Какие данные собирает сайт турагентства и почему это важно
Сайт турагентства — это точка сбора персональных данных клиентов: ФИО, телефон, email, паспортные данные, даты рождения. Эти данные нужны для бронирования туров, оформления виз, выписки авиабилетов и связи с клиентом. Закон требует, чтобы сбор происходил на законных основаниях, с согласия субъекта или в рамках договора, а политика конфиденциальности раскрывала цели и способы обработки.
Кроме явных форм заявки, сайт использует аналитические системы — Яндекс.Метрику, Google Analytics, пиксели ретаргетинга. Эти инструменты собирают cookie, IP-адреса, идентификаторы устройств и поведенческие данные посетителей. Если трекеры запускаются до получения согласия, это создаёт риск квалификации как обработка без законных оснований.
Третья категория — сторонние сервисы: виджеты онлайн-чата, формы обратной связи, интеграции с системами бронирования и платёжными шлюзами. Каждый такой сервис может получать данные посетителя, и если он находится за рубежом, возникает вопрос трансграничной передачи и уведомления Роскомнадзора.
Что происходит на сайте до согласия посетителя
Многие турагентства устанавливают cookie-баннер, но не настраивают реальную блокировку трекеров. Посетитель видит окно с текстом о cookie, но Яндекс.Метрика, Facebook Pixel или чат уже отправили первые запросы — до того, как человек нажал «Принять». Для регулятора это признак обработки без согласия.
Проверка сайта начинается с чистой сессии: браузер открывает главную страницу без истории, cookie и авторизации — глазами нового посетителя. Фиксируется момент загрузки страницы, появления баннера и старта сетевых запросов к внешним сервисам. Если запросы к аналитическим системам или иностранным доменам начинаются раньше согласия, это попадает в отчёт как эпизод с признаками нарушения.
Равнозначный отказ — ещё одно требование: кнопка «Отклонить» должна быть видна сразу, а не спрятана в настройках. Если баннер предлагает только «Принять» или «Настроить», а отказаться можно лишь через несколько кликов, это тоже фиксируется.
Формы заявки и согласие на обработку персональных данных
Форма заявки на тур — центральный элемент сайта турагентства. Закон требует, чтобы перед отправкой данных субъект дал информированное согласие: понимал, кто будет обрабатывать его данные, для каких целей, кому они могут быть переданы и как их можно отозвать. Шаблонный текст «Я согласен с политикой конфиденциальности» без раскрытия этих пунктов создаёт риск.
Проверка фиксирует каждую форму на публичных страницах: какие поля собирают данные, есть ли чекбокс согласия, активна ли ссылка на политику и содержит ли сам документ обязательные реквизиты оператора — ИНН, ОГРН, адрес, контакты для обращений субъектов.
Если форма собирает паспортные данные или информацию о детях, требования к согласию ещё строже. Для специальных категорий данных согласие должно быть письменным и содержать явное указание на эти категории. Отсутствие такого согласия — основание для квалификации по соответствующей норме.
Сторонние сервисы и трансграничная передача данных
Турагентства часто используют зарубежные инструменты: Google Analytics, Facebook, Booking.com виджеты, платёжные системы. Если сервис расположен за пределами России и получает персональные данные граждан РФ, это трансграничная передача. Закон требует, чтобы страна назначения обеспечивала адекватную защиту прав субъектов, либо оператор получил согласие и уведомил Роскомнадзор.
Проверка сайта фиксирует сетевые запросы к иностранным доменам как технический сигнал: какие данные передаются, в какой момент, куда именно. Эти запросы не являются доказательством нарушения сами по себе — они требуют дополнительной проверки оснований передачи и наличия уведомления регулятору.
Если в политике конфиденциальности не раскрыта информация о передаче данных третьим лицам и трансграничной передаче, это усиливает риск. Субъект данных должен знать, что его информация может покинуть Россию, и дать на это согласие.
Как проверить сайт турагентства на соответствие закону
Dobrolex открывает сайт турагентства с чистой сессии, фиксирует действия до и после согласия, анализирует формы, документы и сетевые запросы. Результат — заключение в PDF с установленными обстоятельствами, снимками экрана, временными метками и правовой квалификацией каждого эпизода.
