Какие данные собирает агрегатор и что из этого попадает под 152-ФЗ
Агрегатор услуг, товаров или контента работает с большим объёмом данных пользователей. Поисковые запросы, выбранные фильтры, история просмотров, сравнение позиций — всё это может содержать информацию, которая идентифицирует конкретного человека.
Закон о персональных данных применяется, если сайт собирает имя, телефон, email, IP-адрес или cookie, которые позволяют связать действия с конкретным посетителем. Регистрация, подписка, отзывы, запросы в поддержку — каждый такой сценарий требует законного основания для обработки.
Если данные собираются, но политика обработки отсутствует, устарела или не описывает фактические сценарии — это создаёт риск. То же касается cookie-баннера: если трекеры запускаются до согласия пользователя, это может квалифицироваться как нарушение.
Сторонние сервисы на сайте агрегатора: когда данные уходят за рубеж
Агрегаторы часто используют внешние сервисы: аналитику, карты, виджеты бронирования, чаты, платёжные системы. Многие из них — иностранные компании, и данные посетителей отправляются на их серверы.
Если данные ушли иностранному сервису до того, как посетитель дал согласие, это создаёт правовой риск. Закон уточняет критерии стран для трансграничной передачи персональных данных.
Проблема в том, что владелец сайта не всегда знает, что именно делают подключённые скрипты. Аналитика может стартовать автоматически, виджет карты — отправить координаты, а чат — зафиксировать IP и время визита. Чтобы оценить риск, нужно проверить, какие запросы уходят с сайта в момент первого открытия страницы — до любого действия пользователя.
Cookie-баннер и трекеры: что проверяет регулятор
Cookie-баннер на сайте агрегатора должен давать посетителю возможность отказаться от необязательных cookie и настроить категории. Если баннер показывается, но трекеры уже запустились — согласие формальное, и это может быть расценено как нарушение.
Dobrolex проверяет сайт с чистой сессии: открывает страницу, фиксирует, какие запросы ушли до клика на баннер, и сравнивает с текстом политики и согласия. Если аналитика, реклама или сторонние сервисы получили данные до согласия — это эпизод с признаками нарушения.
Равнозначный отказ означает, что кнопка «Отклонить» должна быть такой же заметной, как «Принять». Если отказаться можно только через мелкую ссылку в настройках или закрыв баннер крестиком — это тоже риск.
Политика обработки и согласия: что должно быть на сайте
Политика обработки персональных данных — публичный документ, который описывает, кто оператор, какие данные собираются, зачем, как долго хранятся и кому передаются. Если политики нет или она не покрывает все сценарии работы агрегатора — это создаёт правовой риск.
Согласие на обработку должно быть конкретным: описывать цель, срок, категории данных и получателей. Общие формулировки вроде «для улучшения сервиса» или «передача партнёрам» создают риск, потому что пользователь не понимает, на что он соглашается.
Если агрегатор передаёт данные партнёрам (например, компаниям, чьи услуги или товары размещены на сайте), это должно быть явно указано в политике и согласии. Скрытая передача данных третьим лицам может квалифицироваться как обработка без законных оснований.
Как проверить сайт агрегатора на соответствие 152-ФЗ
Чтобы понять, какие риски создаёт сайт, нужно посмотреть на него глазами нового посетителя: открыть с чистой сессии, зафиксировать, какие данные собираются и куда уходят, проверить документы и сравнить их с фактическим поведением сайта.
Dobrolex проверяет публичные страницы агрегатора и фиксирует установленные обстоятельства: сетевые запросы, запуск трекеров, содержание cookie-баннера, веб-формы, политики и согласия. Каждый факт связывается с нормой закона и получает правовую квалификацию.
Результат — заключение в PDF с резюме, снимками экрана, цитатами из документов и рекомендациями, что исправить в первую очередь. Если эпизодов с признаками нарушений не найдено — отчёт это подтверждает. Если найдены риски — вы получаете план действий до проверки регулятора или жалобы.
Что проверить на сайте агрегатора прямо сейчас
- 01Политика обработки персональных данных. Откройте политику и проверьте: указан ли оператор с ИНН и ОГРН, описаны ли все сценарии сбора данных (регистрация, отзывы, поиск, подписка), названы ли сторонние сервисы, которым передаются данные.
- 02Cookie-баннер и запуск трекеров. Откройте сайт в режиме инкогнито, не кликайте на баннер и посмотрите в инструментах браузера (вкладка Network), какие запросы ушли. Если аналитика или сторонние домены уже загрузились — трекеры стартовали до согласия.
- 03Равнозначный отказ. Проверьте, есть ли на баннере кнопка «Отклонить» или «Отказаться» того же размера и цвета, что и «Принять». Если отказаться можно только через настройки или закрыв баннер — это риск.
- 04Согласия в веб-формах. Посмотрите формы регистрации, подписки, обратной связи. Есть ли чекбокс согласия на обработку, описаны ли цель и получатели данных, стоит ли галочка по умолчанию (это нарушение).
- 05Сторонние сервисы и домены. Откройте инструменты браузера (F12 → Network) и обновите страницу. Посмотрите, какие домены получают запросы: если это Google, иностранные соцсети, Яндекс, карты, чаты — проверьте, описаны ли они в политике и есть ли согласие до запуска.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Агрегатор собирает поисковые запросы — это персональные данные?
Если запрос связан с IP-адресом, cookie или аккаунтом пользователя и позволяет его идентифицировать — да, это персональные данные. Нужно законное основание для обработки.
Как проверить, уходят ли данные за рубеж?
Откройте сайт в режиме инкогнито, зайдите в инструменты браузера (F12 → Network) и посмотрите, на какие домены идут запросы. Иностранные сервисы (Google Analytics, зарубежные рекламные пиксели, карты) — признак трансграничной передачи.
Что будет, если политика обработки данных устарела?
Если политика не описывает фактические сценарии сбора данных или отсутствует — это создаёт правовой риск и может квалифицироваться как нарушение требований закона о персональных данных.
Cookie-баннер есть, но трекеры запустились до согласия — это нарушение?
Да, если трекеры получили данные посетителя до того, как он дал согласие — это создаёт правовой риск. Проверка фиксирует это с чистой сессии.
Можно ли передавать данные партнёрам, чьи услуги размещены на агрегаторе?
Можно, но это должно быть явно указано в политике обработки и согласии пользователя. Скрытая передача данных третьим лицам может быть расценена как обработка без законных оснований.
Что покажет проверка Dobrolex?
Отчёт покажет, какие данные собирает сайт, куда они уходят, какие трекеры запускаются до согласия, соответствуют ли документы закону. Каждый эпизод получает правовую квалификацию и рекомендацию, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.