Почему наличие баннера и политики не гарантирует соблюдение закона
Большинство сайтов показывают баннер cookie и публикуют политику обработки персональных данных. Это выполнение требований закона — но только на уровне текста. Проблема в том, что регулятор оценивает не наличие документов, а реальное поведение сайта: какие данные собираются, куда отправляются и в какой момент.
Типичная ситуация: на сайте подключены Google Analytics, Яндекс Метрика и виджеты социальных сетей. Баннер предлагает принять cookie, но скрипты аналитики запускаются сразу при загрузке страницы — до того, как посетитель успел нажать кнопку. Технически это означает, что данные начали обрабатываться без согласия.
Другой пример: политика обработки данных скопирована с шаблона и описывает общие принципы, но не упоминает конкретные сервисы, которые реально получают данные посетителей. Если при проверке обнаружится передача данных иностранным сервисам без уведомления Роскомнадзора, расхождение между документом и практикой создаёт правовой риск.
Как проверить, что сайт делает на самом деле
Автоматизированная проверка воспроизводит сценарий первого посещения: сайт открывается с чистой сессии — без авторизации, без истории посещений, как у нового пользователя. Фиксируются снимки экрана, сохраняется лог сетевых запросов, извлекаются тексты документов.
Ключевые точки проверки: момент загрузки страницы и старта сторонних скриптов, содержание и поведение cookie-баннера (есть ли возможность отказаться, можно ли настроить категории), сетевые запросы к внешним доменам (особенно иностранным), содержание форм и текст согласий, наличие и полнота политики обработки данных.
Результат — набор фактов с временными метками, на основе которых строится правовая квалификация. Каждый эпизод связывается с нормой закона и получает приоритет исправления.
Какие эпизоды чаще всего попадают в отчёт о нарушениях
Трекеры запускаются до согласия. Скрипты аналитики (метрики, счётчики, пиксели ретаргетинга) начинают работу в момент загрузки страницы, до взаимодействия пользователя с баннером. Это может квалифицироваться как обработка без законных оснований, если согласие является обязательным.
Данные уходят иностранным сервисам. Браузер отправляет запросы к доменам за пределами России: серверам аналитики, CDN, виджетам соцсетей или сторонним API. Если такая передача происходит без уведомления Роскомнадзора и без согласия пользователя, возникает риск по правилам трансграничной передачи персональных данных.
Баннер cookie не даёт равнозначного отказа. Кнопка «Принять» заметна, а возможность отказаться скрыта в настройках или вообще отсутствует. Отчёт фиксирует такую асимметрию через снимок экрана и описание интерфейса.
- Политика не содержит полных сведений об операторе: недостаточно контактов или идентифицирующих данных организации
- Формы запрашивают данные без явного согласия: нет чекбокса или ссылки на политику рядом с кнопкой отправки
- Авторизация через иностранные сервисы (например, Google или иностранные соцсети) без упоминания в политике и без уведомления регулятора
Как устроен отчёт о проверке сайта и что с ним делать
Отчёт начинается с резюме: перечень эпизодов с признаками нарушений, их серьёзность и ориентировочный диапазон санкций. Это позволяет сразу увидеть общую картину и понять, насколько срочно требуется исправление.
Основная часть — установленные обстоятельства. Каждый эпизод описан с привязкой к времени фиксации, снимку экрана и цитате из документа или логу сетевого запроса. Затем идёт правовая квалификация: на какую норму закона это похоже и что рекомендуется исправить. Если обстоятельство требует дополнительной проверки (например, сетевой запрос к внешнему сервису), это помечено отдельно — такие моменты стоит обсудить с юристом.
В конце отчёта — оговорки и пределы проверки. Важно понимать: проверяются только публичные страницы, без входа в личный кабинет и без отправки форм. Если эпизодов не найдено, это не означает полного соответствия закону — закрытые разделы, серверная часть и внутренние процессы остаются за рамками проверки.
