Кто такой обработчик персональных данных и нужен ли договор
Обработчик действует по поручению оператора, тогда как оператор определяет цели и состав обработки. Например, сервис аналитики, рассылки, хостинга или авторизации может получать данные в рамках отдельного сценария, но его роль нельзя определить только по названию или наличию виджета.
Сначала установите оператора: проверьте наименование, реквизиты и контакты в политике, согласиях и оферте. Затем сопоставьте эти сведения с тем, какие сервисы подключены к сайту и какие данные они потенциально получают.
Проверьте договорные основания и сопоставьте их с фактической схемой обработки. Если сайт передаёт больше данных, использует другую цель или подключает сервис, не отражённый в документах, одного формального договора недостаточно для вывода о корректности процесса.
- оператор указан в политике и согласиях
- цели обработки совпадают с действиями формы
- внешние сервисы сопоставлены с документами
- условия обработки по поручению отражены в договоре
Обработчик персональных данных: как проверить сайт на практике
Проверка начинается с чистой сессии — так сайт видит новый посетитель до любых действий с баннером. В этот момент можно заметить запуск аналитики, установку cookie, загрузку внешних скриптов и запросы к сторонним сервисам.
Далее нужно сопоставить техническую картину с интерфейсом. Если форма обещает одну цель, а подключённый сервис получает сведения в другом сценарии, это повод разбирать правовое основание, роль сервиса и содержание договорных условий.
Сетевой обмен браузера фиксируется как технический сигнал, а не как доказательство сам по себе. Для вывода нужны контекст, документы и понимание того, какие именно данные и при каких действиях посетителя передаются.
- открыть сайт без предварительного согласия
- зафиксировать запросы и время их появления
- проверить форму, баннер и документы
- отдельно отметить признаки для дополнительной проверки
Что проверить в cookie, формах и согласиях
У cookie-баннера должны быть не только заметная кнопка принятия, но и понятный способ отказаться от необязательных категорий или настроить их. Отдельно проверьте, не стартуют ли аналитика и связанные файлы до выбора посетителя.
В каждой форме сопоставьте поля, цель сбора и текст согласия. Важно увидеть, кто является оператором, какие действия последуют после отправки и не объединены ли разные цели в одно расплывчатое разрешение.
Политика обработки, согласия, оферта и реквизиты должны описывать одну и ту же схему. Несовпадение документов не доказывает нарушение автоматически, но создаёт риск и требует проверки фактического процесса.
- равнозначный отказ от необязательных cookie
- настройка категорий до согласия
- понятная связь формы и согласия
- отсутствие противоречий в целях
Как исправлять риски и не переоценить результат проверки
Начните с фактов: сохраните состояние страницы, тексты документов, настройки баннера и сведения о внешних запросах. После этого разделите вопросы на те, которые можно исправить в коде и интерфейсе, и те, где нужно уточнить договорные или организационные основания.
Если обнаружены признаки риска, исправления могут включать настройку запуска трекеров, пересмотр формулировок согласий, актуализацию политики и проверку отношений с внешними сервисами. Конкретное решение зависит от фактической схемы обработки и документов оператора.
Публичный отчёт не заменяет консультацию юриста и не является обращением в регулятор. Если на осмотренных страницах эпизоды не найдены, это означает только отсутствие признаков на доступной части сайта; закрытые разделы, серверная часть и внутренние процессы остаются за пределами проверки.
- снимки экрана с моментом фиксации
- дословные цитаты из документов
- релевантные обстоятельства и технические сигналы в пределах осмотра
- отдельные оговорки о границах осмотра
Что проверить на сайте самостоятельно
- 01Сверьте оператора. Проверьте, кто указан оператором персональных данных в политике и согласиях: совпадают ли наименование, контакты и реквизиты.
- 02Проверьте трекеры. Откройте сайт в чистой сессии и посмотрите, запускаются ли аналитика и cookie-файлы до выбора посетителя.
- 03Разберите формы. Сопоставьте каждую веб-форму с текстом согласия: понятны ли цель, состав данных и действия после отправки.
- 04Оцените баннер. Проверьте, есть ли у cookie-баннера равнозначный отказ и возможность настроить категории, а не только принять всё.
- 05Найдите внешние сервисы. Посмотрите, не используются ли иностранные сервисы для аналитики, авторизации или иных запросов с данными посетителя.
- 06Сверьте документы. Сопоставьте политику, согласия, оферту и реквизиты: нет ли противоречий в целях обработки и составе данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Кто такой обработчик персональных данных и нужен ли договор?
Обработчик действует по поручению оператора, а оператор определяет цели и состав обработки. По одному наличию сервиса на сайте нельзя сделать вывод о роли без анализа договора, настроек и фактических потоков данных.
Когда нужен договор с обработчиком персональных данных?
Необходимость договора зависит от роли сервиса и фактической схемы обработки. Для проверки сопоставьте документы, настройки сайта и данные, которые получают внешние сервисы.
Как проверить обработчика персональных данных на сайте?
Проверьте, кто указан оператором в документах, какие данные и цели заявлены, какие сервисы получают сведения и что происходит до согласия посетителя. Публичный осмотр не показывает серверную часть и внутренние процессы.
Опасна ли передача данных иностранному сервису?
Запросы к иностранному сервису — технический сигнал для дополнительной проверки, а не готовый вывод о нарушении. Важно установить состав передаваемых данных, роль сервиса и правовое основание обработки.
Достаточно ли разместить договор с обработчиком?
Текст договора сам по себе не подтверждает, что сайт работает по нему. Нужно сопоставить договорные основания с фактическими запросами, формами, cookie и настройками сайта.
Можно ли по сайту понять, что требования 152-ФЗ соблюдены?
Это зависит от фактической обработки и документов. Публичная проверка может выявить признаки риска, но не оценивает закрытые разделы, серверную часть и внутренние процессы.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.