Какие данные на сайте ресторана попадают под 152-ФЗ
Персональные данные — это любая информация, которая относится к конкретному человеку. Имя, телефон и email в форме бронирования — очевидный пример. Но закон распространяется и на IP-адрес посетителя, cookie-файлы, идентификаторы сессии.
Если сайт собирает хотя бы одно из этих данных — через веб-форму, аналитику или авторизацию, — владелец ресторана становится оператором персональных данных. Это значит, что нужно соблюдать требования закона: получать согласие, публиковать политику, контролировать, куда уходят данные.
Проблема в том, что владелец сайта часто не знает, какие данные собираются на самом деле. В политике написано одно, а код отправляет запросы десяткам сервисов — от аналитики до виджетов карт и чатов.
Форма бронирования и согласие на обработку данных
Форма бронирования столика собирает имя, телефон, иногда email и комментарий гостя. Чтобы обработка была законной, нужно получить согласие субъекта данных — посетителя сайта.
Согласие оформляется чекбоксом под формой с текстом, который объясняет, кто и зачем обрабатывает данные, и ссылается на политику конфиденциальности. Чекбокс не должен быть предотмечен, а форма не должна отправляться без согласия.
Проверка показывает, как форма выглядит для посетителя: есть ли чекбокс, можно ли его снять, какой текст в согласии. Если согласия нет или оно сформулировано с ошибками, это создаёт риск по КоАП.
Аналитика и трекеры: что происходит до согласия посетителя
Многие сайты ресторанов используют Google Analytics, Яндекс.Метрику, Facebook Pixel. Эти сервисы собирают данные о поведении посетителя: какие страницы он открыл, сколько времени провёл на сайте, откуда пришёл.
Ключевой вопрос — в какой момент трекеры начинают работу. Если скрипт аналитики запускается сразу при загрузке страницы, до того как посетитель увидел cookie-баннер и дал согласие, это может квалифицироваться как обработка без законного основания.
Проверка фиксирует, какие запросы отправляются с чистой сессии — глазами нового посетителя, который ещё ничего не принял. Если данные уходят иностранным сервисам до согласия, это указывается в отчёте с рекомендацией, как исправить.
Передача данных за рубеж и уведомление Роскомнадзора
Когда сайт отправляет данные посетителя на серверы Google, Facebook или другого иностранного сервиса, это называется трансграничной передачей персональных данных. Закон требует, чтобы оператор уведомил об этом Роскомнадзор до начала передачи.
На практике владельцы ресторанов часто не знают, что данные уходят за рубеж, потому что трекеры установлены разработчиком или подключены через конструктор сайта. Отсутствие уведомления создаёт риск отдельного штрафа.
Проверка показывает, какие иностранные сервисы получают запросы, и связывает каждый факт с нормой закона. Это позволяет понять, нужно ли уведомление и какие шаги предпринять для снижения риска.
Как проверить сайт ресторана на соответствие 152-ФЗ
Проверка сайта начинается с чистой сессии — так, как его видит новый посетитель. Фиксируются снимки экрана, тексты форм, политик и баннеров, сетевые запросы браузера. Каждый факт получает временную метку и связывается с конкретной нормой закона.
Результат — заключение в PDF с установленными обстоятельствами, правовой квалификацией и рекомендациями. Эпизоды делятся по серьёзности, план даёт очерёдность исправлений. Если признаков нарушений не найдено, отчёт подтверждает это документально.
Проверка не заменяет консультацию юриста, но даёт фактическую основу для решений: что исправить в коде, какие документы обновить, нужно ли уведомление регулятора.
Проверьте сайт ресторана по 152-ФЗ — 6 пунктов
- 01Форма бронирования. Откройте форму на сайте: есть ли чекбокс согласия на обработку данных, можно ли его снять, есть ли ссылка на политику конфиденциальности.
- 02Политика конфиденциальности. Найдите политику на сайте: указаны ли цели обработки данных, перечислены ли сторонние сервисы (аналитика, виджеты), есть ли реквизиты оператора.
- 03Cookie-баннер. Откройте сайт в режиме инкогнито: появляется ли баннер, можно ли отказаться от cookie, есть ли настройка категорий.
- 04Трекеры и аналитика. Проверьте через инструменты браузера (F12 → Network), какие запросы отправляются при первой загрузке страницы — до любых действий посетителя.
- 05Иностранные сервисы. Посмотрите в списке запросов домены: если видите google-analytics.com, facebook.com, doubleclick.net — данные уходят за рубеж.
- 06Уведомление Роскомнадзора. Уточните у юриста или через проверку, подано ли уведомление в реестр операторов персональных данных — если сайт передаёт данные за рубеж или обрабатывает их в особых категориях.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли подавать уведомление в Роскомнадзор, если на сайте ресторана только форма обратной связи?
Обязанность уведомить регулятор зависит от категории данных, целей обработки и способа их передачи. Если данные обрабатываются только для связи с гостем и не передаются третьим лицам, уведомление может не требоваться. Окончательное решение принимает юрист или регулятор.
Как понять, что трекеры на сайте запускаются до согласия посетителя?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12 → Network) и обновите страницу. Если видите запросы к google-analytics.com, mc.yandex.ru или другим сервисам до того, как нажали кнопку в cookie-баннере, трекеры стартуют раньше согласия.
Можно ли использовать Google Analytics на сайте ресторана без нарушения закона?
Можно, но нужно выполнить три условия: получить согласие посетителя до запуска трекера, указать Google Analytics в политике конфиденциальности, подать уведомление в Роскомнадзор о трансграничной передаче данных. Проверка покажет, выполнены ли эти условия на вашем сайте.
Что будет, если на сайте нет политики конфиденциальности?
Отсутствие опубликованной политики обработки персональных данных — самостоятельное основание для штрафа по КоАП. Для юридических лиц диапазон санкций указан в реестре норм.
Как проверить, куда на самом деле уходят данные с сайта ресторана?
Проверка фиксирует сетевой обмен браузера с чистой сессии: какие запросы отправляются, какие домены их получают, в какой момент это происходит. Эти технические сигналы сопоставляются с текстом политики и отражаются в заключении как установленные обстоятельства.
Сколько стоит привести сайт ресторана в соответствие с 152-ФЗ?
Зависит от того, какие риски найдены. Многие эпизоды закрываются правкой текста политики или настройкой cookie-баннера — без переписывания кода. Заключение делит риски по серьёзности и даёт очерёдность исправлений, что позволяет планировать бюджет.
Нужно ли проверять сайт ресторана, если он сделан на конструкторе?
Да. Конструктор сайта отвечает за инфраструктуру, но владелец сайта остаётся оператором персональных данных — это он собирает данные гостей через формы и аналитику. Проверка покажет, какие данные собирает сайт и где возникают риски по закону.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.