Что такое обезличенные данные по 152-ФЗ
152-ФЗ определяет обезличивание персональных данных как действия, после которых невозможно определить принадлежность данных конкретному человеку без использования дополнительной информации. Ключевое слово — «невозможно»: если есть способ связать идентификатор с конкретным посетителем, возникает риск, что данные остаются персональными.
Типичный пример: вы собираете email клиента, заменяете его на hash и отправляете в аналитику. Если есть таблица соответствия hash и исходного email, возникает риск, что данные персональные. Если ключа нет и восстановить связь невозможно, данные могут считаться обезличенными.
Проверка сайта фиксирует, какие идентификаторы (IP, cookie, User ID) передаются сервисам, куда они уходят и в какой момент — до согласия посетителя или после. Это помогает оценить фактическую возможность определить человека.
IP-адрес, cookie и идентификаторы аналитики — персональные данные или нет
IP-адрес, cookie-идентификатор, User ID и deviceID сами по себе не всегда персональные данные. Всё зависит от контекста: можно ли связать идентификатор с конкретным человеком.
Если посетитель зашёл на сайт анонимно, аналитика видит только IP и случайный cookie, но не знает, кто это, — данные могут считаться обезличенными. Но если посетитель авторизовался, оставил email в форме или его профиль связан с идентификатором через CRM или рекламный кабинет, возникает риск, что данные персональные.
Аналитика вроде Google Analytics или Яндекс Метрики может работать с персональными данными, даже если вы не передаёте туда имя и email. Если сервис связывает cookie с аккаунтом пользователя (например, через Google Account или интеграцию с рекламой), возникает риск, что данные персональные. Если сервис видит только агрегированную статистику без возможности выделить конкретного человека, данные могут считаться обезличенными.
Проверка сайта фиксирует, какие данные уходят в аналитику и сторонние сервисы, куда они отправляются и в какой момент (до согласия или после). Это помогает понять, с какими данными вы работаете по факту.
Согласие и уведомление Роскомнадзора: когда они нужны
Проверка сайта фиксирует обстоятельства сбора данных: есть ли согласие посетителя, когда стартуют трекеры, куда уходят запросы. Если данные сначала собираются как персональные (например, email в форме заявки), а потом обезличиваются, первоначальная обработка может подпадать под закон.
Если ваша аналитика или сторонний сервис может связать идентификатор с конкретным человеком, возникает риск, что данные персональные с самого начала. В этом случае проверка показывает, есть ли согласие и как оно оформлено.
Заключение фиксирует признаки нарушений: трекеры стартуют до согласия, данные уходят иностранным сервисам без согласия, отсутствует политика или текст согласия неполный. Вы получаете рекомендации, что исправить, и очерёдность исправлений.
Как проверить, обезличены ли данные по факту
Проверка сайта открывается с чистой сессии — глазами нового посетителя, до любого согласия. Фиксируются снимки экранов, запросы браузера, дословные цитаты из документов. Каждый факт связывается с нормой закона.
В заключении вы видите: какие данные собирает сайт, куда они уходят (российским или иностранным сервисам), когда стартуют трекеры, есть ли согласие и как оно оформлено. Это помогает понять, где возникают риски по 152-ФЗ.
Если фиксируется запрос к иностранному сервису до того, как посетитель дал согласие, это может создавать риск нарушения требований о трансграничной передаче. Если трекеры стартуют до согласия, возникает риск обработки без законного основания.
Что делать, если данные уходят за границу
Проверка сайта показывает, какие данные отправляются иностранным сервисам и в какой момент (до согласия посетителя или после). Если фиксируется запрос к иностранному сервису до согласия, это может создавать риск.
Если идентификатор, который уходит за границу, может быть связан с конкретным человеком (например, через аккаунт или рекламный кабинет), возникает риск нарушения требований о трансграничной передаче. Норма об уведомлении Роскомнадзора до начала трансграничной передачи остаётся в силе.
