Как 152-ФЗ и 38-ФЗ работают вместе на сайте
152-ФЗ обязывает операторов получать согласие на обработку персональных данных, публиковать политику и хранить данные граждан России на территории страны. К персональным данным относятся не только имя и телефон из веб-формы, но и cookie-идентификаторы, IP-адреса и другие данные, которые позволяют идентифицировать посетителя.
38-ФЗ требует маркировать рекламу и указывать рекламодателя. Рекламные блоки часто используют cookie и трекеры для таргетинга и аналитики — значит, они собирают персональные данные. Если трекер запускается до согласия пользователя, это может создавать риск по обоим законам одновременно.
На практике владелец сайта должен проверить: получает ли сайт согласие до запуска cookie, куда уходят данные (в том числе к иностранным сервисам), опубликована ли политика обработки данных и маркированы ли рекламные блоки. Эти требования пересекаются, но проверяются по-разному.
Что происходит на сайте до согласия пользователя
Многие сайты показывают cookie-баннер, но аналитика и рекламные системы начинают работать раньше — в момент загрузки страницы, до любого клика. Это означает, что данные посетителя уже собираются и отправляются третьим лицам, а согласие остаётся формальностью.
Проверка фиксирует сетевые запросы браузера с чистой сессии — так, как сайт видит новый посетитель. Если трекеры стартуют до взаимодействия с баннером, это технический сигнал для дополнительной проверки: возможна обработка данных без законного основания.
Отчёт показывает, какие сервисы получили данные, в какой момент и какие cookie были установлены. Это позволяет понять, соответствует ли реальное поведение сайта тексту баннера и политики конфиденциальности.
Иностранные сервисы и трансграничная передача данных
Если сайт использует аналитику, рекламные сети или авторизацию через зарубежные сервисы, данные посетителей могут передаваться за пределы России. Закон требует, чтобы персональные данные граждан России хранились на территории страны, а трансграничная передача допускается только при соблюдении условий.
Проверка фиксирует запросы к иностранным доменам и указывает, какие данные могут уходить за рубеж. Это не означает автоматическое нарушение — передача может быть законной, если страна назначения обеспечивает адекватную защиту или получено согласие субъекта. Но отсутствие необходимых оснований и уведомлений создаёт риск.
Отчёт связывает зафиксированные запросы с нормами о трансграничной передаче и хранении данных, показывает диапазон санкций и рекомендует, что проверить дополнительно.
Политика конфиденциальности, согласия и документы сайта
Закон требует, чтобы оператор опубликовал политику обработки персональных данных с указанием целей, сроков хранения, прав субъектов и своих реквизитов. Пользовательское соглашение и оферта дополняют картину: они определяют, на каких условиях посетитель использует сайт и какие данные обрабатываются.
Проверка анализирует опубликованные документы: извлекает обязательные сведения, сравнивает их с фактическим поведением сайта (какие данные собираются, куда отправляются) и фиксирует расхождения. Если политика не содержит информации о cookie или не называет третьи лица, получающие данные, это создаёт риск.
Отчёт указывает, какие элементы отсутствуют или сформулированы нечётко, и даёт рекомендацию, как привести документы в соответствие с законом.
Как проверить сайт и получить заключение
Проверка автоматизирована и проходит в три этапа. Сначала сайт открывается с чистой сессии — без cookie, истории и авторизации, — чтобы зафиксировать, что видит новый посетитель. Затем фиксируются снимки экрана, сетевые запросы, установленные cookie и тексты документов.
На основе собранных данных формируется заключение в PDF. Оно содержит резюме эпизодов с признаками нарушений, их приоритет и диапазон санкций, дословные цитаты из документов, снимки экрана с отметками времени и правовую квалификацию со ссылками на нормы. Обстоятельства, требующие дополнительной проверки, выделяются отдельно.
Заключение не заменяет консультацию юриста и не является обращением в регулятор. Оно показывает, где на сайте возникают правовые риски и что исправить в первую очередь. Проверяются только публичные страницы: закрытые разделы, серверная часть и внутренние процессы остаются за пределами осмотра.
Что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, запускаются ли аналитика и рекламные блоки до того, как вы нажали «Принять» на cookie-баннере. Если скрипты работают сразу — это сигнал для проверки.
- 02Проверьте cookie-баннер. Убедитесь, что у посетителя есть равнозначная возможность отказаться от необязательных cookie, а не только кнопка «Принять всё». Настройка категорий должна быть доступна без дополнительных кликов.
- 03Найдите политику конфиденциальности. Она должна быть опубликована на сайте и содержать цели обработки данных, сроки хранения, права субъектов и ваши реквизиты как оператора. Если политики нет или она не обновлялась несколько лет — это риск.
- 04Посмотрите, какие сервисы подключены. Откройте инструменты разработчика в браузере (F12), вкладку Network, и обновите страницу. Запросы к доменам google-analytics.com, facebook.com, yandex.ru и другим показывают, куда могут уходить данные посетителей.
- 05Проверьте веб-формы. Рядом с формой должна быть ссылка на политику конфиденциальности и чекбокс согласия на обработку данных. Если согласие встроено в оферту или отсутствует — это создаёт риск.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем отличаются требования 152-ФЗ и 38-ФЗ для сайта?
152-ФЗ регулирует сбор и обработку персональных данных: требует согласие, политику и хранение данных граждан России на территории страны. 38-ФЗ обязывает маркировать рекламу и указывать рекламодателя. На сайте они пересекаются: реклама часто использует cookie и трекеры, которые собирают данные пользователей.
Нужно ли уведомлять Роскомнадзор, если на сайте есть формы и реклама?
Обработка персональных данных в ряде случаев требует уведомления Роскомнадзора. Для рекламы отдельной регистрации не требуется, но рекламодатель должен быть указан в маркировке. Конкретные условия и исключения зависят от вида и объёма обработки — лучше проконсультироваться со специалистом.
Как понять, что cookie запускаются до согласия пользователя?
Откройте сайт в режиме инкогнито и не нажимайте на баннер. Затем откройте инструменты разработчика (F12), вкладку Network или Application. Если видите запросы к аналитике или установленные cookie — они запустились до согласия.
Что будет, если данные уходят к иностранным сервисам без согласия?
Трансграничная передача данных граждан России допускается при соблюдении условий: страна назначения должна обеспечивать адекватную защиту, либо требуется согласие субъекта. Хранение данных граждан России должно осуществляться на территории страны. Нарушение этих требований создаёт риск санкций.
Можно ли проверить сайт без юриста?
Да. Проверка автоматизирована: сайт открывается с чистой сессии, фиксируются снимки экрана, сетевые запросы и документы. Заключение в PDF показывает эпизоды с признаками нарушений, их приоритет и диапазон санкций. Вы получаете картину рисков, но заключение не заменяет консультацию специалиста.
Что показывает отчёт, если нарушений не найдено?
Отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений не выявлено. Это не гарантия полного соответствия закону — закрытые разделы, серверная часть и внутренние процессы не проверяются.
Как исправить сайт после проверки?
Отчёт даёт очерёдность исправлений: сначала эпизоды с высокой серьёзностью, затем остальные. Для каждого эпизода указано, что исправить: настроить баннер, обновить политику, изменить момент запуска трекеров или подать уведомление. Тариф с планом действий содержит готовые решения для кода, настроек и документов.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.