозначную кнопку отказа, опубликовать политику обработки персональных данных с реквизитами оператора, добавить чекбокс с согласием во все формы.
Если данные уходят иностранным сервисам — отчёт покажет, куда именно, и даст правовую квалификацию риска. Если сервис использует авторизацию через Google или Facebook — проверить, не создаёт ли это дополнительный риск.
Тариф «Аудит и план действий» даёт не только заключение, но и конкретные решения: какой код поправить, какие настройки изменить в аналитике, какой текст добавить в политику. Это готовая инструкция для разработчика и маркетолога.
Как агентству встроить проверку в процесс сдачи проекта
Проверка позволяет получить заключение с фактами и рекомендациями. Можно проверить сайт на тестовом домене до передачи клиенту — и исправить риски до претензий.
Если агентство ведёт несколько проектов, имеет смысл проверять каждый перед запуском рекламы или передачей заказчику. Это защищает репутацию агентства и снижает риск споров по договору.
Что проверить на сайте клиента перед передачей
- 01Трекеры и cookie до согласия. Откройте сайт в режиме инкогнито и проверьте через DevTools (вкладка Network), запускаются ли скрипты аналитики до нажатия на баннер.
- 02Политика обработки персональных данных. Убедитесь, что на сайте опубликована политика с реквизитами оператора (ИНН, ОГРН, адрес) и описанием целей обработки данных.
- 03Согласия в формах. Проверьте все лид-формы, pop-up'ы и чат-боты: есть ли рядом чекбокс с согласием и ссылка на политику обработки персональных данных.
- 04Cookie-баннер: равнозначный отказ. Проверьте, можно ли отказаться от cookie одной кнопкой или нужно идти в настройки. Кнопки «Принять» и «Отклонить» должны быть равноценными.
- 05Передача данных за рубеж. Посмотрите, какие сервисы подключены (Google Analytics, Facebook Pixel, Mailchimp) — если они иностранные, это может потребовать уведомления Роскомнадзора.
- 06Авторизация через соцсети. Если на сайте есть вход через Google, Facebook или другие зарубежные сервисы, проверьте, как это реализовано — это может создать риск по трансграничной передаче.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли агентству уведомлять Роскомнадзор, если оно настраивает аналитику на сайте клиента?
Порядок уведомления зависит от того, кто выступает оператором персональных данных. Заключение Dobrolex извлекает сведения об операторах из документов сайта и квалифицирует риски по уведомлению со ссылкой на нормы закона.
Можно ли использовать Google Analytics и Facebook Pixel после запрета иностранных сервисов?
Запрета на использование нет, но передача данных граждан РФ за рубеж требует соблюдения условий трансграничной передачи. Это может потребовать уведомления Роскомнадзора.
Что будет, если на лендинге клиента нет политики обработки персональных данных?
Это создаёт риск по необработанным данным и может квалифицироваться как нарушение требований к публикации политики. Отчёт Dobrolex покажет этот эпизод и даст рекомендацию.
Как проверить, запускаются ли трекеры до согласия посетителя?
Откройте сайт в режиме инкогнито, откройте DevTools (вкладка Network) и обновите страницу. Если запросы к аналитике идут до нажатия на баннер — трекеры стартуют раньше согласия.
Заменяет ли отчёт Dobrolex консультацию юриста?
Нет. Заключение показывает факты, риски и нормы закона, но не заменяет правовую консультацию. Это инструмент для выявления эпизодов и подготовки к работе с юристом.
Можно ли проверить сайт на тестовом домене до запуска?
Да. Dobrolex проверяет любой публично доступный URL — можно проверить тестовую версию сайта перед передачей клиенту.
Что делать, если в отчёте нашли эпизоды с признаками нарушений?
Используйте рекомендации из отчёта: исправьте код, настройки и документы. Тариф «Аудит и план действий» даёт готовые решения для каждого риска.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.