Кто оператор персональных данных на онлайн-площадке
Онлайн-площадка собирает данные в нескольких точках: регистрация покупателя и продавца, оформление заказа, поиск, личный кабинет, отзывы. Закон требует, чтобы каждый, кто определяет цели и содержание обработки, был указан как оператор — с ИНН, ОГРН и контактами.
На практике платформа может выступать единственным оператором (собирает данные, передаёт продавцу только номер заказа) или совместным оператором с продавцами (каждая сторона обрабатывает данные в своих целях). Если роли не раскрыты в политике или оферте, это создаёт риск: пользователь не понимает, кому даёт согласие, а регулятор квалифицирует это как обработку без законных оснований.
Проверка фиксирует, какие данные собирает сам сайт площадки на публичных страницах и какие документы описывают роли операторов. В отчёте указываются сведения об операторах из политик — ИНН, ОГРН, адрес, — и эпизоды, где роли противоречат фактической обработке.
Трекеры и аналитика: когда запуск до согласия — нарушение
Многие площадки используют аналитику, рекламные пиксели и системы A/B-тестирования. Закон требует согласия до начала обработки персональных данных — в том числе идентификаторов браузера и поведения. Если трекер стартует раньше, чем посетитель кликнул «Принять» на cookie-баннере, или если баннер не даёт равнозначного отказа, это может квалифицироваться как нарушение требований к согласию.
Проверка открывает сайт с чистой сессии — как новый посетитель, без истории и согласий. Фиксируются все сетевые запросы с точным временем: какие домены получили данные, какие cookie установлены, когда запустились скрипты аналитики. Если запросы к внешним сервисам идут до действия пользователя, это попадает в отчёт как эпизод с признаками нарушения.
В отчёте приводятся снимки экрана cookie-баннера, дословные цитаты из политики и таблица сетевых запросов. Каждый эпизод связывается с нормой закона и получает рекомендацию — например, перенести инициализацию трекеров в обработчик согласия или добавить равнозначный отказ.
Передача данных продавцам и внешним сервисам
Площадка передаёт данные покупателя продавцу для исполнения заказа, платёжной системе для расчёта, службе доставки для отправки, CRM для поддержки. Каждая передача должна быть названа в политике с указанием цели и получателя. Если данные уходят за рубеж (например, на серверы платёжного провайдера или облачного хостинга), в ряде случаев может требоваться уведомление Роскомнадзора до начала трансграничной передачи.
Проверка фиксирует, куда уходят сетевые запросы с публичных страниц площадки и какие сторонние сервисы упомянуты в политике конфиденциальности. Если обнаружены запросы к иностранным доменам, это отражается в отчёте как обстоятельство, требующее дополнительной проверки — технический сигнал, а не готовый вывод о нарушении.
Окончательная квалификация зависит от того, передаются ли именно персональные данные, а не обезличенная аналитика, и от того, описана ли эта передача в документах сайта. Отчёт даёт рекомендацию дополнить политику или проверить договоры с провайдерами.
Как проверить площадку на соответствие закону
Dobrolex открывает сайт площадки как новый посетитель — без входа в аккаунт, без заполнения форм, без истории. Фиксируются снимки экрана, тексты баннеров и политик, все сетевые запросы браузера с временем и адресатом. Проверяются публичные страницы: главная, каталог, карточка товара или услуги, форма регистрации, если она доступна без отправки данных.
Результат — заключение в PDF. В резюме указаны эпизоды с признаками нарушений, их серьёзность и ориентировочный диапазон санкций. Каждый эпизод описан с точным временем фиксации, снимком экрана и правовой квалификацией — какая норма закона может быть нарушена и что исправить.
Если эпизодов не найдено, отчёт это подтверждает: на осмотренных публичных страницах признаков нарушений нет. Это не гарантия полного соответствия — закрытые разделы, личные кабинеты и серверная часть не проверяются, — но даёт уверенность, что видимая часть площадки в порядке.
- Сайт открывается с чистой сессии — до любого согласия и действия пользователя
- Фиксируются снимки экрана, цитаты из политик и все сетевые запросы с точным временем
- Каждый эпизод связывается с нормой закона и получает оценку серьёзности
- Сетевые запросы к внешним сервисам — технический сигнал для дополнительной проверки, а не готовый вывод
- Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор
Проверьте площадку прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, показывается ли cookie-баннер, есть ли кнопка отказа, можно ли настроить категории. Проверьте, запускаются ли счётчики аналитики до клика на «Принять» — откройте консоль браузера (F12) и посмотрите вкладку Network.
- 02Найдите политику конфиденциальности. Убедитесь, что в ней указаны ИНН и ОГРН оператора, описаны цели обработки данных покупателей и продавцов, названы сторонние сервисы (платёжные системы, доставка, аналитика), указано, передаются ли данные за рубеж.
- 03Проверьте формы регистрации и оформления заказа. Есть ли чекбокс согласия на обработку персональных данных, ведёт ли ссылка на актуальную политику, понятно ли, кто будет обрабатывать данные — площадка, продавец или оба.
- 04Посмотрите, какие данные собираются на публичных страницах. Каталог, карточки товаров, поиск — работают ли на этих страницах трекеры, устанавливаются ли cookie, отправляются ли запросы к внешним сервисам. Это можно увидеть в консоли браузера.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Кто оператор на онлайн-площадке — платформа или продавцы?
Зависит от того, кто определяет цели и содержание обработки. Если площадка собирает данные для своих целей (регистрация, аналитика, поддержка), она оператор. Если продавец получает данные для исполнения заказа и обрабатывает их самостоятельно, он тоже оператор. Обе роли должны быть раскрыты в документах.
Как понять, что трекеры запускаются до согласия?
Откройте сайт в режиме инкогнито, откройте консоль браузера (F12, вкладка Network) и обновите страницу. Если видите запросы к доменам аналитики или рекламных систем до клика на cookie-баннере, трекеры запустились раньше согласия.
Что делать, если облачный хостинг или CDN находятся за рубежом?
Проверка фиксирует запросы к иностранным доменам как обстоятельство, требующее дополнительной проверки. Окончательный вывод о нарушении требования локализации зависит от серверной инфраструктуры и контрактов с провайдерами — это выходит за пределы проверки публичных страниц.
Можно ли использовать отчёт Dobrolex как доказательство соответствия закону?
Нет. Заключение фиксирует признаки нарушений на публичных страницах, но не проверяет закрытые разделы, серверную часть и внутренние процессы. Это инструмент для выявления рисков и исправления до проверки регулятора, а не доказательство соответствия.
Сколько времени на исправление, если проверка нашла нарушения?
Если проверку провели вы сами, срок исправления определяете вы. Проверка Dobrolex проходит до обращения регулятора и даёт время исправить риски до возможного штрафа.
Нужно ли уведомлять Роскомнадзор о трансграничной передаче данных?
В ряде случаев закон может требовать уведомления Роскомнадзора до начала трансграничной передачи персональных данных граждан РФ. Проверка фиксирует запросы к иностранным доменам и отражает этот риск в правовой квалификации, если такие запросы обнаружены.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.