Почему нельзя проверить сайт «на глаз»
Большая часть обработки персональных данных происходит скрыто от владельца сайта. Cookie-файлы, аналитические скрипты и сторонние сервисы запускаются автоматически — иногда раньше, чем посетитель увидит баннер с запросом согласия. Визуально сайт выглядит в порядке, но технически данные уже ушли.
Политика конфиденциальности часто копируется с шаблона и не обновляется после добавления новых сервисов. В результате документ описывает одно, а сайт делает другое. Это создаёт риск по закону о персональных данных, даже если владелец об этом не знает.
Проверка «глазами посетителя» не даёт полной картины: нужно зафиксировать запросы браузера, сопоставить их с документами и понять, какие из эпизодов создают правовой риск, а какие — нет.
Что проверяется в первую очередь
Онлайн-проверка открывает сайт с чистой сессии — так, как его видит новый посетитель, который ещё не кликал на баннер и не давал согласия. Фиксируется момент старта каждого трекера, все сетевые запросы и содержимое cookie-файлов.
Одновременно проверяются документы сайта: политика конфиденциальности, пользовательское соглашение, тексты согласий на обработку данных. Отчёт сопоставляет, что написано в политике и что сайт делает на самом деле.
Особое внимание — иностранным сервисам. Если данные посетителя ушли за рубеж, это может потребовать уведомления Роскомнадзора и дополнительных мер. В отчёте перечислены все запросы к внешним доменам и указан уровень риска.
Как устроен отчёт и что с ним делать
Заключение в PDF содержит резюме с перечнем эпизодов, их серьёзностью и ориентировочным диапазоном санкций. Каждый эпизод подкреплён снимком экрана, временем фиксации и дословной цитатой из документа или кода.
В разделе правовой квалификации к каждому эпизоду привязана норма закона и рекомендация, что исправить. Если эпизод требует дополнительной проверки — например, сетевой запрос к внешнему сервису, — это указано отдельно.
Отчёт не заменяет консультацию юриста и не является обращением в Роскомнадзор. Это внутренний документ для владельца сайта: он показывает, где возникают риски, и даёт основу для разговора с разработчиком или юристом.
- Резюме с эпизодами и их серьёзностью
- Снимки экрана и временные метки
- Правовая квалификация по каждому эпизоду
- Рекомендации, что исправить в первую очередь
- Сведения об операторах персональных данных из документов сайта
Что делать, если нарушений не найдено
Если в отчёте написано, что эпизодов с признаками нарушений не выявлено, это значит: на осмотренных публичных страницах сайта риски не обнаружены. Это не гарантия соответствия закону, потому что проверка не охватывает закрытые разделы, личные кабинеты и серверную обработку данных.
Отчёт полезен и в этом случае: он фиксирует, что сайт на момент проверки работал корректно. Это может быть аргументом при разговоре с партнёрами, в ответе на жалобу посетителя или при подготовке к проверке регулятора.
Пределы онлайн-проверки
Проверяются только публичные страницы сайта — без входа в личный кабинет, без отправки форм и ввода данных. Если на сайте есть закрытые разделы или обработка данных происходит на сервере, эти эпизоды в отчёт не попадут.
Сетевые запросы фиксируются как технический сигнал, а не как установленный факт передачи данных. Правовая квалификация строится на совокупности обстоятельств: что записано в cookie, что указано в политике, какие сервисы получили запросы.
Заключение не заменяет аудит информационной безопасности и не проверяет, как данные хранятся на сервере. Это проверка правового риска, который виден на публичной части сайта.
Что проверить на своём сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли cookie-баннер сразу и можно ли отказаться от необязательных cookie, не закрывая сайт.
- 02Проверьте политику конфиденциальности. Убедитесь, что в ней перечислены все сервисы, которые вы используете: аналитика, чат, формы обратной связи, авторизация через соцсети.
- 03Посмотрите, есть ли реквизиты оператора. В политике или пользовательском соглашении должны быть указаны ИНН, ОГРН и контакты компании, которая обрабатывает персональные данные.
- 04Проверьте формы обратной связи. Рядом с формой или в её тексте должна быть ссылка на политику конфиденциальности и согласие на обработку данных.
- 05Уточните, куда уходят данные. Если на сайте стоит Google Analytics, зарубежные рекламные пиксели или другие иностранные сервисы, данные посетителей могут передаваться за рубеж — это требует уведомления Роскомнадзора.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Онлайн проверка сайта на персональные данные — это платная услуга?
Да, проверка платная. Базовый тариф включает заключение в PDF с фактами и правовой квалификацией. Есть тарифы с планом действий и сопровождением юриста.
Что будет, если проверка выявит нарушения?
Отчёт — это внутренний документ для владельца сайта. Он не передаётся в Роскомнадзор и не влечёт штрафов. Вы получаете список рисков и рекомендации, что исправить.
Можно ли проверить сайт с личным кабинетом?
Онлайн-проверка охватывает только публичные страницы. Закрытые разделы, формы после авторизации и серверная обработка данных не проверяются.
Как долго действует отчёт?
Отчёт фиксирует состояние сайта на момент проверки. Если вы изменили код, добавили новые сервисы или обновили политику, стоит провести повторную проверку.
Нужно ли уведомлять Роскомнадзор, если данные уходят в Google Analytics?
Если данные граждан РФ передаются за рубеж, уведомление Роскомнадзора требуется в большинстве случаев. Отчёт покажет, какие запросы ушли к иностранным сервисам, — это основа для консультации с юристом.
Что значит «эпизодов не выявлено» в отчёте?
Это значит, что на проверенных публичных страницах признаков нарушений не обнаружено. Это не гарантия полного соответствия закону, потому что проверка не охватывает закрытые разделы и серверную часть.
Можно ли использовать отчёт в ответе на жалобу посетителя?
Отчёт содержит факты и снимки экрана, которые показывают, что сайт делал на момент проверки. Это может быть аргументом в разговоре с посетителем или регулятором, но заключение не заменяет юридическую консультацию.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.