Почему МФО — в зоне особого внимания по 152-ФЗ
Микрофинансовые организации обрабатывают чувствительные персональные данные: паспорта, СНИЛС, адреса регистрации, номера телефонов, данные о доходах. Эти сведения собираются через веб-формы на сайте, обрабатываются при принятии решения о выдаче займа и хранятся в базах данных.
Объём обрабатываемых персональных данных в МФО велик, а последствия утечки или неправомерной обработки затрагивают права граждан. Штрафы за нарушения начинаются с десятков тысяч рублей и могут достигать миллионов.
Большинство нарушений возникает не из-за злого умысла, а из-за технических ошибок: трекеры запускаются до согласия посетителя, политика конфиденциальности скопирована с шаблона и не содержит реальных реквизитов оператора, данные уходят на серверы аналитических систем за рубежом без уведомления регулятора.
Что может создать риск по 152-ФЗ на сайте МФО
Проверка сайта охватывает публично доступные элементы: формы заявок, политику конфиденциальности, пользовательское соглашение. Параллельно анализируется техническая сторона: какие скрипты загружаются, какие cookie-файлы устанавливаются, куда отправляются данные.
Типичные точки риска: опубликована ли политика обработки персональных данных с актуальными реквизитами оператора, запрашивается ли согласие на обработку данных в формах, запускаются ли трекеры и аналитические системы до того, как посетитель дал согласие на использование cookie.
Если данные отправляются на серверы за пределами России — например, в Google Analytics, Facebook Pixel или другие иностранные сервисы, — это может квалифицироваться как трансграничная передача персональных данных и требует уведомления Роскомнадзора.
Типичные ошибки на сайтах МФО и как они выглядят на практике
Трекеры запускаются сразу при заходе на сайт, до взаимодействия с cookie-баннером. Посетитель ещё не согласился на обработку данных, а браузер уже отправляет запросы в Яндекс.Метрику или Google Analytics. Это создаёт риск квалификации как обработка без законного основания.
Политика конфиденциальности содержит общие фразы, но не указывает ИНН, ОГРН и адрес оператора — или указывает реквизиты другой организации. Иногда политика вообще отсутствует или доступна только после регистрации.
В форме заявки на займ нет чекбокса согласия на обработку персональных данных, или согласие оформлено как ссылка на политику без активного действия пользователя.
Cookie-баннер предлагает только кнопку «Принять» или «ОК», но не даёт возможности отказаться от необязательных cookie. Если отказ от аналитических и маркетинговых cookie невозможен или требует сложных действий, это фиксируется как эпизод с признаками нарушения.
Как проверить сайт МФО на соответствие 152-ФЗ
Проверка начинается с чистой сессии браузера — так, как это делает новый посетитель или инспектор. Нужно зафиксировать, какие скрипты и трекеры загружаются до любого согласия, какие cookie-файлы устанавливаются, куда браузер отправляет запросы.
Затем проверяются документы: политика конфиденциальности, пользовательское соглашение, тексты согласий в формах. Важно убедиться, что реквизиты оператора актуальны, цели обработки данных описаны конкретно, сроки хранения указаны, права субъекта данных разъяснены.
Следующий шаг — веб-формы: есть ли чекбокс согласия, активен ли он по умолчанию, раскрыты ли в тексте согласия цели и способы обработки, указан ли срок действия согласия.
Наконец, анализируется сетевой обмен: к каким внешним доменам обращается браузер, какие данные передаются, где расположены серверы получателей. Если данные уходят за рубеж, это требует уведомления Роскомнадзора.
- Откройте сайт в режиме инкогнито и зафиксируйте, какие скрипты загружаются до клика на cookie-баннере
- Проверьте политику конфиденциальности: есть ли ИНН, ОГРН, адрес оператора, цели и сроки обработки данных
- Изучите формы заявок: есть ли чекбокс согласия, не установлен ли он по умолчанию, раскрыты ли цели обработки
- Посмотрите сетевые запросы браузера (вкладка Network в инструментах разработчика): куда уходят данные, какие домены получают запросы
Что делать, если нашли нарушение
Если на сайте выявлены признаки нарушения, первый шаг — зафиксировать факты: сделать снимки экрана, сохранить копии документов, записать время фиксации. Эти материалы понадобятся для исправления и, если потребуется, для объяснений перед регулятором.
