Личный кабинет и 152-ФЗ: какие риски создаёт закрытая зона сайта

Почему личный кабинет — зона риска по 152-ФЗ

Личный кабинет обрабатывает больше персональных данных, чем публичные страницы: имя, телефон, email, история заказов, адреса доставки, данные платежей. Часть этих данных собирается при регистрации, часть — в процессе работы с сервисом. Если сайт не запрашивает согласие на обработку или обрабатывает данные вне рамок согласия — это создаёт риск по 152-ФЗ.

Вторая проблема — закрытая зона. Публичные страницы проверить просто: открыл сайт, посмотрел, что происходит. С личным кабинетом сложнее: чтобы увидеть, какие данные собираются и куда уходят, нужно зарегистрироваться, пройти авторизацию, посмотреть сетевые запросы изнутри. Многие владельцы сайтов полагаются на то, что разработчик или подрядчик «всё сделал по закону», но не проверяют это на практике.

Третья проблема — интеграции. Личный кабинет часто связан с внешними сервисами: CRM, аналитика, платёжные системы, облачное хранилище, авторизация через соцсети. Каждая интеграция может передавать персональные данные третьим лицам, в том числе за рубеж. Если это не описано в политике и не покрыто согласием — риск штрафа растёт.

Что проверяется на публичных страницах сайта

Автоматизированная проверка сайта выполняется с чистой сессии — как новый посетитель, до входа в личный кабинет. Это позволяет зафиксировать риски на этапе, когда пользователь ещё не авторизован: на главной странице, в форме регистрации, в cookie-баннере.

Проверка фиксирует, какие сетевые запросы отправляет браузер, какие данные собирают веб-формы и куда они уходят. Например, если форма регистрации отправляет email и телефон на сервер за рубежом, а в политике это не указано — такой эпизод попадёт в отчёт как признак нарушения требований к трансграничной передаче.

Второй момент — трекеры и аналитика. Если Google Analytics или Яндекс Метрика запускаются до того, как посетитель дал согласие на cookie, — это может создавать риск. Отчёт покажет, в какой момент стартовал трекер, был ли к этому моменту показан баннер и дал ли посетитель согласие.

Третий момент — авторизация через иностранные сервисы. Если на странице входа есть кнопка «Войти через Google» или вход через иностранные соцсети, и при этом данные передаются на серверы этих компаний — проверка зафиксирует это и квалифицирует риск по 152-ФЗ и 38-ФЗ.

Что остаётся за пределами автоматизированной проверки

Автоматизированная проверка исследует только публичные страницы без входа в аккаунт. Это значит, что закрытая зона личного кабинета — страницы после авторизации, профиль пользователя, история заказов, настройки — не исследуется. Серверная часть, база данных, внутренние процессы обработки также не проверяются.

Это предел автоматизированной проверки. Чтобы увидеть, что происходит внутри кабинета, понадобится отдельный анализ: ручная проверка сетевых запросов после входа, изучение серверных логов, аудит интеграций с внешними сервисами. Такой анализ выходит за рамки стандартной проверки сайта и требует участия разработчика или специалиста по информационной безопасности.

Если в отчёте написано «эпизодов с признаками нарушений не выявлено» — это значит, что на осмотренных публичных страницах риски не найдены. Это не гарантия соответствия закону: закрытые разделы, серверная часть и внутренние процессы остаются за пределами проверки.

Как проверить личный кабинет и снизить риски

Начните с публичных страниц: проверьте сайт, чтобы зафиксировать риски на этапе до авторизации. Если на главной, в форме регистрации или в cookie-баннере есть эпизоды — исправьте их в первую очередь. Это снизит вероятность штрафа, даже если внутри кабинета останутся проблемы.

Для проверки закрытой зоны понадобится ручной анализ. Войдите в личный кабинет, откройте инструменты разработчика в браузере (вкладка Network), посмотрите, какие запросы уходят при загрузке страниц, сохранении данных, оформлении заказа. Обратите внимание на домены: если данные отправляются на серверы за рубежом — это сигнал для проверки политики и согласий.

Проверьте документы: политику обработки персональных данных, пользовательское соглашение, текст согласия в форме регистрации. Убедитесь, что они описывают все сценарии обработки данных в личном кабинете, перечисляют внешние сервисы, с которыми интегрирован сайт, и объясняют, как пользователь может отозвать согласие или удалить данные.

Если у вас есть интеграции с CRM, платёжными системами, облачным хранилищем — проверьте договоры с этими сервисами. Уточните, где физически хранятся данные, есть ли передача за рубеж, кто выступает оператором, а кто — лицом, действующим по поручению оператора. Эти сведения нужны для уведомления Роскомнадзора, если обработка данных требует этого.

• Проверьте публичные страницы — это покажет риски до входа в кабинет
• Войдите в кабинет и откройте вкладку Network в инструментах разработчика — посмотрите, куда уходят данные
• Проверьте политику и согласия — убедитесь, что они покрывают все сценарии обработки в кабинете
• Изучите договоры с внешними сервисами — уточните, где хранятся данные и кто оператор

Что будет в отчёте

Отчёт содержит резюме с эпизодами, в которых зафиксированы признаки нарушений, их серьёзность и ориентировочный диапазон санкций. Например, если трекер запустился до согласия — это эпизод с квалификацией по 152-ФЗ и рекомендацией, как исправить.

Каждый факт в отчёте подтверждён снимком экрана и временем фиксации. Это значит, что вы увидите, как именно выглядел cookie-баннер в момент проверки, какой текст был в форме регистрации, какие запросы ушли на серверы за рубежом. Дословные цитаты из политики и согласий также включены в отчёт.

Если обнаружены обстоятельства, требующие дополнительной проверки, — например, сетевые запросы к внешним сервисам, — они выделены отдельно. Это не готовое доказательство нарушения, а технический сигнал для того, чтобы разобраться глубже: связаться с разработчиком, изучить серверные логи, уточнить, что именно передаётся в этом запросе.