Почему онлайн-сервис — это всегда работа с персональными данными
Любой сервис с регистрацией, личным кабинетом или формой обратной связи собирает персональные данные. Email, телефон, история действий, IP-адрес — всё это подпадает под действие 152-ФЗ, если относится к конкретному человеку.
Проблема в том, что владелец сервиса часто не видит полной картины. На сайте может быть подключена аналитика, трекеры рекламных сетей, сторонние виджеты — каждый из них собирает данные и отправляет их внешним сервисам. Если эти сервисы расположены за рубежом, возникает вопрос трансграничной передачи.
Закон требует, чтобы обработка велась на законных основаниях, с согласия пользователя (когда это обязательно) и с уведомлением Роскомнадзора в определённых случаях. Если сценарий обработки не описан в политике или данные уходят без согласия — это создаёт правовой риск.
Что на практике проверяют у онлайн-сервиса
Первое — какие данные собираются и куда отправляются. Сервис может явно запрашивать email в форме регистрации, но параллельно браузер отправляет cookie и параметры сессии в Google Analytics, Яндекс Метрику, CDN или рекламные сети. Каждый запрос фиксируется: какой сервис, в какой стране, какие параметры передаются.
Второе — когда запускаются трекеры. Если аналитика стартует до того, как пользователь нажал «Принять» в cookie-баннере, данные уходят без согласия. Проверка открывает сайт с чистой сессии и фиксирует момент старта каждого скрипта.
Третье — согласие и политика конфиденциальности. Политика должна перечислять цели обработки, третьих лиц, сроки хранения. Согласие должно быть конкретным и добровольным. Если в политике написано «для улучшения сервиса», а в cookie уходят идентификаторы в рекламную сеть — это расхождение между документом и практикой.
Четвёртое — авторизация через соцсети и внешние сервисы. OAuth-авторизация передаёт данные пользователя иностранному сервису, если он за рубежом. Это может потребовать специального согласия и уведомления регулятора.
Как проверить онлайн-сервис и получить конкретный список рисков
Проверка Dobrolex открывает сайт так, как его видит новый посетитель — без авторизации, с чистой сессией, до любого согласия. Фиксируются все сетевые запросы браузера, снимки экрана, тексты политик и баннеров.
Каждый факт сопоставляется с нормами 152-ФЗ и 38-ФЗ. Если данные ушли иностранному сервису, указывается сервис, страна и правовая квалификация. Если трекер запустился раньше согласия — фиксируется момент старта и приоритет исправления.
Результат — заключение в PDF с эпизодами, их серьёзностью и рекомендациями. Сетевые запросы к внешним сервисам отмечаются как обстоятельства, требующие дополнительной проверки — это технический сигнал, а не готовое доказательство нарушения. Окончательную квалификацию даёт юрист с учётом деталей инфраструктуры.
Проверяются только публичные страницы — без входа в аккаунт и отправки форм. Если эпизодов не найдено, это значит: на осмотренных страницах признаков нарушений нет. Это не гарантия соответствия закону — закрытые разделы и серверная часть не проверяются.
- Сетевые запросы и внешние сервисы фиксируются с момента загрузки страницы
- Старт трекеров проверяется до и после клика на cookie-баннере
- Политика конфиденциальности сопоставляется с фактическим поведением сайта
- Каждый эпизод получает правовую квалификацию и рекомендацию, что исправить
Что делать, если проверка нашла риски
Если в отчёте указаны эпизоды — это не приговор, а план работы. Каждый эпизод содержит рекомендацию: что изменить в настройках трекеров, какие строки добавить в политику, как перестроить cookie-баннер.
Расширенный тариф включает план действий с готовыми решениями для кода, настроек и документов. Тариф с юристом даёт сопровождение правок и итоговую проверку — вы получаете документы под сайт и подтверждение, что риски сняты.