Заключение фиксирует обстоятельства, требующие дополнительной проверки: сетевые запросы к внешним сервисам, старт трекеров до согласия, отсутствие упоминания трансграничной передачи в политике. Вы получаете рекомендации, что исправить.
Проверьте свой сайт: обезличены ли данные по факту
- 01Какие идентификаторы собирает ваш сайт. Откройте инструменты разработчика браузера (F12), вкладку Network, обновите страницу. Посмотрите, какие параметры передаются в аналитику и сторонние сервисы: IP, cookie, User ID, client_id, deviceID. Запишите, что именно уходит.
- 02Можно ли связать идентификатор с конкретным человеком. Проверьте: есть ли у вас таблица соответствия идентификатора и email, телефона или имени; связан ли cookie с профилем пользователя в CRM или рекламном кабинете; использует ли аналитика авторизацию через аккаунт (Google, Яндекс). Если да — возникает риск, что данные персональные.
- 03Когда стартуют трекеры — до согласия или после. Откройте сайт в режиме инкогнито, не нажимая на cookie-баннер. Посмотрите во вкладке Network, отправляются ли запросы к Google Analytics, Яндекс Метрике, зарубежным рекламным пикселям. Если запросы идут до согласия — это риск.
- 04Куда уходят данные — в Россию или за границу. Проверьте домены в запросах во вкладке Network. Запишите, какие сервисы получают данные. Если данные уходят за границу и могут быть связаны с конкретным человеком, возникает риск нарушения требований о трансграничной передаче.
- 05Есть ли описание обезличивания в политике. Откройте политику обработки персональных данных на сайте. Проверьте, описано ли, как именно происходит обезличивание, что удаляется, кто имеет доступ. Если описания нет или оно формальное — это может создавать риск при проверке.
- 06Проверьте согласие на обработку данных. Если данные могут быть персональными (по результатам проверки выше), посмотрите текст согласия: указана ли цель обработки, перечислены ли сторонние сервисы. Если текста нет или он неполный — возникает риск нарушения.
- 07Запустите проверку сайта. Откройте сайт с чистой сессии, зафиксируйте, какие данные уходят в аналитику и сторонние сервисы, когда стартуют трекеры и куда отправляются запросы. Вы получите заключение с фактами, уровнем риска и рекомендациями, что исправить.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что считается обезличенными данными по 152-ФЗ?
Данные, которые не позволяют прямо или косвенно определить конкретного человека без дополнительной информации. Проверка сайта фиксирует, какие идентификаторы передаются сервисам и можно ли связать их с конкретным посетителем.
IP-адрес и cookie — это персональные данные?
Зависит от контекста. Если можно связать IP или cookie с конкретным человеком (через профиль, email, авторизацию), возникает риск, что данные персональные. Если связь невозможна и вы видите только агрегированную статистику — могут считаться обезличенными.
Нужно ли согласие для обработки обезличенных данных?
Проверка показывает, когда данные могут считаться персональными: если данные сначала собираются как персональные, а потом обезличиваются, на этапе сбора могут возникать обязательства, связанные с согласием.
Нужно ли уведомлять Роскомнадзор, если обрабатываю только обезличенные данные?
Проверка фиксирует, на каком этапе данные могут считаться персональными. Если сбор и обработка происходят до обезличивания, на этом этапе могут возникать обязательства, связанные с уведомлением.
Как доказать, что данные обезличены, если придёт проверка?
Заключение фиксирует фактические обстоятельства: какие данные уходят, куда они отправляются, когда стартуют трекеры. Это помогает подготовить описание технических мер для политики обработки персональных данных.
Можно ли передавать обезличенные данные за границу?
Проверка фиксирует запросы к иностранным сервисам и момент их старта. Если у сервиса есть способ связать идентификатор с конкретным человеком, это может создавать риск нарушения требований о трансграничной передаче.
Что проверяется в отношении обезличивания данных?
Фиксируется, какие данные (IP, cookie, идентификаторы) отправляются в аналитику и сторонние сервисы, куда они уходят и в какой момент — до согласия посетителя или после. Это помогает понять, с какими данными вы работаете по факту.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.