Как работает авторизация через ЕСИА и кто становится оператором данных
Когда пользователь нажимает кнопку «Войти через Госуслуги», браузер перенаправляет его на сервер ЕСИА, где происходит проверка учётной записи. После успешной авторизации ЕСИА передаёт сайту набор атрибутов пользователя: ФИО, СНИЛС, email, телефон и другие данные в зависимости от запроса системы.
С момента получения этих данных владелец сайта становится оператором персональных данных — независимо от того, что информация пришла не напрямую от человека, а через государственную систему. Это значит, что компания обязана соблюдать все требования закона: уведомить Роскомнадзор, опубликовать политику обработки, получить согласие пользователя и обеспечить защиту данных.
На практике владельцы сайтов часто считают, что авторизация через ЕСИА автоматически снимает с них ответственность. Это не так: данные, попавшие на ваш сервер, становятся вашей зоной ответственности.
Какие данные приходят от ЕСИА и можно ли их использовать для аналитики
Состав данных, которые ЕСИА передаёт на сайт, зависит от настроек интеграции и уровня доверия системы. Обычно это ФИО, дата рождения, СНИЛС, email, номер телефона, адрес регистрации и документ, удостоверяющий личность.
Использовать эти данные можно только в рамках целей, которые вы указали в политике обработки персональных данных и в согласии пользователя. Если цель — авторизация и исполнение договора, передавать данные в аналитические системы, маркетинговые сервисы или делиться ими с третьими лицами без дополнительного согласия нельзя.
Проверка сайта фиксирует, куда фактически уходят данные после авторизации: какие внешние сервисы получают запросы, какие трекеры стартуют и какие cookie устанавливаются. Если данные попадают в аналитику или иностранные системы без согласия пользователя, это создаёт риск.
Нужно ли согласие пользователя и уведомление Роскомнадзора
Само по себе нажатие кнопки «Войти через Госуслуги» не заменяет согласие на обработку персональных данных. Если обработка выходит за рамки исполнения договора — например, данные используются для маркетинга, передаются партнёрам или обрабатываются дольше, чем это необходимо для оказания услуги, — письменное согласие обязательно.
Уведомление Роскомнадзора о намерении обрабатывать персональные данные подаётся до начала обработки. Обязанность уведомить регулятор зависит от характера обработки, категорий данных и оснований. Если компания обрабатывает данные граждан России, уведомление, как правило, требуется.
Проверка сайта анализирует тексты политики обработки и согласий, сопоставляет их с фактическим поведением сайта и выявляет расхождения. Если данные обрабатываются шире, чем написано в документах, это попадёт в отчёт как эпизод с признаками нарушения.
Где должны храниться данные и как проверить утечки за рубеж
Персональные данные граждан России должны храниться в базах данных, расположенных на территории России. Это требование распространяется и на данные, полученные через ЕСИА. Если ваш сайт использует зарубежные облачные сервисы, системы аналитики или CDN, которые получают персональные данные пользователей, возникает риск нарушения требования о локализации.
Проверка сайта фиксирует все сетевые запросы браузера: какие домены получают данные, в каких странах они зарегистрированы и какие данные передаются. Если данные уходят на серверы за пределами России, это отражается в отчёте как обстоятельство, требующее дополнительной проверки.
Трансграничная передача данных допускается только в страны с адекватной защитой прав субъектов или при соблюдении дополнительных условий. Уведомить Роскомнадзор о такой передаче нужно до её начала.
Как проверить интеграцию с ЕСИА на соответствие закону
Проверка сайта открывает страницы глазами нового посетителя — с чистой сессии, без входа в аккаунт. Фиксируются снимки экрана, тексты политики и согласий, сетевые запросы браузера и поведение трекеров до и после авторизации.
В отчёте вы увидите, какие данные фактически передаются на сайт, куда они уходят дальше, какие внешние сервисы получают доступ к персональным данным пользователей и как это соотносится с требованиями закона. Каждый эпизод с признаками нарушения сопровождается ссылкой на норму, уровнем серьёзности и рекомендацией, что исправить.
Если эпизодов не найдено, отчёт подтверждает, что на проверенных публичных страницах признаков нарушений нет. Это не гарантия полного соответствия закону — серверная часть, закрытые разделы и внутренние процессы не проверяются, — но даёт ясность по публичной части сайта.
Проверьте интеграцию с ЕСИА на своём сайте
- 01Опубликована ли политика обработки персональных данных. Откройте главную страницу сайта и найдите ссылку на политику обработки персональных данных — обычно она в подвале. Убедитесь, что в политике указаны цели обработки, категории данных, сроки хранения и сведения об операторе.
- 02Описана ли в политике интеграция с ЕСИА. Прочитайте текст политики: написано ли, что данные получены через ЕСИА, какие именно данные обрабатываются и для каких целей. Если интеграция с Госуслугами не упомянута, это расхождение между документом и фактическим поведением сайта.
- 03Запрашивается ли согласие пользователя перед обработкой данных. Попробуйте авторизоваться через Госуслуги: показывает ли сайт текст согласия на обработку персональных данных до или сразу после входа. Если согласия нет, а данные обрабатываются шире, чем для исполнения договора, это может создать риск.
- 04Какие внешние сервисы загружаются после авторизации. Откройте инструменты разработчика в браузере (F12), перейдите на вкладку Network и авторизуйтесь через ЕСИА. Посмотрите, какие домены получают запросы: если среди них аналитические системы, трекеры или иностранные сервисы, данные пользователя могут уходить за пределы сайта.
- 05Указаны ли в политике сведения об операторе персональных данных. Проверьте, есть ли в политике ИНН, ОГРН, юридический адрес и контакты оператора. Эти сведения обязательны, и их отсутствие может квалифицироваться как нарушение требований к публикации политики.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Является ли владелец сайта оператором персональных данных, если пользователь авторизуется через ЕСИА?
Да. С момента, когда данные пользователя поступают на ваш сервер, вы становитесь оператором — независимо от того, что данные пришли через ЕСИА. Все требования закона о персональных данных распространяются на вас.
Нужно ли уведомлять Роскомнадзор, если сайт использует авторизацию через Госуслуги?
Обязанность подать уведомление зависит от характера обработки и категорий данных. Если вы обрабатываете персональные данные граждан России, уведомление, как правило, требуется до начала обработки.
Заменяет ли нажатие кнопки «Войти через Госуслуги» согласие на обработку данных?
Нет. Если обработка выходит за рамки исполнения договора — например, данные используются для аналитики или передаются третьим лицам, — письменное согласие пользователя обязательно.
Можно ли передавать данные, полученные через ЕСИА, в аналитические системы?
Только если это прямо указано в политике обработки и пользователь дал согласие. Если цель обработки — авторизация, использовать данные для аналитики или маркетинга без дополнительного согласия нельзя.
Где должны храниться данные, полученные через ЕСИА?
Персональные данные граждан России должны храниться в базах данных на территории России. Если данные уходят на серверы за рубежом, это может создать риск нарушения требования о локализации.
Как проверить, что интеграция с ЕСИА выполнена правильно?
Проверка сайта фиксирует, какие данные фактически передаются на сайт, куда они уходят дальше и как это соотносится с текстами политики и согласий. Каждый эпизод с признаками нарушения попадает в отчёт с правовой квалификацией и рекомендацией.
Что будет в отчёте, если нарушений не найдено?
Отчёт подтвердит, что на проверенных публичных страницах признаков нарушений нет. Это не гарантия полного соответствия закону — серверная часть и закрытые разделы не проверяются, — но даёт ясность по публичной части сайта.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.