Какие данные на сайте считаются персональными
Персональные данные — любая информация, которая прямо или косвенно относится к конкретному человеку. На сайте это не только имя, телефон и email из форм обратной связи, но и IP-адрес, cookie-файлы, идентификаторы браузера и устройства, которые собирают системы аналитики и рекламные сервисы.
Закон не делит персональные данные на «важные» и «неважные» для целей применения требований: если сайт собирает хотя бы один идентификатор, который можно связать с человеком, возникает обязанность получить согласие, опубликовать политику конфиденциальности и при необходимости уведомить Роскомнадзор.
На практике владельцы сайтов часто не знают, что аналитика и трекеры тоже обрабатывают персональные данные. Сервисы аналитики фиксируют IP-адрес и создают уникальный идентификатор пользователя — это уже обработка персональных данных, даже если вы не собираете имя и телефон через формы.
Трекеры и аналитика: когда согласие обязательно
Системы аналитики и рекламные трекеры запускаются при открытии страницы и начинают собирать данные до того, как посетитель увидел cookie-баннер или дал согласие. Это создаёт риск: обработка персональных данных началась без законного основания.
По закону согласие должно быть получено до начала обработки. На практике это означает: пока человек не нажал кнопку согласия в баннере, трекеры не должны стартовать. Если аналитика запустилась раньше — это может квалифицироваться как обработка без согласия.
Cookie-баннер должен давать равнозначный выбор: кнопки «Принять» и «Отклонить» оформлены одинаково, без визуального акцента на согласии. Если кнопка отказа спрятана, оформлена мелким шрифтом или находится на другой странице — это может быть расценено как принуждение к согласию.
Передача данных за границу: что проверяет Роскомнадзор
Многие сайты используют иностранные сервисы аналитики, CRM, конструкторы форм и платёжные системы. Браузер посетителя отправляет запросы на серверы этих сервисов — и вместе с запросами уходят персональные данные: IP-адрес, cookie, параметры устройства.
Закон требует хранить персональные данные граждан России в базах данных на территории России. Трансграничная передача допускается, но при соблюдении условий: страна назначения должна обеспечивать адекватную защиту прав субъектов данных, либо требуется письменное согласие человека, либо передача подпадает под исключения.
Проверка сайта фиксирует, какие иностранные сервисы получают данные при открытии страницы. Сетевой запрос к зарубежному домену — это технический сигнал, который требует дополнительной проверки: что именно передаётся, где хранится, есть ли согласие субъекта и уведомление Роскомнадзора.
Политика конфиденциальности и согласия на обработку данных
Политика обработки персональных данных — обязательный документ, который должен быть опубликован на сайте в общедоступном виде. Закон перечисляет, что в ней должно быть: сведения об операторе с ИНН и ОГРН, цель обработки, правовое основание, категории данных, сроки хранения, права субъекта и порядок их реализации.
На практике встречаются политики, скопированные с других сайтов: в них указаны чужие реквизиты, устаревшие цели обработки, нет упоминания о трансграничной передаче, хотя сайт использует иностранные сервисы. Такая политика формально есть, но не соответствует фактической обработке данных — это создаёт риск.
Отдельное согласие на обработку персональных данных требуется, когда человек передаёт данные через форму: заявку, регистрацию, подписку. Согласие должно быть явным, конкретным и информированным — то есть человек понимает, кто, зачем и как будет обрабатывать его данные.
Как проверить сайт и что исправить
Проверка сайта начинается с чистой сессии — так, как его видит новый посетитель. Фиксируется, какие данные собираются при открытии страницы, какие трекеры стартуют до согласия, куда уходят сетевые запросы, что написано в политике конфиденциальности и согласиях на обработку данных.
Результат — заключение в PDF с фактами: снимки экрана с временем фиксации, цитаты из документов, список иностранных сервисов и сетевых запросов. Каждый эпизод связан с нормой закона, указан уровень риска и диапазон санкций. План исправлений показывает очерёдность действий: что нужно изменить в коде, настройках и документах.
