Почему важно знать, какие сервисы получают данные с сайта
Владелец сайта отвечает за то, что происходит с персональными данными посетителей — даже если обработку ведёт сторонний сервис. Когда вы интегрируете код аналитики, виджета чата или кнопки авторизации, сервис может автоматически получать IP-адреса, cookie-файлы, идентификаторы сеанса и другие данные. Если сервис иностранный, это может квалифицироваться как трансграничная передача персональных данных.
Закон требует уведомлять Роскомнадзор о намерении передавать данные за рубеж и получать согласие субъекта, если обрабатываются его персональные данные. Отсутствие уведомления или согласия создаёт риск санкций. Проблема в том, что многие владельцы сайтов не знают, какие сервисы на самом деле получают данные: код интегрирован давно, документация устарела, а инструменты разработчика требуют технических навыков.
Регулятор смотрит на реальные действия сайта, а не на декларации в политике конфиденциальности. Если данные уходят к иностранному сервису до того, как посетитель дал согласие, или если передача не отражена в документах — это может создать правовые риски независимо от того, знали вы об этом или нет.
Какие сервисы чаще всего отправляют данные за рубеж
Иностранные сервисы интегрируются на сайт через скрипты, виджеты и API. Самые распространённые категории: системы аналитики, рекламные платформы, виджеты онлайн-чатов, сервисы авторизации через соцсети, CDN и сервисы доставки контента, платёжные шлюзы и инструменты A/B-тестирования.
Аналитика собирает данные о поведении посетителей: страницы, клики, время на сайте, источник перехода. При этом сервис получает IP-адрес, user agent браузера, cookie-файлы и идентификаторы. Рекламные платформы отслеживают конверсии и показы, часто используя сквозные идентификаторы пользователей. Виджеты чатов могут передавать данные о сеансе, устройстве и переписке на серверы за рубежом.
Авторизация через иностранные соцсети передаёт токены и профильные данные пользователя. CDN доставляют статику, но могут логировать запросы и IP-адреса. Платёжные шлюзы обрабатывают платёжные данные, что требует особого внимания к основаниям и согласиям. Каждый из этих сервисов может создавать риск по 152-ФЗ, если работает без должных оснований и уведомлений.
Как технически выявить запросы к иностранным сервисам
Чтобы увидеть, какие сервисы получают данные, нужно зафиксировать сетевой обмен браузера при открытии сайта. Инструменты разработчика в браузере (вкладка Network) показывают все HTTP-запросы: домены, методы, заголовки, тело запроса и ответ. Открывайте сайт в режиме инкогнито с чистой сессией — так вы увидите, что происходит для нового посетителя до любого взаимодействия.
Обращайте внимание на домены в списке запросов. Если запрос идёт не на ваш домен и не на известный российский сервис — это кандидат на проверку. Поищите информацию о владельце домена через WHOIS или корпоративный сайт. Если сервис зарегистрирован за рубежом, запрос к нему может означать передачу данных иностранному оператору.
Проверьте, какие данные передаются в запросе. IP-адрес и user agent отправляются автоматически, но если в URL или теле запроса есть идентификаторы пользователя, токены, cookie-файлы или параметры сеанса — это усиливает риск. Зафиксируйте момент запроса: если он происходит до того, как посетитель принял cookie-баннер или дал согласие на обработку данных — это дополнительный сигнал для правовой оценки.
Что делать, если обнаружили передачу данных за рубеж
Если вы нашли запросы к иностранным сервисам, первый шаг — понять, передаются ли персональные данные и есть ли законные основания. IP-адрес, cookie с идентификаторами, данные о сеансе могут квалифицироваться как персональные данные, если позволяют идентифицировать конкретного человека. Если передача есть, проверьте: уведомлён ли Роскомнадзор, есть ли согласие субъекта, отражена ли передача в политике конфиденциальности и соглашении на обработку.
Если оснований нет или документы не актуальны — риск можно снизить несколькими способами. Можно заменить иностранный сервис на российский аналог, который хранит данные в России. Можно настроить сервис так, чтобы он не получал персональные данные: например, анонимизировать IP-адреса, отключить передачу идентификаторов, использовать серверную интеграцию вместо клиентской. Можно подать уведомление в Роскомнадзор и обновить документы, если передача необходима и соответствует критериям закона.
