Какие риски создаёт новый виджет на сайте
Виджет — это код стороннего сервиса, встроенный на ваш сайт: счётчик аналитики, онлайн-консультант, форма обратной связи, кнопка авторизации через соцсеть. Виджет работает в браузере посетителя и может собирать данные: IP-адрес, cookie, действия на странице, содержимое полей ввода.
Главный риск — вы не всегда знаете, что виджет делает на самом деле. Скрипт может запуститься до того, как посетитель дал согласие, отправить данные на иностранный сервер или собрать больше информации, чем описано в вашей политике конфиденциальности. Если виджет обрабатывает персональные данные с нарушением требований, ответственность несёт владелец сайта как оператор.
Закон требует, чтобы обработка персональных данных велась на законных основаниях, с согласия субъекта (когда оно обязательно) и с соблюдением требований к хранению и передаче. Установка виджета может затронуть все три условия — поэтому после добавления нового инструмента нужна проверка.
Что происходит на самом деле: скрипты, трекеры и данные
Виджет загружается как внешний скрипт или iframe. В момент загрузки он может отправить запрос на свой сервер — с параметрами страницы, идентификаторами сессии, данными браузера. Если скрипт запустился до согласия посетителя, это уже обработка персональных данных.
Типичный сценарий: вы поставили cookie-баннер, но аналитика или чат инициализируются сразу при открытии страницы — до клика на «Принять». В этот момент трекер уже отправил данные, записал идентификатор, начал отслеживать действия. Формально баннер есть, фактически согласие не получено.
Второй риск — данные уходят за границу. Многие популярные сервисы (аналитика, CRM, чаты) работают на серверах за пределами России. Если виджет передаёт персональные данные граждан РФ на такой сервер, требуется соблюдение условий трансграничной передачи: проверка страны назначения, уведомление Роскомнадзора, согласие субъекта.
Третий момент — содержание документов. Политика конфиденциальности должна описывать все цели обработки, сторонние сервисы и их местонахождение. Если вы добавили виджет, но не обновили политику, возникает расхождение между текстом и фактическим поведением сайта.
Как проверить сайт после установки виджета
Проверка начинается с чистой сессии — откройте сайт в режиме инкогнито или с новым профилем браузера, как это делает новый посетитель. Откройте консоль разработчика (F12), вкладку Network. Обновите страницу и зафиксируйте все сетевые запросы до любого действия с вашей стороны.
Обратите внимание на домены, к которым идут запросы: если среди них иностранные сервисы (например, домены .com или серверы аналитики), проверьте, какие данные передаются в параметрах запроса. IP-адрес, user agent, идентификаторы cookie — всё это персональные данные.
Проверьте момент запуска: если скрипт отправил данные до клика на баннер согласия или до отправки формы, это риск. Затем откройте вкладку Application или Storage и посмотрите, какие cookie установлены — некоторые трекеры записывают идентификаторы сразу, до согласия.
Сравните поведение сайта с текстом политики конфиденциальности. Все сторонние сервисы, которые получают данные, должны быть перечислены. Если виджет использует иностранный сервер, это должно быть указано явно, как и цель передачи данных.
- Откройте сайт в режиме инкогнито и зафиксируйте сетевые запросы до любого согласия
- Найдите запросы к иностранным доменам и проверьте, какие данные передаются
- Убедитесь, что трекеры и скрипты не запускаются до действия посетителя
- Проверьте cookie: какие установлены, когда и кем
- Сравните фактическое поведение с описанием в политике конфиденциальности
Что исправить, если виджет создал риск
Если виджет запускается до согласия, настройте отложенную загрузку: скрипт должен инициализироваться только после явного действия посетителя — клика на «Принять» в баннере или кнопки в форме. Большинство популярных систем управления согласием (Consent Management Platform) поддерживают такую логику.
