Аналитика и трансграничная передача: как проверить риски по 152-ФЗ

Что считается трансграничной передачей в аналитике

Трансграничная передача персональных данных — это передача информации о человеке на серверы, расположенные за пределами России, или иностранной компании. Под персональными данными 152-ФЗ понимает любую информацию, которая прямо или косвенно относится к определённому человеку: IP-адрес, cookie-файлы, идентификаторы устройства и браузера.

Когда вы устанавливаете на сайт Google Analytics, зарубежный рекламный пиксель, Amplitude или другой зарубежный сервис, браузер посетителя отправляет запросы на серверы этих компаний. Вместе с запросом передаются технические данные: IP-адрес, параметры сессии, идентификаторы. Если сервер находится за рубежом — это трансграничная передача.

Проблема в том, что сервисы аналитики часто стартуют сразу при загрузке страницы — до того, как посетитель увидел cookie-баннер и дал согласие. В этот момент данные уже ушли, а у вас нет ни согласия субъекта, ни уведомления в Роскомнадзор.

Когда трансграничная передача создаёт риск штрафа

152-ФЗ устанавливает условия трансграничной передачи персональных данных; конкретные основания и требования к уведомлению регулятора лучше уточнить у юриста. Оператор, как правило, обязан подать уведомление в Роскомнадзор до начала передачи.

Риск возникает, когда передача происходит без выполнения этих требований: трекер стартует до согласия, уведомление не подано, политика конфиденциальности не упоминает трансграничную передачу или не описывает её условия. Регулятор может квалифицировать это как обработку без законных оснований или без согласия, когда оно обязательно.

Ещё один сценарий — когда политика конфиденциальности утверждает, что данные обрабатываются только в России, а на практике сайт отправляет запросы на серверы Google, зарубежных рекламных сетей или других иностранных компаний. Это создаёт риск квалификации как обработка, несовместимая с заявленными целями.

Как проверить, куда уходят данные с вашего сайта

Документация сервиса аналитики описывает общую архитектуру, но не всегда отражает, что происходит на конкретной странице вашего сайта. Скрипты могут обращаться к серверам в разных странах, подгружать сторонние библиотеки, передавать данные партнёрам сервиса — и всё это происходит в момент загрузки страницы.

Чтобы увидеть реальную картину, нужно открыть сайт с чистой сессии — как это делает новый посетитель — и зафиксировать все сетевые запросы браузера до любого взаимодействия с баннером. Проверка Dobrolex делает именно это: регистрирует домены получателей, время старта трекеров, переданные параметры и связывает каждый факт с нормой закона.

В отчёте вы увидите, какие сервисы получили данные, стартовали ли они до согласия, соответствует ли политика конфиденциальности фактическому поведению сайта. Сетевые запросы к иностранным доменам фиксируются как обстоятельства, требующие дополнительной проверки — это сигнал для юридической оценки и решения о дальнейших действиях.

Российская аналитика: всегда ли она безопасна

Переход на Яндекс.Метрику или другие российские сервисы снимает риск трансграничной передачи, но не решает все вопросы автоматически. Если счётчик стартует до получения согласия, это создаёт риск по другим нормам 152-ФЗ — обработка без законных оснований. Если политика конфиденциальности не описывает, какие данные собирает счётчик и на каком основании — это ещё один эпизод.

Проверка фиксирует момент старта трекера относительно cookie-баннера, читает политику конфиденциальности и сравнивает её с фактическим поведением сайта. Даже при использовании российского сервиса в отчёте могут быть эпизоды — если механизм согласия не работает или документы не соответствуют практике.

Что делать, если аналитика создаёт риск

Если проверка выявила эпизоды, связанные с трансграничной передачей или ранним стартом трекеров, у вас есть несколько путей исправления. Первый — настроить cookie-баннер так, чтобы скрипты аналитики загружались только после получения согласия. Второй — актуализировать политику конфиденциальности: описать, какие данные передаются, кому и на каком основании.

Третий — подать уведомление в Роскомнадзор о намерении осуществлять трансграничную передачу, если вы продолжаете использовать зарубежный сервис. Четвёртый — перейти на российскую аналитику и убедиться, что новый счётчик работает в соответствии с требованиями закона.

В отчёте Dobrolex каждый эпизод получает правовую квалификацию и рекомендацию, что исправить. Тариф «Аудит и план действий» даёт решение для кода, настроек и документов к каждому риску. Тариф «Исправление с юристом» включает подготовку документов под ваш сайт, сопровождение правок и итоговую проверку.