Если сервис передаёт данные за рубеж, может потребоваться уведомление Роскомнадзора и специальное согласие пользователя. Если политика не описывает все сценарии — её нужно дополнить. Если трекеры стартуют до согласия — настроить условный запуск через диспетчер тегов.
Чек-лист: проверьте онлайн-сервис самостоятельно
- 01Откройте сайт в режиме инкогнито и проверьте, запускаются ли трекеры до клика на «Принять». Откройте DevTools (F12), вкладка Network. Обновите страницу — если видите запросы к google-analytics.com, mc.yandex.ru или рекламным сетям до вашего согласия, данные уходят без разрешения.
- 02Проверьте, перечислены ли в политике конфиденциальности все внешние сервисы, которые получают данные. Посмотрите список запросов в DevTools и сопоставьте с текстом политики. Если в политике не упомянуты Google, Яндекс, CDN или другие сервисы — документ не покрывает фактическую обработку.
- 03Если у вас авторизация через соцсети — убедитесь, что в политике указана передача данных иностранному сервису. OAuth-авторизация передаёт данные пользователя сервису соцсети. Если сервис за рубежом (например, Google или иностранные соцсети), это трансграничная передача — должна быть упомянута в политике и может требовать уведомления.
- 04Проверьте, есть ли в cookie-баннере кнопка отказа и настройка категорий файлов. Согласие должно быть добровольным. Если баннер содержит только кнопку «Принять» или отказ спрятан в настройках — это может создать риск.
- 05Убедитесь, что в политике указаны реквизиты оператора персональных данных. Политика должна содержать наименование, ИНН, ОГРН или ОГРНИП, адрес и контакты. Если реквизиты отсутствуют или не совпадают с данными из ЕГРЮЛ — это нарушение требования к документу.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если онлайн-сервис собирает email и телефоны пользователей?
Обязанность уведомления зависит от конкретных обстоятельств обработки. Если данные передаются за рубеж, уведомление подаётся до начала передачи. В других случаях вопрос решается с юристом с учётом даты начала обработки, организационной формы и других деталей.
Можно ли использовать Google Analytics или Яндекс Метрику на сайте онлайн-сервиса?
Можно, но с условиями. Трекеры должны запускаться только после согласия пользователя. В политике конфиденциальности должна быть упомянута передача данных этим сервисам. Если данные уходят за рубеж и позволяют идентифицировать человека, может потребоваться уведомление Роскомнадзора.
Что будет, если политика конфиденциальности не описывает все сценарии обработки данных?
Это создаёт риск штрафа за обработку персональных данных без законных оснований или несовместимо с целями сбора. Расхождение между документом и практикой — частая претензия регулятора. Политику нужно актуализировать, чтобы она покрывала все подключённые сервисы и цели.
Авторизация через Google или ВКонтакте — это передача данных третьим лицам?
Да. OAuth-авторизация передаёт данные пользователя сервису соцсети. Если сервис за рубежом, это трансграничная передача. В политике должна быть упомянута эта передача, а в некоторых случаях требуется специальное согласие и уведомление регулятора.
Наш сервис на облачной инфраструктуре за рубежом — это нарушение требования хранить данные россиян в России?
Вопрос требует оценки юриста с учётом фактической архитектуры. Проверка не видит серверную часть, но если документы сайта не упоминают хранение данных в России — это фиксируется как обстоятельство, требующее уточнения.
Как понять, что трекеры запускаются до согласия пользователя?
Откройте сайт в режиме инкогнито, откройте DevTools (F12), вкладка Network. Обновите страницу — если до клика на «Принять» видите запросы к аналитике или рекламным сетям, трекеры стартовали без согласия. Проверка Dobrolex фиксирует это автоматически с указанием момента старта.
Что делать, если проверка нашла эпизоды с признаками нарушений?
Каждый эпизод в отчёте содержит рекомендацию: что исправить в настройках, коде или документах. Расширенный тариф даёт готовые решения. Тариф с юристом включает сопровождение правок и итоговую проверку — вы получаете подтверждение, что риски сняты.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.