Затем определите очерёдность исправлений: в отчёте Dobrolex каждый эпизод получает оценку серьёзности и рекомендацию по приоритету. Трекеры, запускающиеся без согласия, и отсутствие политики конфиденциальности обычно требуют более срочного внимания. Неточности в тексте согласия или устаревший адрес в политике — тоже важны, но могут быть исправлены следом.
После исправлений проверьте сайт повторно: убедитесь, что трекеры больше не стартуют до согласия, политика опубликована и содержит актуальные данные, формы работают корректно. Только после этого можно считать риск устранённым.
Чек-лист проверки сайта МФО по 152-ФЗ
- 01Политика конфиденциальности опубликована и содержит реквизиты. На сайте есть политика обработки персональных данных, в ней указаны ИНН, ОГРН, адрес и контакты оператора, цели и сроки обработки, права субъекта данных.
- 02Трекеры не запускаются до согласия посетителя. Яндекс.Метрика, Google Analytics и другие аналитические системы начинают работу только после взаимодействия с cookie-баннером, а не сразу при загрузке страницы.
- 03В формах заявок есть явное согласие на обработку данных. Чекбокс согласия не установлен по умолчанию, текст согласия раскрывает цели и способы обработки, есть ссылка на политику конфиденциальности.
- 04Cookie-баннер даёт возможность отказаться от необязательных cookie. Помимо кнопки «Принять», есть равнозначная кнопка «Отклонить» или возможность настроить категории cookie (аналитические, маркетинговые).
- 05Данные не уходят за рубеж без уведомления Роскомнадзора. Если сайт использует иностранные сервисы (Google, Facebook, Stripe), проверьте, подано ли уведомление о трансграничной передаче персональных данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Обязательно ли МФО уведомлять Роскомнадзор о том, что мы обрабатываем персональные данные?
Требования об уведомлении зависят от способа обработки и категорий данных. За неподачу уведомления, когда оно требуется, предусмотрен штраф. Уточните у юриста, нужно ли уведомление в вашем конкретном случае и какие документы для этого понадобятся.
Можно ли использовать Google Analytics на сайте МФО?
Можно, но с ограничениями. Google Analytics — иностранный сервис, данные посетителей могут передаваться за рубеж. Это требует уведомления Роскомнадзора о трансграничной передаче. Если трекер стартует без согласия посетителя, это создаёт риск штрафа.
Что будет, если политика конфиденциальности скопирована с другого сайта?
Если в политике указаны чужие реквизиты или общие фразы без конкретики, это создаёт риск квалификации как отсутствие опубликованной политики обработки персональных данных. Политику нужно адаптировать под вашу организацию и фактические процессы обработки данных.
Как понять, что трекеры запускаются без согласия?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика браузера (F12), перейдите на вкладку Network и обновите страницу. Если до клика на cookie-баннере вы видите запросы к доменам аналитических систем (например, google-analytics.com, mc.yandex.ru), значит, трекеры запустились без согласия.
Достаточно ли просто разместить ссылку на политику конфиденциальности в форме заявки?
Нет, этого недостаточно. Человек должен совершить активное действие: поставить галочку в чекбоксе, подтвердить согласие кнопкой. Просто разместить ссылку на политику недостаточно — согласие не считается полученным.
Нужно ли проверять сайт, если нарушений вроде бы нет?
Да. То, что вам кажется в порядке, не всегда соответствует фактическому поведению сайта. Трекеры могут запускаться незаметно, политика — содержать устаревшие данные, а формы — не соответствовать требованиям закона. Объективная проверка показывает реальную картину и помогает избежать штрафа.
Что такое трансграничная передача персональных данных и когда она возникает?
Трансграничная передача — это передача персональных данных на территорию иностранного государства. Она возникает, например, когда данные отправляются на серверы Google, Facebook, Stripe или других иностранных сервисов. Перед началом такой передачи нужно уведомить Роскомнадзор.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.