Если эпизодов с признаками нарушений не найдено — это подтверждает, что на осмотренных публичных страницах сайт в порядке. Проверка не заменяет консультацию юриста и не покрывает закрытые разделы сайта, серверную часть и внутренние процессы обработки данных.
Что проверить на сайте прямо сейчас
- 01Политика конфиденциальности опубликована. Откройте сайт и найдите ссылку на политику обработки персональных данных — обычно в подвале страницы. Проверьте, что в ней указаны ваши актуальные реквизиты: ИНН, ОГРН, контакты оператора.
- 02Трекеры не стартуют до согласия. Откройте сайт в режиме инкогнито, не нажимайте кнопки в cookie-баннере. Откройте инструменты разработчика браузера (F12), вкладку Network — проверьте, нет ли запросов к доменам аналитики и рекламы.
- 03Cookie-баннер даёт равнозначный выбор. Посмотрите на баннер: кнопки «Принять» и «Отклонить» оформлены одинаково по размеру и контрастности, обе видны сразу. Если кнопка отказа спрятана в настройках или оформлена мелким шрифтом — это сигнал к исправлению.
- 04Формы содержат ссылку на политику и согласие. Найдите на сайте формы обратной связи, заявки или регистрации. Рядом с кнопкой отправки должна быть ссылка на политику конфиденциальности и чекбокс с явным согласием на обработку данных.
- 05В политике упомянуты иностранные сервисы. Если сайт использует аналитику, CRM или конструкторы форм с серверами за рубежом — в политике должно быть указано, что данные передаются иностранным сервисам, и получено согласие субъекта.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомление в Роскомнадзор, если сайт собирает только имя, телефон и email через форму обратной связи?
Да, если вы обрабатываете персональные данные не только для разового ответа на обращение. Уведомление обязательно, когда данные сохраняются в базе, используются для рассылок, передаются в CRM или другим лицам. Проверка сайта показывает, требуется ли уведомление в вашем случае, и даёт правовую квалификацию по каждому эпизоду.
Аналитика запускается до согласия — это точно нарушение или только риск?
Это риск, который может квалифицироваться как обработка без согласия. Закон требует получить согласие до начала обработки персональных данных. Если трекер стартует раньше, чем посетитель нажал кнопку в баннере — это создаёт правовой риск. Проверка фиксирует факт запуска трекера со снимком экрана и временем, даёт квалификацию и рекомендацию.
Как узнать, уходят ли данные за границу через сторонние сервисы?
Проверка фиксирует все сетевые запросы браузера при открытии страницы и показывает, какие иностранные сервисы получают данные. Это технический сигнал: что именно передаётся и как хранится — требует дополнительной проверки. Отчёт даёт список доменов и правовую квалификацию по нормам о трансграничной передаче.
На сайте есть политика конфиденциальности — этого достаточно?
Недостаточно, если политика не соответствует фактической обработке данных. Проверьте: указаны ли ваши актуальные реквизиты, перечислены ли все сервисы, которым передаются данные, описаны ли права субъекта и порядок их реализации. Проверка сайта сопоставляет содержание политики с требованиями закона.
Что будет, если Роскомнадзор найдёт нарушения на сайте?
Роскомнадзор может выдать предписание об устранении нарушений или составить протокол об административном правонарушении. Размер санкций зависит от квалификации эпизода: обработка без согласия, отсутствие политики, трансграничная передача без уведомления. Проверка показывает диапазон санкций по каждому эпизоду.
Могу ли я сам проверить сайт на соответствие 152-ФЗ?
Можете, но это требует технических и юридических знаний одновременно: нужно уметь читать сетевые запросы браузера, понимать, какие данные передаются, и квалифицировать эпизоды по нормам закона. Автоматическая проверка выполняет это за несколько минут и даёт заключение в PDF с фактами, правовой оценкой и планом исправлений.
Если проверка не нашла нарушений — это гарантия, что всё в порядке?
Нет. Проверка фиксирует, что на осмотренных публичных страницах признаков нарушений не обнаружено. Закрытые разделы сайта, серверная часть, внутренние процессы обработки данных, согласия в базе и уведомление в Роскомнадзор — не покрываются проверкой. Заключение не заменяет консультацию юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.