Когда для обработки персональных данных нужно согласие посетителя
152-ФЗ разрешает обрабатывать персональные данные без согласия в строго определённых случаях: для исполнения договора с посетителем, для защиты жизни и здоровья, для выполнения обязанностей оператора по закону. Если ни одно из этих оснований не подходит — требуется письменное согласие субъекта персональных данных.
На практике это значит: аналитика, реклама, трекинг поведения посетителя обычно требуют согласия. Обработка данных для выполнения заказа (имя и адрес доставки, оплата) — нет, если это необходимо для исполнения договора. Проблема в том, что сайт может собирать данные в нескольких сценариях одновременно: форма регистрации работает для договора, но попутно отправляет email в рекламную систему — это уже другая цель, требующая согласия.
Согласие должно быть явным, информированным и добровольным. Посетитель должен понимать, какие данные собираются, для чего и кому передаются. Предзаполненный чекбокс, отсутствие кнопки отказа или невозможность отозвать согласие делают его недействительным в глазах регулятора.
Трекеры и аналитика: как проверить, запускаются ли они до согласия
Самый частый эпизод обработки без согласия — трекеры и cookie-файлы, которые стартуют автоматически при загрузке страницы, до того как посетитель увидел баннер или нажал кнопку. Скрипты аналитики, рекламные пиксели, виджеты соцсетей отправляют данные браузера (IP-адрес, идентификаторы устройства, историю переходов) на сторонние серверы — это обработка персональных данных.
Наличие cookie-баннера само по себе не защищает от риска. Важно, чтобы баннер появлялся до запуска трекеров, предлагал равнозначную кнопку отказа и настройку категорий файлов, а скрипты действительно ждали согласия. Если баннер показывается после загрузки страницы или трекеры уже отправили данные — согласие формальное, обработка началась без законного основания.
Проверить это вручную сложно: нужно открыть сайт с чистой сессии, зафиксировать сетевые запросы браузера до любых действий посетителя и сопоставить их с моментом появления баннера и получения согласия. Dobrolex выполняет такую проверку автоматически и показывает в отчёте снимки экрана, временные метки и список запросов, стартовавших до согласия.
Данные уходят за рубеж: иностранные сервисы и требование о локализации
152-ФЗ требует, чтобы персональные данные граждан России записывались и хранились на серверах в России. Трансграничная передача разрешена только в страны с адекватной защитой прав субъектов или при соблюдении дополнительных условий (согласие субъекта, уведомление Роскомнадзора). Многие популярные сервисы — Google Analytics, зарубежные рекламные пиксели, рекламные сети — размещены за рубежом и получают данные посетителей сайта.
Владелец сайта может не знать, что его трекеры отправляют данные на иностранные серверы: скрипты устанавливаются через теги, подключаются разработчиком или маркетологом, и никто не проверяет маршрут запросов. При этом каждый такой запрос с идентификаторами пользователя — это трансграничная передача, требующая согласия субъекта и уведомления регулятора.
Проверка сетевого обмена браузера показывает, какие домены получили данные посетителя, где физически размещены серверы и какие идентификаторы отправлены. Эти факты фиксируются в отчёте как обстоятельства, требующие дополнительной проверки: сетевой запрос — технический сигнал, окончательную квалификацию даёт юрист с учётом контекста обработки.
Обработка без согласия: веб-формы, чекбоксы и требования к согласию
Веб-формы на сайте — заявки, регистрация, подписки, онлайн-чат — собирают имена, телефоны, email и другие персональные данные. Для законной обработки каждая форма должна иметь чекбокс согласия, ссылку на политику обработки персональных данных и понятное описание целей сбора. Отсутствие чекбокса, предзаполненная галочка или формулировка «нажимая кнопку, вы соглашаетесь» без явного действия субъекта — признаки нарушения.
Согласие должно быть конкретным: посетитель понимает, кто обрабатывает его данные (реквизиты оператора), для каких целей (выполнение заказа, рассылка, аналитика) и кому они передаются (подрядчики, партнёры). Общая формулировка «на обработку персональных данных» без детализации целей делает согласие недействительным.
Dobrolex проверяет каждую форму на сайте: фиксирует поля ввода, наличие и текст чекбокса, ссылки на политику. Отчёт показывает, какие формы не соответствуют требованиям закона, и даёт рекомендацию, как исправить текст согласия и структуру формы.
Как проверить сайт и устранить риски до проверки Роскомнадзора
Проверка сайта по 152-ФЗ начинается с фиксации того, что сайт делает на самом деле: какие данные собирает, куда их отправляет и какие документы предъявляет посетителю. Сайт открывается с чистой сессии — без авторизации, без cookie, глазами нового посетителя. Записываются снимки экрана, тексты баннеров и форм, сетевые запросы браузера до и после согласия.