Как исправить найденные риски и в какой последовательности
План действий выстраивает очерёдность исправлений по серьёзности риска. Отчёт содержит рекомендации для кода, настроек сервисов и документов — каждое решение привязано к конкретному эпизоду.
Для кода: изменить порядок загрузки и подключения трекеров, чтобы они запускались только после явного согласия пользователя. Для баннера: добавить заметную кнопку отказа и возможность настройки категорий cookie.
Для документов: дополнить политику сведениями о реальных получателях данных (перечислить используемые сервисы), указать цели обработки и основания, добавить контакты оператора и порядок отзыва согласия. Если данные передаются за рубеж — проверить, подано ли уведомление Роскомнадзору, и при необходимости подать его до начала такой передачи.
Что проверить на своём сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли баннер cookie сразу и есть ли в нём заметная кнопка отказа. Если отказаться можно только через скрытое меню настроек — это асимметрия, которая попадёт в отчёт.
- 02Проверьте политику обработки данных. Найдите в тексте полные сведения о вашей организации: адрес, контакты, идентифицирующие данные. Убедитесь, что документ опубликован и доступен посетителям.
- 03Посмотрите на формы обратной связи. Рядом с кнопкой отправки должен быть чекбокс согласия на обработку данных или ссылка на политику. Если формы запрашивают email и телефон без явного согласия — риск есть.
- 04Изучите список подключённых сервисов. Откройте консоль браузера (F12) на вкладке Network и перезагрузите страницу. Если видны запросы к доменам Google, Cloudflare, зарубежных рекламных пикселей или других иностранных сервисов — проверьте, упомянуты ли они в политике и подано ли уведомление Роскомнадзору.
- 05Убедитесь, что трекеры не стартуют мгновенно. В той же консоли посмотрите, какие скрипты загружаются в первые секунды. Если видите analytics.js, mc.yandex.ru или скрипты зарубежных рекламных пикселей до нажатия на баннер — это признак, что согласие работает неправильно.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие сервисы предлагают аудит сайта онлайн с отчётом о нарушениях?
Полноценная проверка с фиксацией сетевых запросов, снимками экрана и правовой квалификацией требует специализированного инструмента. Обычные сканеры проверяют только наличие политики и баннера, но не показывают, куда реально уходят данные и в какой момент запускаются трекеры.
Что будет, если отчёт найдёт нарушения — сразу придёт штраф?
Нет. Отчёт не является обращением в Роскомнадзор и не запускает проверку автоматически. Это инструмент для самодиагностики: вы видите риски и можете исправить их до того, как их заметит регулятор.
Сайт проверяется вручную или автоматически?
Техническая часть — автоматически: сайт открывается, регистрируются запросы и снимки экрана. Правовая квалификация — сочетание алгоритмов и экспертизы: каждый эпизод сопоставляется с нормами закона и получает рекомендацию.
Если нарушений не найдено, это значит, что сайт точно соответствует закону?
Нет. Проверяются только публичные страницы без входа в аккаунт. Если эпизодов не выявлено — значит, на осмотренных страницах признаков нарушений нет. Закрытые разделы, серверная обработка данных и внутренние процессы остаются за рамками проверки.
Отчёт покажет, какие именно сервисы получают данные посетителей?
Да. В разделе с установленными обстоятельствами перечисляются домены, к которым отправлены запросы, с указанием времени и технических параметров. Это помогает понять, какие сторонние сервисы реально подключены к сайту.
Можно ли использовать отчёт как доказательство для Роскомнадзора?
Отчёт — не официальное экспертное заключение и не заменяет консультацию юриста. Его цель — показать владельцу сайта, где возникают риски, чтобы он мог исправить их до проверки регулятора.
Сколько времени занимает проверка сайта?
Время зависит от объёма проверяемых страниц и количества найденных эпизодов. Техническая фиксация и формирование отчёта выполняются автоматически.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.