Какие данные на сайте интернет-магазина попадают под 152-ФЗ
Персональные данные — это любая информация, которая позволяет идентифицировать человека: имя, телефон, email, адрес доставки, IP-адрес, cookie-файлы браузера. Интернет-магазин собирает их в формах заказа, подписки, обратной связи, через аналитику и виджеты.
Закон обязывает оператора — владельца магазина — получить согласие посетителя до начала обработки, опубликовать политику конфиденциальности, хранить данные россиян в России и в установленных законом случаях уведомить Роскомнадзор о намерении обрабатывать персональные данные.
На практике риски часто скрыты: трекеры аналитики стартуют автоматически до согласия, если оператор не уведомил регулятор о передаче данных иностранным сервисам, это создаёт риск, политика не описывает реальное поведение сайта. Владелец узнаёт о проблеме, когда получает предписание или жалобу.
Как проверить, что трекеры и аналитика запускаются после согласия
Системы аналитики, рекламные пиксели и виджеты обычно устанавливаются через код на каждой странице. Если скрипт не защищён условием проверки согласия, он стартует сразу при загрузке — до того, как посетитель нажмёт кнопку на cookie-баннере.
Чтобы проверить это самостоятельно, откройте сайт в режиме инкогнито (новая сессия без cookie), откройте инструменты разработчика браузера (F12), перейдите на вкладку «Сеть» и обновите страницу. Если до клика на баннере видны запросы к доменам аналитики или рекламы — трекеры запустились раньше согласия.
Это создаёт риск квалификации по нормам об обработке без согласия. Решение — переместить код трекеров в условный блок, который исполняется только после подтверждения пользователя, и убедиться, что cookie-баннер передаёт выбор в систему управления тегами.
Передача данных на иностранные сервисы: в чём риск и как его выявить
Многие интернет-магазины используют зарубежные сервисы: аналитику, платёжные виджеты, чаты, авторизацию через социальные сети. Если такой сервис получает персональные данные посетителей из России, это трансграничная передача. Закон требует, чтобы страна-получатель обеспечивала адекватную защиту данных, и обязывает оператора уведомить Роскомнадзор до начала передачи.
Проверить факт передачи можно через инструменты браузера: на вкладке «Сеть» отфильтруйте запросы и посмотрите домены. Если среди них есть иностранные (например, платёжные шлюзы, CDN, аналитика), а в политике конфиденциальности нет упоминания трансграничной передачи — это расхождение между документом и реальностью.
Сетевой запрос сам по себе не доказывает нарушение — нужно установить, какие данные передаются и зарегистрирован ли получатель за рубежом. Но он сигнализирует о необходимости проверить договор с сервисом, уточнить юрисдикцию и при необходимости подать уведомление регулятору.
Как проверить cookie-баннер: равнозначный отказ и настройка категорий
Cookie-баннер должен давать посетителю равнозначный выбор: согласиться или отказаться. Если кнопка отказа спрятана, оформлена менее заметно или требует дополнительных кликов, это создаёт риск при квалификации согласия.
Проверьте баннер: есть ли кнопка «Отклонить» или «Настроить» рядом с «Принять», одинаковы ли они по размеру и контрасту, можно ли отключить отдельные категории cookie (аналитика, реклама, функциональные). Если баннер предлагает только «Согласен» и закрывается крестиком, который воспринимается как согласие, это риск.
После клика на «Отклонить» проверьте, что трекеры действительно не запускаются: обновите вкладку «Сеть» в инструментах разработчика. Если запросы к аналитике продолжаются — баннер не управляет трекерами, а только показывает уведомление.
Что проверить в политике конфиденциальности и формах сбора данных
Политика конфиденциальности должна описывать, какие данные собираются, для каких целей, кому передаются, как долго хранятся и где расположены серверы. Если политика скопирована с шаблона и не учитывает реальные формы, виджеты и сервисы на сайте, она не выполняет функцию информирования.
Проверьте: упомянуты ли в политике все формы (заказа, подписки, обратной связи), трекеры аналитики, платёжные виджеты, сторонние сервисы. Совпадают ли цели обработки с тем, как данные используются на практике. Указаны ли контакты оператора, реквизиты (ИНН, ОГРН), срок хранения данных и права субъекта.
В формах сбора данных проверьте наличие чекбокса согласия на обработку персональных данных (не предотмеченного), ссылки на политику конфиденциальности и текст согласия, который описывает цель и объём обработки. Если форма отправляет данные без явного согласия — это риск квалификации по нормам о согласии.
Чек-лист проверки интернет-магазина по 152-ФЗ
- 01Трекеры до согласия. Откройте сайт в режиме инкогнито, включите инструменты разработчика (F12 → Сеть), обновите страницу и проверьте, есть ли запросы к аналитике и рекламе до клика на cookie-баннере.
- 02Cookie-баннер. Убедитесь, что баннер предлагает равнозначные кнопки «Принять» и «Отклонить», есть настройка категорий cookie, а после отказа трекеры не запускаются.
- 03Иностранные сервисы. На вкладке «Сеть» в инструментах браузера проверьте домены запросов: если среди них иностранные, сверьте список с политикой конфиденциальности — упомянута ли трансграничная передача.
- 04Политика конфиденциальности. Проверьте, что политика описывает все формы, виджеты и сторонние сервисы на сайте, содержит контакты оператора, ИНН, ОГРН, цели и сроки обработки данных.
- 05Согласия в формах. Откройте формы заказа, подписки, обратной связи: есть ли чекбокс согласия на обработку персональных данных (не предотмеченный), ссылка на политику, описание цели обработки.
- 06Уведомление Роскомнадзора. Если применимо, проверьте статус уведомления регулятора — это можно уточнить у юриста или через реестр операторов на сайте Роскомнадзора.
- 07Реквизиты оператора. Убедитесь, что на сайте опубликованы полные реквизиты оператора персональных данных: наименование, ИНН, ОГРН, юридический адрес, контакты для обращений субъектов данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные интернет-магазина попадают под 152-ФЗ?
Любые данные, позволяющие идентифицировать человека: имя, телефон, email, адрес доставки, IP-адрес, cookie браузера. Их собирают формы заказа, подписки, аналитика и виджеты.
Нужно ли согласие для запуска аналитики и трекеров?
Да, если трекеры обрабатывают персональные данные (IP, cookie с идентификатором). Код должен стартовать только после подтверждения посетителя на cookie-баннере.
Как проверить, что трекеры запускаются после согласия?
Откройте сайт в режиме инкогнито, включите инструменты разработчика (F12 → Сеть), обновите страницу. Если до клика на баннере видны запросы к аналитике — трекеры стартовали раньше.
Законно ли передавать данные на иностранные сервисы?
Да, если страна-получатель обеспечивает адекватную защиту данных и оператор уведомил Роскомнадзор до начала трансграничной передачи. Без уведомления это создаёт риск.
Что должен содержать cookie-баннер?
Равнозначные кнопки «Принять» и «Отклонить», настройку категорий cookie (аналитика, реклама, функциональные), реальное управление трекерами — после отказа они не должны запускаться.
Можно ли использовать шаблон политики конфиденциальности?
Шаблон можно взять за основу, но он должен быть адаптирован под сайт: перечислить реальные формы, сервисы, цели обработки, контакты оператора, реквизиты и сроки хранения данных.
Как Dobrolex проверяет сайт интернет-магазина?
Сайт открывается с чистой сессии — глазами нового посетителя, до любого согласия. Фиксируются трекеры, cookie-баннер, формы, документы, запросы к иностранным сервисам. Результат — заключение в PDF с фактами, рисками и приоритетом исправлений.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.