Если вы не уверены в квалификации или не знаете, какое решение подходит для вашего сайта — проверка даст конкретные факты и рекомендации. Заключение покажет, какие запросы зафиксированы, какие из них создают риск, какие нормы затронуты и что нужно исправить в первую очередь.
Как проверка Dobrolex помогает найти иностранные сервисы
Проверка открывает ваш сайт с чистой сессии — глазами нового посетителя — и фиксирует все запросы браузера до любого согласия. В отчёте вы получите список доменов, которые получили данные, с указанием времени, контекста и содержания запроса. Если запрос идёт к иностранному сервису и передаёт данные, которые могут считаться персональными — это указывается как обстоятельство, требующее дополнительной проверки, или как эпизод с признаками нарушения, если зафиксирован старт до согласия.
Каждый установленный факт связывается с нормой закона. Отчёт объясняет, почему конкретный запрос создаёт риск, какая норма затронута и что нужно сделать. В резюме — серьёзность эпизодов и ориентировочный диапазон санкций из КоАП, чтобы вы понимали масштаб. Если эпизодов не найдено, отчёт подтверждает: на проверенных публичных страницах признаков нет.
Проверьте сайт на иностранные сервисы самостоятельно
- 01Откройте сайт в режиме инкогнито. Запустите браузер в режиме инкогнито или приватном окне, откройте инструменты разработчика (F12), перейдите на вкладку Network и загрузите главную страницу сайта — так вы увидите все запросы с чистой сессии.
- 02Найдите запросы к сторонним доменам. Просмотрите список доменов в столбце Name или Domain: если запрос идёт не на ваш домен и не на известный российский сервис — проверьте информацию о владельце домена через WHOIS или корпоративный сайт.
- 03Проверьте момент запуска сервисов. Зафиксируйте, в какой момент стартуют запросы к иностранным сервисам: если они происходят до того, как посетитель принял cookie-баннер или дал согласие — это сигнал для правовой оценки.
- 04Посмотрите, какие данные передаются. Кликните на запрос и откройте вкладки Headers и Payload: если в URL, заголовках или теле запроса есть идентификаторы, cookie-файлы, токены или параметры сеанса — это может быть передача персональных данных.
- 05Сверьте с политикой конфиденциальности. Откройте политику конфиденциальности и соглашение на обработку данных на сайте: проверьте, упоминаются ли в них иностранные сервисы, трансграничная передача и получено ли согласие субъекта.
- 06Проверьте, подано ли уведомление Роскомнадзору. Если данные передаются иностранному сервису, закон требует уведомить Роскомнадзор — уточните у юриста или ответственного за персональные данные, было ли подано уведомление.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Как понять, что сервис иностранный, если домен выглядит нейтрально?
Проверьте владельца домена через WHOIS-сервис или корпоративный сайт компании. Если компания зарегистрирована за рубежом или серверы находятся не в России — это иностранный сервис для целей 152-ФЗ.
IP-адрес посетителя — это персональные данные?
IP-адрес может считаться персональными данными, если он позволяет идентифицировать конкретного человека — прямо или в сочетании с другими данными. Судебная практика и позиция регулятора различаются, поэтому риск оценивается индивидуально.
Нужно ли уведомлять Роскомнадзор, если данные передаются для аналитики?
Если аналитический сервис иностранный и получает персональные данные — трансграничная передача есть, и уведомление Роскомнадзора по общему правилу обязательно. Цель обработки (аналитика) не освобождает от этого требования.
Можно ли просто анонимизировать IP-адреса в настройках аналитики?
Анонимизация IP-адресов снижает риск, но не всегда исключает передачу персональных данных: сервис может получать cookie, идентификаторы сеанса и другие данные. Проверьте, что именно передаётся, и оцените риск в комплексе.
Что делать, если иностранный сервис необходим, а российского аналога нет?
Если передача необходима и страна назначения обеспечивает адекватную защиту данных, подайте уведомление в Роскомнадзор, получите согласие субъектов и отразите передачу в политике конфиденциальности и соглашении.
Можно ли использовать инструменты разработчика без технических навыков?
Базовый просмотр запросов в Network доступен без глубоких знаний, но интерпретация данных и правовая оценка требуют опыта. Если не уверены — проверка даст заключение с фактами и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.