Какие документы требует 152-ФЗ и от чего это зависит
Состав обязательных документов определяется тем, какие данные собирает сайт и как их обрабатывает. Политика обработки персональных данных обязательна для любого оператора — она должна быть опубликована и доступна посетителям. В политике описываются цели обработки, категории данных, сроки хранения, права субъектов и контакты оператора.
Согласие на обработку персональных данных требуется, когда обработка выходит за рамки исполнения договора или других законных оснований. Например, если посетитель заполняет форму обратной связи, не заключая договор, — нужно получить его согласие. Согласие должно быть явным, осознанным и конкретным: посетитель понимает, какие данные передаёт, кому и для чего.
Уведомление в Роскомнадзор подаётся до начала обработки персональных данных. Закон предусматривает исключения, но большинство операторов обязаны уведомить регулятор о намерении обрабатывать данные. Уведомление содержит сведения об операторе, целях обработки, категориях данных и мерах защиты.
Почему типовой шаблон политики не решает проблему
Политика должна описывать реальные действия вашего сайта. Типовой шаблон из интернета содержит общие формулировки, но не учитывает конкретные сервисы, которые вы используете, формы, которые собирают данные, и внешние системы, которым эти данные передаются. Если в политике написано одно, а сайт делает другое, это создаёт риск претензий.
Проблема усугубляется, когда сайт использует аналитические системы, чат-виджеты, авторизацию через социальные сети или другие внешние сервисы. Каждый такой сервис получает данные посетителя — IP-адрес, идентификаторы устройства, поведенческие данные. Если эти передачи не описаны в политике, документ перестаёт соответствовать практике.
Ещё один риск — cookie-баннер обещает настройку и отказ, а трекеры уже запустились и отправили данные до того, как посетитель дал согласие. Такое расхождение между текстом баннера и реальным поведением сайта может квалифицироваться как нарушение требований к согласию.
Как проверить, что документы соответствуют работе сайта
Проверка начинается с фиксации того, что сайт делает на самом деле. Сайт открывается с чистой сессии — глазами нового посетителя, который ещё не дал никаких согласий. Фиксируются все сетевые запросы, запуск трекеров и аналитических систем, сбор данных через формы и cookie-баннеры.
Каждый факт сопоставляется с текстами политики, согласий и баннеров. Если политика не упоминает сервис, который получает данные, — это расхождение. Если баннер обещает настройку категорий cookie, а сайт уже отправил данные в аналитику, — это тоже расхождение. Проверка показывает эти несоответствия и связывает их с конкретными нормами закона.
Результат проверки — заключение с фактами, снимками экрана и правовой квалификацией каждого эпизода. Вы видите, какие действия сайта создают риск, какие документы нужно исправить и в какой очерёдности это делать. Если эпизодов не найдено — это подтверждает, что на осмотренных публичных страницах признаков нарушений нет.
Согласие на обработку персональных данных: когда и как оформлять
Согласие требуется, когда у оператора нет другого законного основания для обработки. Например, если посетитель оформляет заказ в интернет-магазине, данные обрабатываются для исполнения договора — согласие не нужно. Но если тот же магазин хочет отправлять посетителю рекламные рассылки, на это нужно получить отдельное согласие.
Согласие должно быть оформлено так, чтобы посетитель явно выразил волю. Текст должен быть конкретным: какие данные обрабатываются, для каких целей, кому могут быть переданы и на какой срок.
Проверка фиксирует, есть ли на веб-формах чекбоксы согласия, как они сформулированы и соответствует ли текст реальным действиям с данными. Если форма собирает данные, но не предлагает согласие, или текст согласия не покрывает фактическую обработку, — это создаёт правовой риск.
Как быть с аналитикой, трекерами и внешними сервисами
Аналитические системы, рекламные сети, чаты и виджеты социальных сетей получают данные посетителей. IP-адреса, идентификаторы устройства, данные о поведении на сайте передаются внешним сервисам, и эта передача должна быть описана в политике. Если сервис иностранный, данные могут уходить за рубеж, что создаёт дополнительные требования.