Если данные уходят на иностранный сервер, проверьте условия трансграничной передачи: страна должна обеспечивать адекватную защиту персональных данных, либо нужно получить согласие субъекта и уведомить Роскомнадзор. Если условия не выполнены, рассмотрите альтернативу — сервис с серверами в России или отключение виджета.
Обновите политику конфиденциальности: добавьте описание нового виджета, цели обработки, данные, которые он собирает, и сторонний сервис, которому они передаются. Укажите местонахождение сервера, если данные уходят за границу. Если виджет требует согласия, убедитесь, что текст согласия актуален.
После исправлений проведите повторную проверку — снова откройте сайт с чистой сессии и убедитесь, что виджет ведёт себя правильно: не стартует до согласия, передаёт только необходимые данные, описан в документах.
Как Dobrolex проверяет сайт после изменений
Dobrolex открывает сайт с чистой сессии — глазами нового посетителя, до любого согласия — и фиксирует всё, что происходит в браузере: какие скрипты загружаются, какие запросы уходят, какие данные передаются и куда. Каждый факт сопровождается снимком экрана и временной меткой.
Результат — заключение в PDF с установленными обстоятельствами, правовой квалификацией по каждому эпизоду и рекомендациями, что исправить. Вы видите, какие виджеты создают риск, на каком основании и что нужно изменить в коде, настройках или документах, чтобы привести сайт в соответствие закону.
Проверьте сайт после установки виджета
- 01Откройте сайт в режиме инкогнито. Посмотрите, какие скрипты и трекеры запускаются до любого вашего действия — как это видит новый посетитель.
- 02Проверьте сетевые запросы в консоли браузера. Откройте вкладку Network в инструментах разработчика и найдите запросы к иностранным доменам или неизвестным сервисам.
- 03Убедитесь, что виджет не стартует до согласия. Если у вас есть cookie-баннер, проверьте: отправляет ли виджет данные до клика на «Принять».
- 04Проверьте установленные cookie. Откройте вкладку Application или Storage и посмотрите, какие cookie появились сразу при загрузке страницы.
- 05Сравните поведение сайта с политикой конфиденциальности. Все виджеты и сторонние сервисы, которые получают данные, должны быть описаны в политике.
- 06Проверьте согласие на обработку персональных данных. Если виджет собирает данные из формы или отслеживает действия, текст согласия должен это отражать.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Я установил виджет через конструктор сайта — он автоматически соответствует 152-ФЗ?
Нет. Конструктор встраивает код виджета, но не контролирует его поведение. Ответственность за соответствие закону несёт владелец сайта — вам нужно проверить, что виджет делает на самом деле.
Виджет стоит у всех конкурентов — значит, его можно использовать без рисков?
Нет. Популярность виджета не означает соответствие закону. Многие сервисы требуют дополнительной настройки — отложенной загрузки, обновления документов, уведомления регулятора.
Нужно ли обновлять политику конфиденциальности после каждого виджета?
Да, если виджет обрабатывает персональные данные. Политика должна описывать все цели обработки, сторонние сервисы и местонахождение их серверов.
Как понять, что виджет отправляет данные за границу?
Откройте консоль браузера (F12), вкладку Network, и посмотрите домены, к которым идут запросы. Если среди них иностранные серверы — данные уходят за границу.
Виджет запускается до согласия — это всегда нарушение?
Не всегда, но это риск. Если виджет обрабатывает персональные данные (IP, cookie, действия посетителя) до получения согласия, это может квалифицироваться как обработка без законных оснований.
Можно ли проверить сайт самостоятельно без специальных инструментов?
Базовую проверку можно провести через консоль браузера: посмотреть сетевые запросы, cookie и скрипты. Но полная фиксация с правовой квалификацией требует специализированных инструментов.
Что делать, если виджет нельзя настроить — он всегда стартует сразу?
Рассмотрите альтернативу — сервис с гибкими настройками загрузки — или откажитесь от виджета. Если настроить нельзя, а данные обрабатываются с нарушением, риск остаётся.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.