В резюме указаны эпизоды с признаками нарушений, их серьёзность и очерёдность исправлений. Если на публичных страницах признаков не найдено, отчёт это подтверждает — но это не означает полного соответствия закону, так как закрытые разделы, серверная часть и внутренние процессы не проверяются.
Тариф с планом действий даёт конкретные решения: что исправить в коде, как настроить cookie-баннер, какие пункты добавить в политику конфиденциальности и согласие. Тариф с юристом включает подготовку документов под ваш сайт и сопровождение правок до итоговой проверки.
Проверьте сайт турагентства прямо сейчас
- 01Cookie-баннер. Откройте сайт в режиме инкогнито. Появляется ли баннер о cookie? Есть ли кнопка «Отклонить» рядом с «Принять», или отказаться можно только через настройки?
- 02Старт аналитики. Откройте инструменты разработчика браузера (F12), вкладку «Сеть». Обновите страницу. Идут ли запросы к mc.yandex.ru, google-analytics.com, facebook.com до того, как вы нажали «Принять»?
- 03Форма заявки. Найдите форму бронирования или заявки на тур. Есть ли чекбокс согласия на обработку персональных данных? Ведёт ли ссылка на политику конфиденциальности на рабочий документ?
- 04Политика конфиденциальности. Откройте политику. Указаны ли в ней ИНН, ОГРН, адрес и контакты оператора? Описано ли, какие данные собираются, для каких целей и кому передаются?
- 05Сторонние сервисы. Есть ли на сайте виджеты онлайн-чата, кнопки социальных сетей, интеграции с зарубежными платформами? Раскрыта ли в политике передача данных этим сервисам?
- 06Паспортные данные. Если форма собирает серию и номер паспорта, дату рождения или данные детей — есть ли отдельное письменное согласие с указанием на эти категории данных?
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Нужно ли турагентству уведомлять Роскомнадзор о обработке персональных данных?
Обязанность уведомлять зависит от оснований обработки. Если данные обрабатываются на основании согласия или для исполнения договора, уведомление, как правило, требуется. Если обработка ведётся в рамках исключений — например, только для внутреннего учёта без передачи третьим лицам — уведомление может не потребоваться. Точный ответ зависит от фактической ситуации.
Можно ли использовать Google Analytics на сайте турагентства?
Использовать можно, но с соблюдением требований закона. Google Analytics получает персональные данные посетителей и передаёт их за рубеж. Это требует согласия субъекта, раскрытия факта трансграничной передачи в политике и, возможно, уведомления Роскомнадзора. Запускать аналитику до согласия посетителя нельзя.
Что будет, если на сайте нет политики конфиденциальности?
Отсутствие опубликованной политики обработки персональных данных — самостоятельное основание для привлечения к ответственности. Кроме того, без политики невозможно получить информированное согласие субъекта, что создаёт дополнительные риски.
Как понять, передаёт ли сайт данные за границу?
Откройте инструменты разработчика браузера (F12), вкладку «Сеть», и обновите страницу сайта. Запросы к доменам .com, .net, серверам Google, Facebook, Amazon и других зарубежных компаний — технический сигнал возможной трансграничной передачи. Для точной квалификации нужна проверка содержания запросов и оснований передачи.
Достаточно ли скопировать политику конфиденциальности с другого сайта?
Нет. Политика должна соответствовать тому, что сайт делает на самом деле: какие данные собирает, какие сервисы использует, кому передаёт информацию. Шаблонный текст, не отражающий реальную практику, не защитит от претензий регулятора.
Что проверяет Dobrolex на сайте турагентства?
Dobrolex фиксирует, какие данные собирает сайт, когда запускаются трекеры и аналитика, какие сторонние сервисы получают данные посетителей, есть ли согласия и соответствуют ли они требованиям закона. Результат — заключение с фактами, снимками экрана и правовой квалификацией каждого эпизода.
Сколько времени занимает проверка сайта?
Проверка выполняется автоматически. Заключение в PDF приходит сразу после завершения.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.