Почему одной политики недостаточно: что происходит на сайте на самом деле
Политика описывает намерения оператора, но не показывает, какие запросы браузер отправляет при первом открытии страницы. Метрика, виджеты, шрифты, авторизация и другие внешние компоненты могут подключаться до того, как посетитель выберет настройки согласия.
Для анализа обработки ПДН SaaS важно разделить установленное обстоятельство и предположение. Видимый внешний запрос фиксируется как технический сигнал, а правовой вывод делают с учётом содержания данных, цели обработки, документов и фактического сценария.
- Внешние аналитические и рекламные запросы при первом открытии страницы
- Авторизация или виджеты через иностранные сервисы
- Фактический запуск cookie до выбора посетителя
- Формы, политика и согласия, не совпадающие со сценарием сбора
Как выглядит проверка обработки ПДН SaaS на практике
Проверка начинается с поведения нового посетителя: сайт открывается без входа в аккаунт, отправки форм и ввода данных. Фиксируется, что появляется на странице, какие элементы загружаются и какие внешние сервисы получают сетевые запросы.
Одновременно собираются снимки экрана и цитаты из политики, согласий, оферты и реквизитов оператора. Так можно сравнить обещанное посетителю с фактическим интерфейсом и подключёнными сценариями, не выдавая ограниченный осмотр за полную проверку системы.
- Открытие сайта с чистой сессии до любого согласия
- Снимки экрана баннера, форм и документов
- Дословные цитаты политики и согласий
- Фиксация времени и сетевых запросов
Что проверить в cookie, метрике и формах
У cookie-баннера проверяют не только наличие кнопки принятия, но и равнозначный отказ и настройку категорий. Затем смотрят, меняется ли поведение страницы после выбора и не стартовали ли аналитические инструменты раньше.
В формах важно сопоставить поля, цель сбора и текст согласия. Отдельно проверяются внешняя авторизация и сценарии, при которых данные могут уходить иностранному сервису; сам факт подключения не заменяет анализа конкретной передачи и правового основания.
- Работает ли отказ наравне с принятием
- Можно ли выбрать категории cookie
- Запускается ли аналитика до выбора
- Связаны ли формы с понятным согласием
Какой результат даст проверка и что исправлять первым
Заключение в PDF содержит резюме эпизодов с признаками нарушений, их серьёзность, установленные обстоятельства со снимками и временем фиксации, а также правовую квалификацию и рекомендации. В нём отдельно отмечаются обстоятельства, требующие дополнительной проверки, например сетевые запросы к внешним сервисам.
В отчёте нет уровней приоритета «высокий», «средний» и «низкий»: для эпизода указывается серьёзность, а план действий задаёт очерёдность исправлений. Если признаков нарушений на осмотренных публичных страницах не найдено, это не подтверждает соответствие закрытых разделов, серверной части и внутренних процессов.
- Сведения об операторе и его контакты
- Политика обработки персональных данных
- Согласия и тексты cookie-баннера
- Результаты фиксации сетевого обмена
- Серьёзность эпизода и очерёдность исправлений
Что проверить на сайте самостоятельно
- 01Проверьте старт трекеров. Откройте сайт в чистой сессии и проверьте, запускаются ли аналитика и cookie-файлы до любого выбора.
- 02Проверьте внешние сервисы. Посмотрите, какие внешние домены получают сетевые запросы при первом открытии страницы и после действий с баннером.
- 03Проверьте баннер. Оцените cookie-баннер: можно ли отказаться на равнозначном уровне и настроить категории, а не только принять всё.
- 04Проверьте формы. Найдите на сайте формы, проверьте состав собираемых данных и связь отправки с текстом согласия.
- 05Сверьте документы. Сопоставьте политику, согласия, оферту и реквизиты оператора с фактическими сценариями сайта.
- 06Проверьте авторизацию. Отдельно зафиксируйте авторизацию через иностранные сервисы и передачу данных во внешние системы.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что означает обработка ПДН SaaS на практике?
Публичные страницы можно осмотреть без входа в аккаунт, отправки форм и ввода данных. Поэтому выводы относятся к доступным сценариям, а закрытые разделы, серверная часть и внутренние процессы остаются за пределами проверки.
Всегда ли иностранный сервис означает нарушение?
Нет. Сетевой обмен браузера фиксируется как технический сигнал для дополнительной проверки, а не как самостоятельное доказательство нарушения. Окончательная оценка зависит от обстоятельств обработки и документов.
Как проверить, что трекеры запускаются до согласия?
Риск возникает, если аналитика или cookie-файлы реально стартуют до выбора посетителя, даже когда баннер формально опубликован. Нужно сопоставить момент запуска, категории данных и содержание согласия.
Каким должен быть cookie-баннер?
У посетителя должна быть понятная возможность отказаться на равнозначном уровне и выбрать категории, если сайт использует соответствующий баннер. Проверять нужно не только видимый текст, но и фактическое поведение страницы.
Проверяет ли аудит отправку данных из форм?
Проверяются публичные формы, состав данных и документы, которые видит посетитель. Отчёт не подтверждает работу серверной части и не заменяет проверку внутренних процессов.
Что входит в заключение по сайту?
Сайт открывается как для нового посетителя, фиксируются снимки экрана, цитаты документов и обстоятельства сетевого обмена. Каждый установленный факт связывается с нормой закона и рекомендацией по исправлению.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.