Какие данные на сайте попадают под 152-ФЗ
Персональные данные — это любая информация, которая относится к конкретному человеку: имя, телефон, email, IP-адрес, cookie-файлы с идентификатором пользователя. Если сайт собирает такие данные через веб-формы, аналитику или авторизацию, он становится оператором персональных данных и обязан соблюдать требования закона.
На практике владелец сайта может не знать, что данные собираются: например, счётчик аналитики запускается автоматически при загрузке страницы и отправляет IP-адрес и идентификатор сессии на сервер за рубежом. Это уже обработка персональных данных, и если согласия посетителя не было, возникает риск.
Проверка начинается с фиксации того, что сайт делает на самом деле: какие формы принимают данные, какие cookie устанавливаются, какие запросы уходят к внешним сервисам. Все эти факты фиксируются со снимками экрана и временем, чтобы связать их с нормами закона.
Трекеры и аналитика: когда они запускаются
Один из частых рисков — трекеры и счётчики запускаются раньше, чем посетитель дал согласие. На сайте может быть cookie-баннер с кнопкой «Принять», но скрипты аналитики уже работают в момент загрузки страницы. Это создаёт риск по закону, потому что данные обрабатываются без законного основания.
Проверка фиксирует реальный запуск трекеров с чистой сессии — глазами нового посетителя, до любого клика и согласия. Если трекер отправил запрос до того, как посетитель нажал «Принять», это указывается в отчёте как эпизод с признаками нарушения.
Cookie-баннер должен давать посетителю возможность отказаться и настроить категории: технические, аналитические, маркетинговые. Если такой возможности нет или кнопка «Отказаться» спрятана, это тоже создаёт риск. Проверка фиксирует интерфейс баннера и сравнивает его с требованиями закона.
Данные уходят за рубеж: как это увидеть
Сайт может отправлять данные посетителей на иностранные сервисы — Google Analytics, зарубежные рекламные пиксели, зарубежные CDN. Это трансграничная передача персональных данных, и по закону оператор обязан уведомить Роскомнадзор до начала передачи.
На практике владелец сайта часто не знает, куда именно уходят данные: скрипт добавлен разработчиком или подключен через плагин, и никто не проверял, что происходит при его загрузке. Проверка фиксирует сетевые запросы браузера и показывает, какие домены и IP-адреса получают данные.
Сетевой обмен — это технический сигнал для дополнительной проверки, а не готовое доказательство нарушения. Но если данные уходят на сервер за рубежом без упоминания в политике конфиденциальности и без согласия посетителя, это может квалифицироваться как нарушение требований закона.
Политика конфиденциальности: соответствует ли она реальности
Политика конфиденциальности — это публичный документ, в котором оператор объясняет, какие данные собирает, для чего и кому передаёт. Многие владельцы сайтов копируют политику из шаблона и не проверяют, соответствует ли текст тому, что сайт делает на самом деле.
Например, в политике написано, что данные не передаются третьим лицам, но на сайте подключен Google Analytics, который отправляет данные на серверы Google. Или в политике указан один оператор персональных данных, а на сайте работают формы от другой организации. Такие расхождения создают риск.
Проверка сравнивает текст политики с установленными обстоятельствами: что сайт собирает через формы, какие трекеры работают, какие сервисы получают данные. Если политика не описывает реальную обработку данных, это фиксируется в отчёте с рекомендацией исправить.
Как проверить безопасность ПДн на сайте
Проверка начинается с осмотра публичных страниц сайта: главная, страницы с формами, политика конфиденциальности, cookie-баннер. Сайт открывается с чистой сессии, без входа в аккаунт и без отправки данных, чтобы зафиксировать, что видит и с чем сталкивается новый посетитель.
Все факты фиксируются со снимками экрана и временем: какие формы принимают данные, какие cookie устанавливаются, какие запросы уходят к внешним сервисам, что написано в политике и согласиях. Каждый эпизод связывается с нормой закона и получает оценку серьёзности.
Результат проверки — заключение в PDF с резюме, установленными обстоятельствами, правовой квалификацией и рекомендациями, что исправить. Если эпизодов с признаками нарушений не найдено, это указывается в отчёте: на осмотренных публичных страницах риски не выявлены.
- Сайт открывается с чистой сессии — до любого согласия и клика
- Фиксируются трекеры, формы, cookie-файлы и запросы к внешним сервисам
- Каждый эпизод связывается с нормой закона и получает оценку серьёзности
- В отчёте — снимки экрана, дословные цитаты и правовая квалификация
Чек-лист: что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Проверьте, появляется ли cookie-баннер и можно ли отказаться от аналитики без потери функционала сайта.
- 02Посмотрите, какие трекеры работают до согласия. Откройте инструменты разработчика (F12), вкладка «Сеть», и обновите страницу. Если видите запросы к Google, Яндекс или другим сервисам до клика на «Принять», это риск.
- 03Прочитайте политику конфиденциальности. Проверьте, указаны ли в ней операторы данных, цели обработки и внешние сервисы, которые используются на сайте.
- 04Проверьте формы обратной связи. Есть ли рядом с формой согласие на обработку персональных данных и ссылка на политику конфиденциальности.
- 05Уточните, уведомляли ли Роскомнадзор. Если сайт собирает данные через формы или передаёт их за рубеж, уведомление может быть обязательным — проверьте с юристом.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что такое безопасность ПДн на сайте?
Это соответствие сайта требованиям 152-ФЗ: данные посетителей собираются с согласия, не уходят за рубеж без уведомления Роскомнадзора, трекеры запускаются после согласия, политика конфиденциальности описывает реальную обработку данных.
Какие данные на сайте считаются персональными?
Любая информация, которая относится к конкретному человеку: имя, телефон, email, IP-адрес, cookie-файлы с идентификатором пользователя. Если сайт собирает такие данные, он обязан соблюдать 152-ФЗ.
Нужно ли уведомлять Роскомнадзор, если на сайте есть формы обратной связи?
Зависит от характера обработки данных. Если сайт собирает данные через формы и обрабатывает их на территории России без передачи третьим лицам, уведомление может не требоваться. Если данные передаются за рубеж, уведомление обязательно — проверьте с юристом.
Как понять, что трекеры запускаются до согласия посетителя?
Откройте сайт в режиме инкогнито, нажмите F12 (инструменты разработчика), вкладка «Сеть», обновите страницу. Если видите запросы к Google, Яндекс или другим сервисам до клика на «Принять», трекеры запускаются до согласия.
Что будет, если политика конфиденциальности не соответствует тому, что сайт делает?
Это может квалифицироваться как нарушение требований закона: посетитель не получил достоверную информацию об обработке данных, что создаёт риск штрафа по КоАП.
Может ли проверка Dobrolex заменить консультацию юриста?
Нет. Проверка фиксирует факты и показывает, где возникают риски по 152-ФЗ, но не заменяет консультацию юриста и не является обращением в Роскомнадзор. Заключение помогает увидеть проблему и подготовить исправления.
Что делать, если в отчёте не найдено нарушений?
Это значит, что на осмотренных публичных страницах признаков нарушений нет. Закрытые разделы, личный кабинет и серверная часть не проверяются — это указано в пределах проверки.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.