Проверка фиксирует все сетевые запросы, которые сайт делает при открытии страниц. Каждый запрос к внешнему домену — это потенциальная передача данных. Заключение показывает, какие сервисы получают данные, в какой момент это происходит и описаны ли эти передачи в документах.
Если трекеры запускаются до того, как посетитель дал согласие, это может квалифицироваться как обработка без законного основания. Проверка фиксирует момент запуска каждого трекера и сопоставляет его с действиями посетителя — увидел ли он баннер, была ли возможность отказаться.
Что проверить на своём сайте прямо сейчас
- 01Политика обработки персональных данных опубликована и доступна. Убедитесь, что на сайте есть ссылка на политику в подвале или в меню, документ открывается и содержит сведения об операторе, целях обработки и правах субъектов.
- 02В политике перечислены все внешние сервисы. Проверьте, упомянуты ли в политике аналитические системы, чаты, виджеты и другие сторонние сервисы, которые получают данные посетителей вашего сайта.
- 03Веб-формы содержат явное согласие на обработку данных. Откройте формы обратной связи, подписки, регистрации. Убедитесь, что есть чекбокс с текстом согласия, он не предзаполнен и описывает конкретные цели обработки.
- 04Cookie-баннер даёт возможность отказаться и настроить категории. Проверьте, есть ли на баннере кнопка отказа или настройки, равнозначная кнопке согласия. Если баннер обещает выбор, посетитель должен иметь возможность им воспользоваться.
- 05Трекеры не стартуют до согласия посетителя. Откройте сайт в режиме инкогнито и проверьте через инструменты разработчика, запускаются ли скрипты аналитики до того, как вы приняли баннер.
- 06Документы актуальны после изменений на сайте. Если вы добавили новую форму, подключили сервис или изменили сценарии сбора данных, проверьте, отражены ли эти изменения в политике и согласиях.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие документы по 152-ФЗ обязательны для любого сайта?
Политика обработки персональных данных обязательна для всех операторов. Согласие требуется, когда обработка выходит за рамки договора или других законных оснований. Уведомление в Роскомнадзор подаётся до начала обработки данных, исключения редки.
Можно ли использовать типовой шаблон политики из интернета?
Типовой шаблон не учитывает конкретные сервисы, формы и сценарии сбора данных вашего сайта. Политика должна описывать реальные действия — какие данные собираете, кому передаёте, где храните. Шаблон можно взять за основу, но его нужно адаптировать.
Нужно ли указывать в политике Яндекс.Метрику и Google Analytics?
Да, если эти сервисы получают данные посетителей — их нужно упомянуть в политике. Опишите, какие данные передаются, для каких целей и куда. Если данные уходят за рубеж, это создаёт дополнительные требования.
Как понять, что трекеры не запускаются раньше согласия?
Откройте сайт в режиме инкогнито и проверьте через инструменты разработчика браузера, какие скрипты выполняются до принятия cookie-баннера. Автоматическая проверка фиксирует все сетевые запросы и момент запуска каждого трекера.
Что делать, если политика не соответствует тому, что сайт делает на самом деле?
Нужно привести документы в соответствие с практикой: дополнить политику описанием всех сервисов и передач данных, исправить тексты согласий, настроить запуск трекеров. Проверка покажет конкретные расхождения и очерёдность исправлений.
Нужно ли обновлять документы после добавления нового сервиса на сайт?
Да, если новый сервис получает данные посетителей — его нужно отразить в политике. Проверка после изменений на сайте покажет, какие документы требуют обновления.
Что входит в проверку документов по 152-ФЗ?
Проверка фиксирует, что сайт делает на самом деле: какие данные собирает, куда отправляет, когда запускаются трекеры. Каждый факт сопоставляется с текстами политики, согласий и баннеров. Результат — заключение с расхождениями, правовыми рисками и планом исправлений.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.