Почему лендинг с рекламой — зона особого внимания для 152-ФЗ
Лендинг для рекламных кампаний работает с персональными данными в двух плоскостях: пиксели и системы аналитики собирают данные посетителя ещё до заполнения формы, а сама форма фиксирует имя, телефон, email. Оба потока данных подпадают под требования закона о персональных данных.
Когда посетитель открывает страницу, браузер может автоматически отправить cookie, IP-адрес и идентификаторы устройства внешним сервисам — рекламным сетям, системам аналитики, платформам ретаргетинга. Если эти запросы стартуют до того, как человек дал согласие, возникает риск квалификации эпизода как обработки данных без законных оснований.
Веб-форма с полями «Имя», «Телефон» или «Email» требует явного согласия на обработку персональных данных. Согласие должно быть конкретным, информированным и добровольным — не «галочка стоит по умолчанию», а осознанное действие посетителя. Политика конфиденциальности должна раскрывать, кто обрабатывает данные, для каких целей, какие сервисы получают доступ, где данные хранятся.
Что происходит на лендинге до первого клика: аналитика, пиксели и cookie
Типичный лендинг загружает скрипты Яндекс Метрики, VK Рекламы, пиксели ретаргетинга, системы коллтрекинга. Многие из них стартуют автоматически при открытии страницы и отправляют данные о посетителе — IP-адрес, информацию о браузере, параметры UTM-меток — на серверы сервисов.
Если cookie-баннер показывается, но трекеры уже запустились до выбора посетителя, это технический сигнал возможного нарушения. Баннер с единственной кнопкой «ОК» или «Принять» без равнозначной возможности отказаться создаёт риск: согласие на использование cookie должно быть добровольным.
Отдельная ситуация — данные уходят на серверы иностранных сервисов. Передача персональных данных за рубеж требует выполнения дополнительных условий: уведомления Роскомнадзора, проверки уровня защиты данных в стране назначения, согласия субъекта. Если лендинг отправляет запросы к зарубежным доменам, это обстоятельство требует дополнительной проверки.
Форма заявки: согласие, политика и обязанности оператора
Форма с полями «Телефон» и «Email» делает владельца сайта оператором персональных данных. Это означает обязанность получить письменное (в электронной форме) согласие субъекта, опубликовать политику обработки персональных данных и, в зависимости от объёма и целей обработки, подать уведомление в Роскомнадзор.
Текст согласия должен содержать цель обработки, перечень данных, действия с ними (сбор, хранение, передача), срок хранения, данные оператора (ИНН, ОГРН, адрес). Формулировка «Я согласен с политикой конфиденциальности» без конкретики может не соответствовать требованиям закона.
Политика конфиденциальности должна быть доступна по прямой ссылке с любой страницы сайта, содержать актуальные реквизиты оператора, описывать реальные процессы обработки данных. Если политика скопирована с шаблона, а на сайте установлены сервисы, не упомянутые в документе, это расхождение создаёт правовой риск.
Как проверить лендинг перед запуском рекламы: что фиксировать
Проверка начинается с чистой сессии браузера — так, как сайт видит новый посетитель. Нужно зафиксировать: какие трекеры и скрипты запускаются при открытии страницы, какие сетевые запросы отправляются и куда, как выглядит cookie-баннер, есть ли равнозначная возможность отказа.
Следующий шаг — проверка веб-формы. Есть ли чекбокс согласия на обработку персональных данных, стоит ли галочка по умолчанию, можно ли отправить форму без согласия, что написано в тексте согласия, ведёт ли ссылка на политику конфиденциальности к реальному документу.
Затем — сопоставление политики конфиденциальности с фактическим поведением сайта. Перечислены ли в политике все сервисы, которым сайт передаёт данные? Указаны ли цели обработки, сроки хранения, права субъекта? Совпадают ли реквизиты оператора в политике с данными из ЕГРЮЛ?
Dobrolex выполняет эту последовательность автоматически: открывает публичные страницы с чистой сессии, фиксирует снимки экрана, сетевые запросы, тексты документов. В заключении каждый установленный факт связывается с нормой закона, получает оценку серьёзности и рекомендацию, что исправить.
- Открыть лендинг в режиме инкогнито и проверить, какие трекеры запускаются до взаимодействия с баннером
- Зафиксировать текст cookie-баннера: есть ли кнопка отказа, можно ли настроить категории
- Проверить форму заявки: текст согласия, наличие чекбокса, возможность отправить без согласия
- Открыть политику конфиденциальности и сопоставить её с реальными сервисами на сайте
- Проверить реквизиты оператора: ИНН, ОГРН, адрес — они должны быть актуальными
Что делать, если проверка выявила риски
Если трекеры запускаются до согласия, нужно настроить отложенную загрузку скриптов: они должны стартовать только после того, как посетитель явно согласился. Современные системы управления согласиями (Consent Management Platform) позволяют это автоматизировать.
