Почему иностранные сервисы на сайте — это риск
Владелец сайта отвечает за все данные, которые собирает и передаёт — в том числе через встроенные сервисы. Если аналитика, платёжный виджет или авторизация через соцсети отправляют персональные данные посетителей на серверы за рубежом, это может квалифицироваться как трансграничная передача.
152-ФЗ требует хранить персональные данные граждан России в базах на территории страны и уведомлять Роскомнадзор о намерении передавать данные за рубеж. Если сервис запускается до получения согласия посетителя или политика конфиденциальности не описывает передачу третьим лицам, это создаёт дополнительные риски.
Проблема в том, что владелец сайта часто не знает, какие именно данные уходят, куда и в какой момент. Счётчик установлен год назад, код скопирован из инструкции — но что он делает на самом деле, не проверялось.
Какие сервисы чаще всего передают данные за рубеж
Системы аналитики — Google Analytics, Hotjar, зарубежные рекламные пиксели — отправляют данные о поведении посетителя, IP-адрес, параметры браузера и устройства на серверы компаний. Даже если в настройках включена анонимизация IP, обмен данными с иностранным доменом фиксируется.
Авторизация через иностранные соцсети и сервисы (Google, Apple ID) передаёт email, имя, иногда фото и идентификатор пользователя. Платёжные виджеты (Stripe, PayPal) обрабатывают данные карты и контакты покупателя на своих серверах.
Карты, чаты, шрифты и CDN тоже могут создавать сетевые запросы к иностранным доменам. Сам по себе запрос — технический сигнал, но если вместе с ним уходят cookie, IP или идентификаторы сессии, это может потребовать дополнительной проверки.
Когда передача данных иностранным сервисам создаёт правовые риски
Риск возникает, если данные передаются без согласия посетителя, не описаны в политике конфиденциальности или не подано уведомление Роскомнадзора о трансграничной передаче. Обязанность уведомить регулятор зависит от характера обработки — даже если сайт небольшой и собирает только email.
Ещё один частый эпизод — трекеры и скрипты аналитики стартуют до того, как посетитель нажал кнопку согласия на cookie-баннере. Формально баннер есть, но технически данные уже ушли. Это может квалифицироваться как обработка без законного основания.
Если на сайте нет альтернативного способа авторизации или оформления заказа, кроме как через иностранный сервис, посетитель фактически вынужден согласиться на передачу данных. Это тоже создаёт риск — согласие должно быть добровольным.
Как проверить, какие данные уходят за рубеж
Нужно открыть сайт с чистой сессии — как это делает новый посетитель — и зафиксировать все сетевые запросы браузера до любого согласия. Инструменты разработчика в браузере показывают домены, но не дают правовой оценки: какой запрос создаёт риск, а какой — нет.
Проверка включает не только технические факты (куда ушёл запрос, когда стартовал скрипт), но и юридические: есть ли согласие, описан ли сервис в политике, соответствует ли cookie-баннер требованиям закона. Все эти слои нужно связать и получить план действий.
Автоматическая проверка сайта фиксирует снимки экрана с временем, цитаты из политики конфиденциальности, список иностранных сервисов и момент их запуска. Каждый эпизод получает правовую квалификацию со ссылкой на норму закона и рекомендацией, что исправить в первую очередь.
Что делать, если на сайте есть иностранные сервисы
Если данные передаются за рубеж, нужно проверить три слоя: техническую реализацию (когда стартует скрипт), документы (политика, согласия, уведомление Роскомнадзора) и интерфейс (cookie-баннер, альтернативные способы входа).
Часто достаточно настроить cookie-баннер так, чтобы он блокировал загрузку трекеров до согласия, дополнить политику конфиденциальности описанием передачи третьим лицам и добавить альтернативный способ авторизации. В других случаях требуется подать уведомление Роскомнадзору или заменить сервис на российский аналог.
Цель — снизить риски, сохранив функциональность сайта. План действий показывает очерёдность исправлений: что критично, что можно отложить, какие изменения внести в код, настройки и документы.
Проверьте свой сайт
- 01Откройте сайт в режиме инкогнито. Зайдите на главную страницу с чистой сессии — как это делает новый посетитель — и посмотрите, появляется ли cookie-баннер и какие кнопки на нём есть.
- 02Проверьте, можно ли отказаться от cookie. Есть ли на баннере кнопка отказа или настройки категорий, или только кнопка «Принять» и крестик, который засчитывается как согласие?
- 03Найдите политику конфиденциальности. Откройте документ и найдите раздел о передаче данных третьим лицам. Перечислены ли там иностранные сервисы (аналитика, платёжные системы, авторизация)?
- 04Посмотрите способы авторизации. Если на сайте есть вход через Google, Apple ID или иностранные соцсети, проверьте, есть ли альтернативный способ — регистрация по email или телефону.
- 05Проверьте исходный код главной страницы. Откройте инструменты разработчика (F12), вкладка Network. Обновите страницу и посмотрите, есть ли запросы к доменам google-analytics.com, doubleclick.net и доменам зарубежных рекламных пикселей до того, как вы нажали согласие на баннере.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие сервисы считаются иностранными по 152-ФЗ?
Сервисы, чьи серверы находятся за пределами России и которые обрабатывают персональные данные посетителей: Google Analytics, зарубежные рекламные пиксели, Stripe, авторизация через зарубежные соцсети. Яндекс.Метрика — российский сервис, но нужно проверить настройки передачи данных.
Можно ли использовать Google Analytics на сайте или это автоматически нарушение?
Использовать можно, но нужно получить согласие посетителя до запуска трекера, описать передачу данных в политике конфиденциальности и, в зависимости от характера обработки, подать уведомление Роскомнадзору о трансграничной передаче.
Нужно ли уведомлять Роскомнадзор, если на сайте стоит иностранная аналитика?
Обязанность уведомить регулятор зависит от того, какие данные передаются и на каком основании. Если обрабатываются персональные данные граждан России и они передаются за рубеж, уведомление, как правило, требуется. Точный ответ даёт правовая квалификация в отчёте.
Как понять, что трекеры на сайте стартуют до согласия посетителя?
Нужно открыть сайт с чистой сессии, включить инструменты разработчика (вкладка Network) и посмотреть, появляются ли запросы к доменам аналитики до того, как вы нажали согласие на cookie-баннере. Автоматическая проверка фиксирует это с временем и снимками экрана.
Достаточно ли прописать в политике конфиденциальности, что данные передаются третьим лицам?
Это необходимое, но не всегда достаточное условие. Нужно также получить согласие посетителя до передачи, обеспечить возможность отказа через cookie-баннер и, в зависимости от случая, подать уведомление Роскомнадзору.
Что будет, если не убрать иностранные сервисы с сайта?
Если данные передаются без согласия, не описаны в политике или не подано уведомление регулятору, это создаёт риск претензий от Роскомнадзора. Размер санкций зависит от квалификации эпизода и может составлять от десятков тысяч до миллионов рублей.
Можно ли заменить иностранные сервисы на российские аналоги?
Да, для большинства задач есть российские альтернативы: Яндекс.Метрика вместо Google Analytics, ЮКасса или Tinkoff вместо Stripe. Если замена невозможна или невыгодна, нужно настроить сайт так, чтобы передача данных соответствовала требованиям закона.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.