Какие данные в онлайн-игре попадают под 152-ФЗ
Персональные данные — это любая информация, которая относится к конкретному человеку. В онлайн-игре это не только имя и email при регистрации, но и никнейм, если он связан с профилем, IP-адрес, cookies, идентификаторы устройства и данные из соцсетей при авторизации через OAuth.
Если игра сохраняет прогресс, обрабатывает платежи или показывает рекламу с таргетингом, она собирает данные и становится оператором по смыслу 152-ФЗ. Это значит, что нужны законные основания для обработки, политика конфиденциальности и, возможно, уведомление Роскомнадзору.
На практике разработчики не всегда понимают, что встраивание аналитики или авторизации через Google уже создаёт правовые обязательства. Проблема в том, что политика часто копируется из шаблона и не описывает реальную логику игры.
Трекеры и аналитика: что происходит до согласия игрока
Большинство игр встраивают счётчики аналитики — Google Analytics, Яндекс Метрику, Facebook Pixel — для отслеживания аудитории и эффективности рекламы. Эти сервисы стартуют автоматически при загрузке страницы и начинают собирать данные до того, как игрок увидит баннер о cookies или даст согласие.
Если трекер запустился раньше согласия, это может квалифицироваться как обработка без законных оснований. Кроме того, многие из этих сервисов — иностранные, и данные уходят за пределы России без уведомления регулятора.
Проверить это можно, только открыв сайт с чистой сессии и зафиксировав сетевой обмен браузера. Так вы увидите, какие запросы ушли до первого клика и какие домены получили данные посетителя.
Авторизация через соцсети и OAuth: передача данных за границу
Вход через Google, Facebook или ВКонтакте упрощает регистрацию, но создаёт правовые риски. Когда игрок нажимает «Войти через Google», браузер обращается к серверам Google, передаёт токен и данные профиля. Это трансграничная передача персональных данных, и она требует соблюдения дополнительных условий.
Если игра использует OAuth от иностранного сервиса, нужно проверить, описана ли эта передача в политике конфиденциальности, получено ли согласие игрока и подано ли уведомление в Роскомнадзор. На практике эти требования часто игнорируются.
Кроме того, OAuth-провайдеры сами могут запускать трекеры и собирать данные. Проверка сетевых запросов покажет, какие сервисы на самом деле получают доступ к данным игрока.
Политика конфиденциальности: шаблон или реальность
Политика конфиденциальности — это не формальность, а документ, который должен описывать, какие данные собирает игра, зачем, кому передаёт и как защищает. Роскомнадзор проверяет соответствие политики фактическим действиям сайта.
Если в политике написано, что данные обрабатываются только в России, а на деле запросы уходят в Google Analytics, это несоответствие создаёт риск. То же самое с согласиями: если игрок не видел чекбокс или баннер, а политика ссылается на «добровольное согласие», это может быть квалифицировано как нарушение.
Проверка извлекает политику из документов сайта и сопоставляет её с реальными запросами браузера. В отчёте вы увидите, где политика расходится с практикой и что нужно исправить.
Как проверить онлайн-игру на соответствие 152-ФЗ
Чтобы понять, создаёт ли игра правовые риски, нужно открыть сайт с чистой сессии — без cookies, истории и авторизации — и зафиксировать, что происходит до первого действия игрока. Это покажет, какие трекеры стартуют автоматически, куда уходят данные и есть ли согласия.
Проверка фиксирует снимки экрана, сетевые запросы и дословные цитаты из политики конфиденциальности. Каждый факт связывается с нормой закона, и вы получаете заключение с эпизодами, уровнем риска и рекомендациями, что исправить в первую очередь.
Если эпизодов не найдено, это значит, что на публичных страницах признаков нарушений нет. Это не гарантия полного соответствия — закрытые разделы, серверная часть и внутренние процессы не проверяются, — но даёт уверенность, что видимая часть игры в порядке.
- Сайт открывается глазами нового посетителя — до любого клика и согласия
- Фиксируются запросы браузера, снимки экрана и цитаты из документов
- Каждый эпизод связывается с нормой закона и получает приоритет исправления
- В отчёте — резюме с рисками, правовая квалификация и рекомендации
Проверьте сайт игры на базовые риски по 152-ФЗ
- 01Есть ли на сайте политика конфиденциальности. Откройте главную страницу и найдите ссылку на политику — она должна быть доступна до регистрации и описывать, какие данные собирает игра
- 02Запускаются ли трекеры до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладку Network — если запросы к Google или Яндексу ушли до клика на баннер, это риск
- 03Описана ли авторизация через соцсети в политике. Если игра использует вход через Google или ВКонтакте, в политике должно быть указано, что данные передаются этим сервисам и зачем
- 04Есть ли возможность отказаться от cookies. Баннер о cookies должен давать равнозначный выбор — не только «Принять», но и «Отклонить» или «Настроить»
- 05Указаны ли реквизиты оператора персональных данных. В политике или пользовательском соглашении должны быть ИНН, ОГРН и контакты оператора — того, кто обрабатывает данные игроков
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Небольшой проектный сайт
Эпизодов с признаками нарушений по результатам осмотра не выявлено — отчёт подтверждает, что сайт в порядке.
- — Отрицательный результат тоже документ: снимки, цитаты и пределы проверки фиксируются так же
Частые вопросы
Нужно ли уведомление Роскомнадзору, если игра собирает только никнеймы
Если никнейм связан с профилем или аккаунтом игрока, он может считаться персональным данным. Уведомление нужно, если вы обрабатываете персональные данные без согласия в случаях, установленных законом, или если передаёте данные за границу.
Можно ли использовать Google Analytics в онлайн-игре без рисков
Google Analytics — иностранный сервис, и использование создаёт риск по трансграничной передаче. Нужно описать это в политике, получить согласие игрока и не запускать счётчик до согласия.
Что будет, если политика конфиденциальности не соответствует реальной работе игры
Роскомнадзор может квалифицировать это как обработку без законных оснований или нарушение требований к политике. Санкции зависят от конкретного эпизода — от десятков тысяч до сотен тысяч рублей.
Нужно ли хранить данные игроков на серверах в России
Да, если вы собираете персональные данные граждан России. Запись, систематизация, накопление, хранение должны происходить в базах данных на территории РФ.
152-ФЗ для онлайн-игры: как проверить сайт, если я не разработчик
Можно использовать автоматизированную проверку — она откроет сайт с чистой сессии, зафиксирует запросы и документы, сопоставит с нормами закона и выдаст отчёт с эпизодами и рекомендациями.
Что делать, если в игре обнаружены нарушения 152-ФЗ
Сначала зафиксируйте, что именно не соответствует закону. Затем исправьте критичные риски — обновите политику, настройте баннер, отложите запуск трекеров до согласия. Если нужна помощь, подключите юриста.
Проверка покажет все риски или только часть
Проверяются только публичные страницы — без входа в аккаунт и без отправки форм. Это даёт картину по видимой части сайта, но не заменяет полный аудит с юристом.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.