Если cookie-баннер не даёт равнозначной возможности отказа, его нужно доработать: добавить кнопку «Отклонить» или «Настроить», дать посетителю выбор категорий cookie. Текст баннера должен быть понятным: что именно собирается, для чего, кто получает доступ.
Если текст согласия в форме не соответствует требованиям, его нужно переписать: указать цель обработки, перечень данных, действия с ними, данные оператора, срок хранения. Чекбокс должен быть пустым по умолчанию, форма не должна отправляться без явного согласия.
Если политика конфиденциальности не соответствует реальности, её нужно актуализировать: добавить все сервисы, которым сайт передаёт данные, указать актуальные реквизиты оператора, описать, куда и на каком основании передаются данные, как субъект может отозвать согласие.
Чек-лист проверки лендинга перед запуском рекламы
- 01Трекеры и аналитика. Откройте лендинг в режиме инкогнито. Если счётчики и пиксели загружаются до любого взаимодействия с cookie-баннером — это риск.
- 02Cookie-баннер. Проверьте, есть ли кнопка отказа или настройки категорий. Баннер только с кнопкой «ОК» создаёт правовой риск.
- 03Согласие в форме. Чекбокс согласия должен быть пустым по умолчанию, текст — конкретным (цель, данные, оператор, срок). Ссылка на политику должна вести к реальному документу.
- 04Политика конфиденциальности. Сопоставьте текст политики с реальными сервисами на сайте. Все трекеры, системы аналитики и внешние скрипты должны быть упомянуты.
- 05Реквизиты оператора. ИНН, ОГРН, адрес в политике и согласии должны совпадать с данными из ЕГРЮЛ и быть актуальными.
- 06Трансграничная передача. Если данные уходят на серверы за рубежом (Google, Meta, другие иностранные сервисы), проверьте, уведомлён ли Роскомнадзор и есть ли согласие субъекта на передачу.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли запускать Яндекс Метрику и VK Рекламу без согласия посетителя?
Если системы аналитики собирают персональные данные (cookie, IP-адрес, идентификаторы устройства), их запуск до получения согласия создаёт риск квалификации как обработки данных без законных оснований. Современная практика — отложенная загрузка трекеров после явного согласия.
Обязательно ли согласие на обработку персональных данных, если форма собирает только email?
Да. Email — персональные данные, их сбор и хранение требуют согласия субъекта. Согласие должно быть конкретным, информированным и добровольным: чекбокс пустой по умолчанию, текст раскрывает цель обработки, перечень данных и данные оператора.
Что делать, если данные посетителей лендинга уходят на серверы Google или Meta?
Трансграничная передача персональных данных требует уведомления Роскомнадзора и согласия субъекта. Если лендинг отправляет данные иностранным сервисам, это обстоятельство требует дополнительной проверки: нужно понять, какие данные передаются, на каком основании, и выполнены ли требования закона.
Достаточно ли cookie-баннера с кнопкой «Принять», чтобы соответствовать закону?
Баннер с единственной кнопкой «Принять» не даёт посетителю равнозначной возможности отказаться. Современная практика — баннер с кнопками «Принять», «Отклонить» и, желательно, «Настроить категории». Трекеры должны стартовать только после явного согласия.
Можно ли использовать шаблон политики конфиденциальности, найденный в интернете?
Можно, но шаблон нужно адаптировать под ваш сайт: указать реальные реквизиты оператора, перечислить все сервисы, которым передаются данные, описать цели обработки и сроки хранения. Политика должна соответствовать тому, что происходит на сайте фактически.
Как понять, какие трекеры запускаются на лендинге до согласия посетителя?
Откройте лендинг в режиме инкогнито, откройте инструменты разработчика браузера (вкладка Network), обновите страницу. Вы увидите список сетевых запросов: если там есть обращения к доменам аналитических систем и рекламных сетей до взаимодействия с cookie-баннером — трекеры запускаются преждевременно.
Что будет, если не исправить проблемы с персональными данными на лендинге?
Если Роскомнадзор зафиксирует эпизод, который квалифицируется как нарушение, возможен штраф. Его размер зависит от статьи: обработка без согласия, отсутствие политики, нарушение требований к трансграничной передаче — каждая норма предусматривает свой диапазон санкций для юридических лиц.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.