Почему шаблон из генератора может не защитить от штрафа
Генератор согласия на обработку персональных данных выдаёт типовой текст с общими формулировками: «сбор, хранение, использование данных для целей сайта». Такой документ формально соответствует структуре, но не описывает, что конкретно происходит на вашем сайте.
Проблема в том, что закон требует от оператора сообщить посетителю, какие именно данные собираются, для каких целей, кому передаются и как долго хранятся. Если сайт отправляет данные в аналитику, использует трекеры для рекламы или передаёт информацию за рубеж, это должно быть явно указано в согласии.
Когда текст согласия не совпадает с реальным поведением сайта, возникает правовой риск. Роскомнадзор при проверке смотрит не только на документы, но и на то, что сайт фактически делает с данными посетителей.
Какие данные считаются персональными и когда нужно согласие
Персональные данные — это любая информация, которая относится к определённому или определяемому человеку. Email, телефон, имя и адрес — очевидные примеры. Но к персональным данным также относятся IP-адрес, идентификаторы в cookies, данные геолокации, если они позволяют установить личность посетителя.
Согласие требуется, когда вы собираете персональные данные для целей, не связанных с исполнением договора или требованиями закона. Например, если посетитель заполняет форму обратной связи, подписывается на рассылку или сайт устанавливает cookie для аналитики и рекламы — во всех этих случаях нужно получить согласие до начала обработки.
Если сайт собирает данные через несколько форм или сервисов — CRM, чат, email-рассылку, — согласие должно покрывать все эти сценарии. Одного общего текста может быть достаточно, если в нём перечислены все цели и получатели данных.
Как проверить, что сайт собирает данные до получения согласия
Частая ситуация: на сайте есть cookie-баннер и текст согласия, но трекеры аналитики и рекламы запускаются раньше, чем посетитель кликает «Принять». В этом случае данные уже собраны и отправлены, а согласие получено с опозданием — это создаёт риск нарушения.
Чтобы это проверить, нужно открыть сайт с чистой сессии — как новый посетитель, без сохранённых cookies — и зафиксировать, какие запросы уходят в сеть до любого действия. Проверка записывает сетевой обмен браузера, показывает, когда стартовали трекеры и какие данные они получили.
Если аналитика или реклама запускаются до согласия, это указывается в отчёте как эпизод с признаками нарушения. Рекомендация — настроить cookie-баннер так, чтобы трекеры включались только после явного согласия посетителя.
Трансграничная передача данных: что должно быть в согласии
Если сайт использует сервисы, которые обрабатывают данные за пределами России — например, Google Analytics, зарубежные рекламные пиксели, зарубежные CDN или авторизацию через иностранные соцсети, — это трансграничная передача персональных данных. Закон требует, чтобы оператор уведомил посетителя и получил согласие на такую передачу.
В тексте согласия должно быть указано, в какие страны передаются данные и какие сервисы их получают. Если этого нет, а данные фактически уходят за рубеж, возникает правовой риск. Проверка фиксирует, какие иностранные домены получают запросы с данными посетителя, и сопоставляет это с текстом согласия и политики.
Отчёт показывает, какие внешние сервисы обнаружены, и помогает понять, нужно ли дополнять согласие информацией о трансграничной передаче.
Как оформить согласие в веб-формах: чекбокс, текст и активация по умолчанию
Согласие в форме должно быть оформлено так, чтобы посетитель осознанно его дал. Это означает: отдельный чекбокс, который не активирован по умолчанию, и текст, который объясняет, что именно произойдёт с данными. Фраза «Нажимая кнопку, вы соглашаетесь с политикой обработки данных» без возможности отказа может не соответствовать требованиям закона.
Проверка фиксирует, как реализовано согласие в каждой форме на сайте: есть ли чекбокс, отмечен ли он заранее, виден ли текст с описанием обработки и ссылка на политику. Если согласие не оформлено явно или активировано по умолчанию, это указывается в отчёте.
Рекомендация — использовать отдельный чекбокс для согласия, давать посетителю возможность отказаться и размещать рядом краткое описание целей обработки с ссылкой на полную политику.
Проверьте согласие на обработку персональных данных
- 01Открыт сайт с чистой сессии. Откройте сайт в режиме инкогнито или очистите cookies. Посмотрите, запускаются ли трекеры аналитики и рекламы до того, как вы кликнули на баннер согласия.
- 02Текст согласия описывает реальные действия. Сравните, что написано в согласии и политике, с тем, какие формы есть на сайте, какие данные они собирают и какие сервисы подключены.
- 03Указана трансграничная передача. Если сайт использует Google Analytics, зарубежные рекламные пиксели, зарубежные CDN или авторизацию через иностранные соцсети, проверьте, упомянута ли передача данных за рубеж в согласии.
- 04Чекбокс в формах не активирован по умолчанию. Откройте каждую форму на сайте и проверьте, что чекбокс согласия не отмечен заранее, а посетитель должен кликнуть сам.
- 05Cookie-баннер даёт возможность отказа. Проверьте, может ли посетитель отказаться от необязательных cookies или настроить их категории, а не только принять всё сразу.
- 06Политика обработки опубликована и доступна. Убедитесь, что на сайте есть ссылка на политику обработки персональных данных, она открывается и содержит сведения об операторе, целях и сроках обработки.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли использовать генератор согласия на обработку персональных данных без проверки сайта?
Можно, но шаблон из генератора не учитывает, что ваш сайт реально делает с данными. Если текст не совпадает с поведением сайта, это создаёт правовой риск. Проверка показывает расхождения и помогает дополнить согласие.
IP-адрес посетителя — это персональные данные?
Да, если IP-адрес позволяет определить или идентифицировать человека. В большинстве случаев сбор IP-адреса и его передача в аналитику или рекламные сервисы требуют согласия.
Нужно ли отдельное согласие на каждую форму или достаточно одного общего?
Достаточно одного согласия, если в нём перечислены все цели и получатели данных. Если формы собирают данные для разных целей (заявка, рассылка, чат), все эти цели должны быть описаны в одном документе или в отдельных согласиях для каждой формы.
Что делать, если трекеры запускаются до согласия посетителя?
Настройте cookie-баннер и скрипты так, чтобы аналитика и реклама включались только после клика «Принять». Это можно сделать через систему управления согласиями или вручную в коде сайта.
Как узнать, передаются ли данные за рубеж?
Проверьте, какие сервисы подключены к сайту: Google Analytics, зарубежные рекламные пиксели, Mailchimp, зарубежные CDN. Если они обрабатывают данные за пределами России, это трансграничная передача, и она должна быть указана в согласии.
Достаточно ли фразы «Нажимая кнопку, вы соглашаетесь» для согласия?
Нет, если у посетителя нет возможности отказаться. Согласие должно быть добровольным и конкретным: отдельный чекбокс, не отмеченный по умолчанию, и ссылка на политику с описанием целей обработки.
Что будет, если согласие не соответствует тому, что делает сайт?
Это создаёт риск штрафа при проверке Роскомнадзора или претензии от посетителя. Проверка сайта помогает выявить расхождения до того, как они станут проблемой.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.