Геолокация ПДН: когда местоположение посетителя — персональные данные

Когда геолокация — это персональные данные

Персональные данные — это любая информация, которая относится к определённому или определяемому человеку. Геолокация становится персональными данными, если позволяет идентифицировать конкретного посетителя.

Город или регион, определённые по IP-адресу, сами по себе редко дают возможность установить личность. Но точные координаты, адрес или данные о местоположении в связке с другими идентификаторами — cookie, ID устройства, данными сессии — могут позволить определить субъекта.

Если геолокация обрабатывается для целей, выходящих за рамки технического обеспечения работы сайта — например, для таргетированной рекламы, аналитики поведения или персонализации контента, — это может потребовать согласия субъекта.

Как сайты собирают геолокацию и куда она уходит

Многие сервисы аналитики и рекламы автоматически определяют местоположение посетителя по IP-адресу или через API геолокации браузера. Яндекс Метрика, Google Analytics, рекламные сети, CDN — все они могут получать данные о регионе или городе.

Более точные данные — координаты GPS или адрес — собираются только с явного разрешения браузера. Но даже город в связке с временем визита, параметрами устройства и cookie может создать уникальный цифровой отпечаток.

Если эти данные передаются иностранным сервисам, возникает вопрос локализации и трансграничной передачи персональных данных граждан РФ. Проверка сайта показывает, какие домены получили запросы и в какие страны ушли данные.

Какие риски создаёт сбор геолокации

Если геолокация квалифицируется как персональные данные, а согласие не получено или получено с нарушением требований, это может повлечь ответственность. Обработка без законного основания или несовместимо с заявленными целями — риск санкций.

Передача данных о местоположении граждан РФ иностранным сервисам без уведомления Роскомнадзора и без записи базы на территории России создаёт дополнительный риск по требованиям локализации.

Если трекеры, которые собирают геолокацию, стартуют до получения согласия посетителя на использование cookie или аналитики, это тоже может квалифицироваться как нарушение. Проверка фиксирует момент запуска каждого скрипта и запроса.

Как проверить, что сайт собирает по геолокации

Проверка открывает сайт с чистой сессии — глазами нового посетителя, до любых действий и согласий. Фиксируются все сетевые запросы: какие сервисы получили данные, какие параметры переданы, в какие страны ушли запросы.

В отчёте видно, запускались ли скрипты аналитики до согласия, передавались ли в запросах координаты, город, регион или IP, какие идентификаторы отправлены вместе с геоданными. Каждый эпизод связывается с нормой закона и получает рекомендацию, что исправить.

Если сетевые запросы указывают на передачу данных иностранным сервисам, это отмечается как обстоятельство, требующее дополнительной проверки — технический сигнал, который стоит изучить юристу.

• Какие сервисы получили данные о местоположении и когда
• Передавались ли координаты, город или регион в параметрах запросов
• Запускались ли трекеры до получения согласия посетителя
• В какие страны ушли запросы с данными
• Какие идентификаторы (cookie, ID устройства) отправлены вместе с геолокацией

Что делать, если геолокация собирается с нарушениями

Если проверка выявила, что данные о местоположении передаются до согласия или уходят иностранным сервисам без законных оснований, нужно исправить сценарий: отложить запуск трекеров до явного согласия, отключить передачу координат или настроить прокси для локализации данных.

Если геолокация обрабатывается для целей, требующих согласия, проверьте, что в политике обработки персональных данных и в тексте согласия эта цель указана. Если данные граждан РФ передаются за рубеж, убедитесь, что выполнены требования уведомления и локализации.

План действий к отчёту даёт конкретные рекомендации для кода, настроек аналитики и текста документов. Это позволяет исправить риски, не дожидаясь претензий.