Почему сайт МФО — зона повышенного риска по 152-ФЗ
Сайт микрофинансовой организации собирает данные, которые законодатель относит к особым категориям или требуют усиленной защиты: паспортные данные, сведения о доходах, номера счетов, данные для скоринга. К этому добавляются аналитические системы, рекламные сети и сервисы авторизации — каждый из них может передавать данные за рубеж.
Если реальная обработка данных не совпадает с тем, что написано в политике конфиденциальности, или трекеры запускаются до согласия посетителя, это создаёт риск административной ответственности. Клиент, недовольный отказом в займе или условиями, может подать жалобу в Роскомнадзор — и тогда проверка выявит все накопленные расхождения.
Проблема в том, что владелец сайта видит только интерфейс и тексты документов, но не видит, куда уходят сетевые запросы браузера и в какой момент стартуют трекеры. Техническая реальность может расходиться с намерениями бизнеса.
Что проверять на сайте МФО в первую очередь
Начните с того, что видит новый посетитель: откройте сайт в режиме инкогнито, до любого клика и согласия. Обратите внимание на cookie-баннер — есть ли кнопка отказа, равнозначная кнопке согласия, и можно ли настроить категории файлов. Если баннер только информирует или предлагает только «Принять», это может квалифицироваться как обработка без полноценного согласия.
Проверьте формы заявок: есть ли чекбокс согласия на обработку персональных данных, содержит ли он ссылку на политику, сформулированы ли цели конкретно. Общие фразы вроде «обработка в соответствии с политикой» могут быть признаны недостаточными.
Сопоставьте текст политики обработки персональных данных с тем, что происходит на сайте. Если в политике не упомянуты аналитические системы, рекламные сети или сервисы авторизации, а они установлены, это расхождение. Если сайт использует авторизацию через Госуслуги или банк, проверьте, указаны ли эти организации как операторы или партнёры.
Трансграничная передача данных: как понять, нужно ли уведомление
Многие аналитические и рекламные сервисы — иностранные компании. Если данные посетителя передаются на их серверы, это может считаться трансграничной передачей персональных данных, для которой требуется уведомление Роскомнадзора и согласие субъекта.
Чтобы понять, уходят ли данные за рубеж, нужно зафиксировать сетевые запросы браузера: куда, когда и с какими параметрами. Эта информация не видна в интерфейсе сайта — её можно получить только с помощью технических средств или специализированной проверки.
Если окажется, что данные передаются иностранным сервисам, а в политике это не отражено и уведомление не подано, это создаёт риск ответственности. Актуализация документов и подача уведомления — первый шаг к устранению риска.
Как проверка Dobrolex помогает выявить риски
Проверка открывает сайт с чистой сессии — как новый посетитель, до любого согласия — и фиксирует, что происходит на самом деле: какие трекеры запускаются, куда уходят данные, что написано в документах. Каждый факт подкрепляется снимком экрана, временем фиксации и цитатой из политики или формы.
Результат — заключение в PDF, где каждый эпизод с признаками нарушения связан с нормой закона, получает правовую квалификацию и рекомендацию по исправлению. Указывается ориентировочный диапазон санкций и очерёдность устранения рисков. Если сетевые запросы указывают на возможную трансграничную передачу, это выносится отдельным обстоятельством для дополнительной юридической оценки.
Проверка не заменяет консультацию юриста и не является обращением в Роскомнадзор. Это инструмент для того, чтобы увидеть технические факты и получить основу для принятия решений: что исправить в коде, настройках, документах.
Что делать, если эпизоды выявлены
Если проверка выявила расхождения, начните с эпизодов высокой серьёзности: обработка без согласия, отсутствие политики, трансграничная передача без уведомления. Эти риски влекут наиболее значительные санкции и требуют приоритетного устранения.
Для каждого эпизода в заключении указано, что нужно исправить: доработать cookie-баннер, дополнить политику, настроить отложенный запуск трекеров до момента согласия, подать уведомление. Если вы выбрали тариф с планом действий, к отчёту прилагается пошаговое решение для разработчика и юриста.
После внесения правок можно провести повторную проверку, чтобы убедиться, что риски устранены. Это особенно важно, если МФО планирует актуализировать уведомление в Роскомнадзоре или готовится к проверке.
Чек-лист: проверьте сайт МФО самостоятельно
- 01Cookie-баннер с равнозначным отказом. Откройте сайт в режиме инкогнито и проверьте: есть ли кнопка отказа, равная по заметности кнопке согласия, и можно ли настроить категории файлов.
- 02Согласие в формах заявок. Посмотрите на формы заявок: есть ли чекбокс согласия на обработку персональных данных, ссылка на политику и конкретные цели обработки.
- 03Политика обработки персональных данных. Проверьте, опубликована ли политика, указаны ли в ней все сервисы, которые установлены на сайте (аналитика, реклама, авторизация), и перечислены ли цели обработки.
- 04Сопоставление документов и практики. Сравните текст политики с тем, что установлено на сайте: если используются Google Analytics, Яндекс.Метрика, пиксели соцсетей или авторизация через Госуслуги, они должны быть упомянуты.
- 05Реквизиты оператора. Убедитесь, что на сайте указаны ИНН, ОГРН, юридический адрес и контакты оператора персональных данных — это требование закона.
- 06Уведомление о трансграничной передаче. Если на сайте установлены иностранные сервисы, проверьте, подано ли уведомление в Роскомнадзор о трансграничной передаче данных.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем грозит МФО несоответствие сайта требованиям 152-ФЗ?
Административная ответственность, блокировка сайта по требованию Роскомнадзора, риск для лицензии и репутационные потери. Клиенты чувствительны к вопросам защиты данных, особенно когда речь о финансах.
Как понять, уходят ли данные посетителей за рубеж?
Нужно зафиксировать сетевые запросы браузера: адреса серверов, параметры, время старта. Это делается техническими средствами или специализированной проверкой — в интерфейсе сайта эта информация не видна.
Нужно ли уведомлять Роскомнадзор о каждом изменении на сайте?
Уведомление подаётся, когда меняются операторы, цели обработки или появляется трансграничная передача данных. Технические правки, не влияющие на эти параметры, уведомления не требуют.
Можно ли использовать шаблон политики обработки персональных данных?
Шаблон — это основа, но его нужно адаптировать под реальные операции сайта: указать все сервисы, цели, получателей данных. Если текст не соответствует практике, Роскомнадзор может расценить это как сокрытие.
Что делать, если трекеры запускаются до согласия посетителя?
Настроить отложенный запуск: трекеры и cookie должны активироваться только после явного согласия пользователя. Это решается на уровне кода или настроек системы управления согласиями.
Заменяет ли проверка консультацию юриста?
Нет. Проверка фиксирует технические факты и даёт правовую квалификацию эпизодов, но окончательное решение о действиях и оценка всех обстоятельств — задача юриста, знающего специфику вашего бизнеса.
Что будет, если клиент подаст жалобу в Роскомнадзор на обработку данных?
Роскомнадзор проведёт проверку и сопоставит документы с практикой. Все расхождения станут основанием для административного производства — лучше выявить и устранить их заранее.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.