Почему сайт страховой компании — зона особого внимания регулятора
Сайт страховщика обрабатывает больше персональных данных, чем обычный интернет-магазин: ФИО, паспорт, адрес, телефон, данные о здоровье, история страховых случаев. Часть данных собирается через веб-формы, часть — через личный кабинет, часть попадает в аналитику и внешние сервисы.
Закон о персональных данных не делит операторов на крупных и мелких: требования одинаковы для всех. Согласие, политика, уведомление Роскомнадзора, локализация данных граждан России — всё это обязательно. Регулятор проверяет страховые компании регулярно, а клиенты могут пожаловаться, если увидят проблему с согласием или утечку.
Сайт — публичная витрина компании, и именно по нему Роскомнадзор может начать проверку, не заходя в офис. Отсутствие политики, трекеры, стартующие до согласия, данные, уходящие за рубеж без оснований, — всё это может создать правовой риск.
Какие риски чаще всего встречаются на сайтах страховых компаний
Первый риск — трекеры и аналитика стартуют раньше, чем посетитель дал согласие. Cookie-баннер есть, но технически счётчик запускается сразу при загрузке страницы. Для посетителя это незаметно, но с точки зрения закона данные обрабатываются без оснований.
Второй — данные уходят к иностранным сервисам: аналитика, карты, виджеты онлайн-консультанта. Если сервис находится за рубежом, а трансграничная передача не оформлена, возникает риск серьёзного штрафа. Часто об этом не знают — виджет подключили, не задумываясь, где физически расположен сервер.
Третий — политика конфиденциальности написана общими словами или устарела. В ней не указаны конкретные цели обработки, перечень внешних получателей, сроки хранения. Если документ не описывает реальность, он не защищает компанию.
Четвёртый риск — формы сбора данных о здоровье работают без надлежащего согласия. Данные о здоровье относятся к специальным категориям, и закон предъявляет к их обработке усиленные требования.
Как проверить сайт страховой компании на соответствие закону о персональных данных
Проверка начинается с чистой сессии — так, как сайт видит новый посетитель, который ещё ничего не нажал. Фиксируется момент запуска трекеров, содержимое cookie-баннера, наличие кнопки отказа и настройки категорий.
Дальше — веб-формы: какие поля собираются, есть ли согласие на обработку, как оно сформулировано, можно ли отозвать. Если форма запрашивает данные о здоровье (например, для расчёта страховки), проверяется наличие и содержание согласия.
Третий шаг — сетевые запросы браузера. Инструменты разработчика показывают, куда уходят данные посетителя: какие домены, какие параметры передаются. Если среди них иностранные сервисы, это отмечается как обстоятельство, требующее правовой оценки.
Завершает проверку анализ документов: политика конфиденциальности, пользовательское соглашение, текст согласий. Документы сопоставляются с реальным поведением сайта — если политика умалчивает о трекерах или внешних получателях, это расхождение фиксируется.
Что делать, если проверка выявила риски на сайте
Если обнаружены эпизоды с признаками нарушений, первым делом оцените их серьёзность. Трансграничная передача данных без оснований, отсутствие согласия на обработку специальных категорий, запуск трекеров до согласия — это высокий приоритет, исправлять нужно быстро.
Технические правки — настройка cookie-баннера, перенос аналитики на российские серверы или отключение иностранных виджетов — делает разработчик по конкретному описанию проблемы. Юридические правки — обновление политики, доработка текста согласий, подготовка уведомления в Роскомнадзор — ложатся на юриста.
После исправлений полезно провести повторную проверку, чтобы убедиться: изменения сработали, новых рисков не появилось. Это особенно важно, если правки затрагивали несколько элементов сайта одновременно — например, баннер, формы и политику.
Как Dobrolex помогает страховым компаниям проверить сайт
Dobrolex открывает сайт как новый посетитель и фиксирует, что происходит на самом деле: какие данные собираются, куда уходят, когда стартуют трекеры. Каждый факт попадает в отчёт со снимком экрана, временем фиксации и ссылкой на норму закона.
Проверка охватывает публичные страницы сайта: главную, формы обратной связи, калькуляторы, политику конфиденциальности. Сетевые запросы браузера к внешним сервисам отмечаются как обстоятельства, требующие дополнительной проверки.
Результат — заключение в PDF с резюме рисков, правовой квалификацией по каждому эпизоду и рекомендациями, что исправить. В расширенном тарифе — готовый план действий с решениями для кода, настроек и документов.
Чек-лист: проверьте сайт страховой компании на базовые риски по 152-ФЗ
- 01Политика конфиденциальности опубликована и доступна. Откройте главную страницу сайта и найдите ссылку на политику обработки персональных данных — обычно она в подвале. Документ должен открываться без регистрации.
- 02Cookie-баннер даёт равнозначный выбор. При первом заходе на сайт должен появиться баннер с предложением принять или отклонить cookie. Кнопка отказа должна быть такой же заметной, как кнопка согласия.
- 03Формы содержат согласие на обработку данных. Откройте форму обратной связи или заявки. Под полями должна быть галочка или ссылка на согласие с описанием, для чего собираются данные и кому могут быть переданы.
- 04Данные о здоровье собираются с надлежащим согласием. Если на сайте есть калькулятор страховки или форма заявления, где запрашиваются сведения о здоровье, проверьте наличие согласия на обработку — закон предъявляет к таким данным усиленные требования.
- 05В политике указаны внешние получатели данных. Откройте политику конфиденциальности и найдите раздел о передаче данных третьим лицам. Должны быть перечислены конкретные категории получателей или названия сервисов.
- 06Реквизиты оператора персональных данных опубликованы. В политике или в разделе контактов должны быть указаны полное наименование компании, ИНН, ОГРН, юридический адрес — данные, по которым можно идентифицировать оператора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли страховой компании уведомлять Роскомнадзор о намерении обрабатывать персональные данные?
Да, если компания обрабатывает персональные данные на основании согласия или договора. Исключений для страховых компаний нет. Детали процедуры уточняйте у юриста.
Можно ли использовать Google Analytics на сайте страховой компании?
Использовать можно, но с ограничениями: трекер должен запускаться только после согласия посетителя, передача данных за рубеж требует оформления, политика должна описывать этот факт. Без этого возникает риск штрафа.
Что будет, если данные клиентов утекли с сайта страховой компании?
Компания обязана уведомить Роскомнадзор об утечке. Может быть наложен штраф в зависимости от масштаба утечки, при повторной утечке предусмотрен оборотный штраф. Процедуру уточняйте у юриста.
Как часто нужно обновлять политику конфиденциальности на сайте?
Когда реальная практика обработки данных меняется — например, подключили новую аналитику, виджет или начали собирать дополнительные данные через формы. Устаревшая политика не защищает от ответственности.
Какие требования предъявляет закон к сбору данных о здоровье?
Данные о здоровье — специальная категория, закон предъявляет к ним усиленные требования. Конкретные правила оформления согласия и документов уточняйте у юриста, специализирующегося на персональных данных.
Может ли проверка сайта заменить аудит всей системы обработки персональных данных?
Нет. Проверка сайта фиксирует риски на публичных страницах — формы, трекеры, документы, cookie-баннер. Серверная часть, внутренние процессы, обмен данными с партнёрами и защита баз данных требуют отдельного аудита.
Что делать, если Dobrolex нашёл на сайте эпизоды с признаками нарушений?
Оцените серьёзность по резюме отчёта, начните с высокого приоритета. Технические правки передайте разработчику с конкретным описанием проблемы, юридические — юристу. После исправлений можно заказать повторную проверку.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.