Какие риски могут возникнуть на сайте
Правовые риски возникают, если трекеры запускаются до согласия посетителя, данные уходят за рубеж без соответствующего оформления, политика конфиденциальности не содержит реквизиты оператора или не соответствует реальной работе сайта.
Если сайт собирает персональные данные через формы или авторизацию, важно проверить наличие и содержание согласия на обработку. Каждый эпизод может создавать правовые риски.
Как проверить cookie-баннер и трекеры
Откройте сайт в режиме инкогнито или с чистой сессии — так вы увидите баннер глазами нового посетителя. Проверьте, есть ли кнопка отказа и настройка категорий cookie.
Откройте инструменты разработчика браузера (F12), вкладку Network. Обновите страницу, не нажимая на баннер. Если в списке запросов появились домены аналитики — Google Analytics, зарубежные рекламные пиксели, Яндекс.Метрика, — трекеры стартовали до согласия. Это может создавать правовые риски.
Передача данных за рубеж и иностранные сервисы
Если сайт использует Google Analytics, зарубежные рекламные пиксели, авторизацию через Google или другие иностранные сервисы, данные посетителей могут передаваться за рубеж. Это может создавать правовые риски.
Откройте вкладку Network в инструментах разработчика и найдите запросы к иностранным доменам: google-analytics.com, doubleclick.net, домены зарубежных рекламных пикселей и иностранных соцсетей. Если такие запросы есть, сверьте политику конфиденциальности: упомянуты ли эти сервисы. Отсутствие этой информации может создавать риски.
Политика конфиденциальности и документы
Политика должна соответствовать реальной работе сайта. Проверьте, указаны ли в ней реквизиты оператора: наименование, контактные данные.
Сверьте, перечислены ли все сервисы, которые получают данные посетителей. Если на сайте работает Google Analytics, но в политике он не упомянут, это расхождение может создавать риски.
Если сайт собирает персональные данные через формы, проверьте согласие на обработку: есть ли явное действие — чекбокс, кнопка, подпись.
Как исправить риски и в какой последовательности
Начните с рисков, которые проще всего устранить. Настройте cookie-баннер: добавьте кнопку отказа, настройку категорий и отложите запуск трекеров до явного согласия. Это решается настройкой плагина или скрипта управления cookie.
Дополните политику конфиденциальности реквизитами оператора и перечислите иностранные сервисы, которые получают данные.
Проверьте веб-формы: есть ли явное согласие на обработку данных. После исправлений повторите проверку с чистой сессии: убедитесь, что трекеры не стартуют до согласия, баннер работает корректно, политика соответствует реальной работе сайта.
Чек-лист подготовки сайта к проверке РКН
- 01Cookie-баннер. Откройте сайт в режиме инкогнито: есть ли кнопка отказа, настройка категорий cookie и возможность продолжить без согласия.
- 02Запуск трекеров. Проверьте вкладку Network в инструментах разработчика: запускаются ли аналитика и cookie до того, как вы нажали «Принять».
- 03Иностранные сервисы. Найдите запросы к Google, зарубежным рекламным пикселям, иностранным соцсетям и другим иностранным доменам: упомянуты ли они в политике конфиденциальности.
- 04Реквизиты оператора. Проверьте политику конфиденциальности: указаны ли реквизиты оператора и контактные данные.
- 05Согласие на обработку. Проверьте веб-формы: есть ли чекбокс или явное действие для согласия на обработку персональных данных.
- 06Соответствие политики сайту. Сверьте текст политики с реальной работой сайта: все ли сервисы перечислены, соответствуют ли описанные действия фактическому поведению.
- 07Трансграничная передача. Если данные уходят к иностранным сервисам, проверьте, упомянуто ли это в политике конфиденциальности.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Как узнать, запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито, нажмите F12 и перейдите на вкладку Network. Обновите страницу, не нажимая на баннер. Если в списке запросов появились домены аналитики — Google Analytics, Яндекс.Метрика, — трекеры стартовали до согласия.
Нужно ли уведомлять Роскомнадзор, если на сайте есть формы обратной связи?
Отчёт Dobrolex указывает признаки обработки персональных данных, выявленные на публичных страницах. Вопрос обязанности уведомления решается с учётом конкретной ситуации и характера обработки — рекомендуем консультацию юриста.
Как проверить, соответствует ли политика конфиденциальности реальной работе сайта?
Сверьте текст политики с фактическим поведением сайта: перечислены ли все иностранные сервисы, которые получают данные, указаны ли реквизиты оператора. Расхождения — риск.
Что делать, если cookie-баннер уже установлен, но нет кнопки отказа?
Добавьте кнопку отказа и возможность настроить категории cookie. Дайте возможность продолжить без согласия. Это решается настройкой плагина или скрипта.
Создаёт ли использование Google Analytics правовые риски?
Если данные посетителей передаются за рубеж, важно указать в политике конфиденциальности, каким сервисам передаются данные. Отсутствие этой информации может создавать риски.
Как понять, какие риски исправлять в первую очередь?
Начните с тех, что проще устраняются: cookie-баннер без кнопки отказа, трекеры до согласия, отсутствие реквизитов оператора в политике. Затем — согласия на обработку данных.
Что показывает проверка Dobrolex?
Проверка фиксирует, что сайт делает на самом деле: какие трекеры запускаются до согласия, куда уходят данные, соответствует ли политика реальной работе. Результат — заключение с эпизодами и серьёзностью рисков. План действий — отдельный тариф.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.