Каждый эпизод сопоставляется с нормами 152-ФЗ: есть ли законное основание для обработки, соответствует ли согласие требованиям закона, опубликована ли политика обработки персональных данных, соблюдается ли требование о локализации. Эпизоды с признаками нарушений получают правовую квалификацию, ссылку на статью закона и диапазон санкций.
Результат проверки — заключение в PDF с перечнем установленных обстоятельств, правовой квалификацией каждого эпизода и планом исправлений. Вы видите, что именно создаёт риск штрафа, как это доказано (снимки экрана, цитаты из документов) и что нужно исправить в первую очередь — от настройки cookie-баннера до переработки форм и политики.
Что проверить на сайте прямо сейчас
- 01Трекеры запускаются до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12 → вкладка Network) и обновите страницу. Если до появления cookie-баннера или нажатия кнопки согласия уже ушли запросы к Google Analytics, зарубежным рекламным пикселям, Яндекс.Метрике — обработка началась без согласия.
- 02Cookie-баннер не даёт отказаться. Проверьте, есть ли на баннере кнопка отказа, равнозначная кнопке согласия (не мелкая ссылка внизу). Проверьте, можно ли настроить категории файлов и отключить аналитику или рекламу отдельно.
- 03Формы собирают данные без чекбокса согласия. Найдите на сайте все формы (заявка, регистрация, подписка, чат). Убедитесь, что в каждой есть непредзаполненный чекбокс согласия на обработку персональных данных и ссылка на политику с конкретными целями обработки.
- 04Политика обработки не опубликована или устарела. Найдите на сайте политику обработки персональных данных (часто в футере). Проверьте, указаны ли в ней реквизиты оператора (ИНН, ОГРН, адрес), цели обработки, категории данных и права субъекта. Если политики нет — это самостоятельное нарушение.
- 05Данные уходят в иностранные сервисы. В инструментах разработчика (F12 → Network) посмотрите домены, на которые уходят запросы при загрузке страницы: google.com, doubleclick.net, google-analytics.com — это иностранные сервисы, передача данных в которые требует согласия и уведомления Роскомнадзора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли обрабатывать персональные данные посетителя сайта без его согласия?
Да, если обработка необходима для исполнения договора с посетителем, для защиты его жизни и здоровья или для выполнения обязанностей оператора по закону. В остальных случаях — аналитика, реклама, трекинг — требуется письменное согласие субъекта персональных данных.
Достаточно ли cookie-баннера, чтобы избежать штрафа за обработку без согласия?
Недостаточно, если трекеры запускаются до того, как посетитель увидел баннер и дал согласие. Баннер должен появляться до запуска скриптов, предлагать равнозначную кнопку отказа и настройку категорий файлов, а трекеры должны реально ждать согласия.
Как проверить, отправляет ли сайт данные посетителей в иностранные сервисы?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12 → вкладка Network) и обновите страницу. Запросы к доменам google.com, doubleclick.net и подобным — это передача данных на иностранные серверы, требующая согласия субъекта и уведомления Роскомнадзора.
Нужно ли согласие для сбора email и телефона через форму заявки на сайте?
Зависит от цели обработки. Если данные собираются для выполнения заказа (договор оказания услуг) — согласие не требуется. Если для рассылки, аналитики или передачи партнёрам — требуется явное согласие субъекта с описанием целей и получателей данных.
Что будет, если сайт обрабатывает персональные данные без согласия?
Это нарушение 152-ФЗ, которое может квалифицироваться по разным статьям КоАП в зависимости от обстоятельств: обработка без законных оснований, обработка без согласия, когда оно обязательно, или нарушение требования о локализации данных граждан РФ. Диапазон санкций — от десятков тысяч до миллионов рублей для юридических лиц.
Может ли Dobrolex гарантировать, что сайт полностью соответствует 152-ФЗ?
Нет. Проверка фиксирует эпизоды с признаками нарушений на публичных страницах сайта. Если эпизодов не найдено — это значит, что на осмотренных страницах признаков нарушений нет. Закрытые разделы, серверная часть и внутренние процессы обработки данных не проверяются, заключение не заменяет консультацию юриста.
Как быстро можно получить отчёт после проверки сайта?
Проверка выполняется автоматически, отчёт формируется сразу после завершения осмотра страниц — обычно это занимает несколько минут. Вы получаете заключение в PDF с перечнем установленных обстоятельств, правовой квалификацией и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.