Какие данные игроков относятся к персональным
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу. На игровом сервисе это email для регистрации, никнейм (если он связан с личностью через аккаунт), IP-адрес посетителя, платёжные данные при покупке внутриигровой валюты или подписки.
Даже если вы не собираете паспортные данные, обработка email и IP подпадает под действие 152-ФЗ. Это значит: нужна политика конфиденциальности и другие меры в зависимости от обстоятельств обработки.
Игровая статистика сама по себе может не быть персональными данными, но если она связана с аккаунтом игрока (лог действий, рейтинги, история матчей), то обрабатывается вместе с идентификаторами и требует тех же мер защиты.
Трекеры и аналитика: что происходит до согласия игрока
Многие игровые сервисы подключают аналитику: Google Analytics, Yandex.Metrica, зарубежные рекламные пиксели. Проблема возникает, если трекеры запускаются до того, как посетитель дал согласие на сайте. В этот момент данные (IP-адрес, идентификаторы устройства, действия на странице) уже уходят аналитическому сервису.
Проверка открывает сайт с чистой сессии — глазами нового посетителя, до любого клика на баннере. Фиксируется, какие скрипты стартуют, какие cookie устанавливаются и какие сетевые запросы уходят к внешним доменам. Если трекер запустился до согласия, это попадает в отчёт как эпизод с признаками нарушения.
Cookie-баннер должен давать равнозначный отказ и возможность настроить категории (аналитика, реклама, функциональные). Если кнопка «Принять всё» выделена ярче, чем «Отклонить», или отказаться можно только через скрытое меню настроек, это тоже может создавать риски.
Авторизация через иностранные сервисы и трансграничная передача данных
Авторизация через Steam, Discord, Google или Twitch упрощает вход для игроков, но создаёт вопрос о трансграничной передаче персональных данных. Если данные пользователя передаются иностранному сервису, требуется уведомление Роскомнадзора до начала передачи.
Проверка фиксирует сетевые запросы к внешним доменам и показывает, какие данные могут передаваться при авторизации. Это технический сигнал, а не готовое юридическое заключение: отчёт указывает обстоятельства, требующие дополнительной правовой оценки, и рекомендует проконсультироваться с юристом.
Если на сайте есть интеграция с платёжными системами (PayPal, Stripe, иностранные процессинги), это тоже требует внимания: данные карты и email покупателя могут обрабатываться за рубежом.
Как проверить игровой сервис на соответствие 152-ФЗ
Dobrolex проверяет публичные страницы сайта: главную, страницу регистрации, политику конфиденциальности, формы обратной связи. Сайт открывается с чистой сессии, без входа в аккаунт, — так же, как его видит новый посетитель. Фиксируются снимки экрана, дословные цитаты из документов, сетевые запросы и момент запуска трекеров.
В отчёте — резюме с эпизодами, которые могут нарушать закон, их серьёзность и ориентировочный диапазон санкций. Для каждого эпизода указана норма закона, на которую он может влиять, и рекомендация, что исправить. Обстоятельства, требующие дополнительной проверки (например, сетевые запросы к внешним сервисам), выделены отдельно.
Отчёт не заменяет консультацию юриста и не является обращением в Роскомнадзор. Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет. Закрытые разделы (личный кабинет игрока, административная панель) и серверная часть не проверяются.
- Какие данные собираются на публичных страницах (формы, cookie, скрытые поля)
- Какие трекеры запускаются до согласия и куда уходят запросы
- Есть ли политика конфиденциальности, доступна ли она посетителю и содержит ли обязательные сведения
- Как настроен cookie-баннер: равнозначный отказ, настройка категорий, момент старта аналитики
- Сведения об операторе персональных данных (ИНН, ОГРН) для подготовки документов
Проверьте игровой сервис на риски по персональным данным
- 01Откройте сайт в режиме инкогнито. Посмотрите, какие cookie устанавливаются до того, как вы кликнули на баннере. Если трекеры Google Analytics или Yandex.Metrica уже активны — это риск.
- 02Проверьте cookie-баннер. Есть ли кнопка «Отклонить всё» на том же уровне, что и «Принять всё»? Можно ли настроить категории (аналитика, реклама)? Если отказаться сложно — баннер может не соответствовать требованиям.
- 03Найдите политику конфиденциальности. Она должна быть доступна до регистрации (обычно ссылка в подвале сайта). Проверьте: указаны ли цели обработки данных, сроки хранения, права пользователя и контакты оператора.
- 04Посмотрите, есть ли согласие на обработку данных. В форме регистрации должен быть чекбокс с согласием на обработку персональных данных и ссылка на политику. Согласие должно быть добровольным, конкретным и информированным.
- 05Проверьте, какие сторонние сервисы подключены. Авторизация через Steam, Discord, Google, платёжные системы (PayPal, Stripe) — всё это может означать трансграничную передачу данных. Если есть такие интеграции, нужна консультация юриста.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Небольшой проектный сайт
Эпизодов с признаками нарушений по результатам осмотра не выявлено — отчёт подтверждает, что сайт в порядке.
- — Отрицательный результат тоже документ: снимки, цитаты и пределы проверки фиксируются так же
Частые вопросы
Нужно ли получать согласие на обработку никнейма и email при регистрации в игре?
Да, если никнейм и email связаны с личностью игрока через регистрацию, это персональные данные. Нужно получить согласие на обработку и опубликовать политику конфиденциальности.
Может ли авторизация через Steam или Discord создать проблемы по 152-ФЗ?
Да, если данные игрока передаются иностранному сервису для авторизации, это может квалифицироваться как трансграничная передача персональных данных. Требуется уведомление Роскомнадзора до начала передачи.
Как проверить, запускаются ли трекеры на сайте до согласия игрока?
Откройте сайт в режиме инкогнито, не кликайте на баннере и посмотрите в инструментах разработчика браузера (вкладка Network), какие запросы уходят к Google Analytics, Yandex.Metrica или другим сервисам. Если запросы есть до клика — трекеры стартуют раньше согласия.
Что будет, если на игровом сервисе нет политики конфиденциальности?
Отсутствие опубликованной политики обработки персональных данных может создавать риск административной ответственности по 152-ФЗ.
Проверяет ли Dobrolex личный кабинет игрока и базу данных на сервере?
Нет, проверяются только публичные страницы — те, что видны без входа в аккаунт. Закрытые разделы, серверная часть и внутренние процессы обработки данных не проверяются.
Что делать, если в отчёте нашли эпизоды с признаками нарушений?
В отчёте для каждого эпизода указана норма закона и рекомендация, что исправить. Тариф «Аудит и план действий» даёт готовые решения для кода, настроек и документов. Тариф «Исправление с юристом» включает подготовку документов и сопровождение правок.
Если эпизодов не найдено, значит ли это, что сайт полностью соответствует 152-ФЗ?
Нет, это значит, что на осмотренных публичных страницах признаков нарушений не выявлено. Закрытые разделы, серверная обработка данных и внутренние процессы не проверяются. Отчёт не заменяет консультацию юриста и не гарантирует полное соответствие закону.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.