Почему сайты онлайн-займов особенно уязвимы перед 152-ФЗ
Микрофинансовые организации обрабатывают персональные данные в большом объёме: паспорта, адреса регистрации, телефоны, СНИЛС, данные о доходах и кредитной истории. Всё это — категории, требующие явного согласия и строгого соблюдения закона.
Сайт МФО работает как витрина и точка сбора заявок: форма заполняется за минуту, данные уходят на сервер, подключаются сервисы скоринга и проверки. На этом пути возникают риски: трекеры могут стартовать до согласия, данные — утечь через аналитику за границу, а политика конфиденциальности — не совпадать с реальными действиями сайта.
Несоответствие между документами и фактической обработкой данных, отсутствие уведомлений о трансграничной передаче или нарушения в согласиях — всё это создаёт риск санкций.
Куда уходят данные посетителей сайта онлайн-займов
До того как человек нажмёт «Отправить заявку», сайт уже может собирать данные о нём: IP-адрес, поведение на странице, источник перехода. Эти данные передаются системам аналитики — Google Analytics, Яндекс Метрика, зарубежные рекламные пиксели — и могут покидать Россию.
Если трекер запускается до того, как посетитель дал согласие на cookie, это создаёт риск нарушения требований о согласии. Если данные уходят за границу, а МФО не уведомила Роскомнадзор о трансграничной передаче — возникает риск санкций.
После заполнения формы данные попадают в CRM, сервисы скоринга, системы проверки кредитной истории и базы для принятия решения о выдаче займа. Если хотя бы один из этих сервисов работает на иностранных серверах или передаёт данные третьим лицам без упоминания в политике — это ещё один риск.
Что проверяет Роскомнадзор на сайте МФО
Регулятор смотрит на три вещи: есть ли на сайте политика обработки персональных данных, соответствует ли она реальным действиям сайта и получено ли согласие посетителя на обработку данных в той форме, которую требует закон.
Если в политике указано, что данные не передаются за границу, а аналитика Google получает IP-адреса — это несоответствие, которое может создать риск санкций.
Согласие на обработку должно быть явным, конкретным и информированным: человек должен понимать, какие данные он передаёт, кому и зачем.
Как проверить сайт онлайн-займов на соответствие персональным данным
Проверка начинается с чистой сессии: сайт открывается так, как его видит новый посетитель, без истории и cookie. Фиксируется, какие трекеры запускаются до появления баннера, какие запросы уходят к внешним сервисам и какие данные передаются.
Затем проверяется баннер управления cookie: есть ли кнопка отказа, можно ли настроить категории и что происходит, если посетитель отказывается от необязательных файлов. Снимки экрана подтверждают реальное поведение интерфейса.
После этого анализируются веб-формы: какие поля обязательны, есть ли согласие на обработку данных, как оно сформулировано. Проверяется политика конфиденциальности: какие данные заявлены, какие сервисы упомянуты, соответствует ли это реальным запросам браузера.
Dobrolex выполняет эту проверку автоматически: сайт осматривается с публичных страниц, фиксируются снимки экрана и сетевые запросы, каждый эпизод связывается с нормой закона. Результат — заключение в PDF с фактами и уровнем риска. План исправлений доступен в расширенном тарифе.
Что делать, если проверка выявила риски
Если отчёт показал, что трекеры стартуют до согласия — нужно настроить систему управления cookie так, чтобы аналитика запускалась только после явного разрешения посетителя.
Если данные уходят за границу, а уведомление в Роскомнадзор не подано — необходимо подать уведомление о трансграничной передаче или перенести обработку на российские серверы. Если сервис упомянут в отчёте, но не указан в политике — политику нужно дополнить.
Если согласие на обработку данных сформулировано неконкретно или отсутствует — текст согласия переписывается в соответствии с требованиями закона. План действий в расширенном тарифе содержит рекомендации для документов и кода.
Чек-лист проверки сайта онлайн-займов
- 01Политика конфиденциальности опубликована и доступна. Откройте главную страницу и страницу заявки на займ: ссылка на политику должна быть видна без прокрутки вниз. Документ должен открываться по прямой ссылке.
- 02Форма заявки содержит согласие на обработку персональных данных. Перед отправкой формы должна быть галочка или явное согласие с перечислением целей обработки, перечня данных и третьих лиц. Ссылка на политику не заменяет согласие.
- 03Cookie-баннер позволяет отказаться от необязательных файлов. При первом заходе на сайт должен появиться баннер с кнопками «Принять» и «Отклонить» или «Настроить». Проверьте, что после отказа аналитика не запускается.
- 04В политике перечислены все внешние сервисы. Откройте политику и найдите раздел о третьих лицах. Сравните с тем, какие сервисы аналитики, виджеты и системы скоринга вы используете. Все должны быть упомянуты.
- 05Уведомление Роскомнадзору подано, если вы обрабатываете данные. Проверьте внутренние документы: если МФО собирает персональные данные через сайт, уточните у юриста, требуется ли уведомление регулятора в вашем случае.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Частые вопросы
Нужно ли подавать уведомление в Роскомнадзор, если мы только собираем заявки через сайт?
Если вы собираете персональные данные заёмщиков (ФИО, паспорт, телефон), уточните у юриста, требуется ли уведомление регулятора в вашем случае. Это зависит от статуса организации и характера обработки.
Может ли Google Analytics работать на сайте онлайн-займов без нарушения 152-ФЗ?
Может, если вы получили согласие посетителя на cookie до запуска аналитики, указали Google в политике конфиденциальности и подали уведомление о трансграничной передаче данных, если IP-адреса уходят на серверы за пределами России.
Что будет, если политика конфиденциальности не совпадает с тем, что сайт делает на самом деле?
Роскомнадзор может квалифицировать это как обработку данных без законных оснований или несовместимо с заявленными целями. Это создаёт риск санкций.
Достаточно ли галочки «Я согласен с политикой конфиденциальности» в форме заявки?
Согласие должно быть конкретным и информированным: человек должен понимать, какие данные передаются, кому и зачем. Проверка покажет, соответствует ли текст согласия требованиям закона.
Как узнать, уходят ли данные за границу через трекеры на сайте?
Откройте инструменты разработчика в браузере (F12), перейдите на вкладку Network и обновите страницу. Посмотрите, к каким доменам идут запросы: если среди них google.com, домены иностранных соцсетей или другие иностранные сервисы — данные могут покидать Россию.
Может ли проверка Dobrolex заменить консультацию юриста по персональным данным?
Нет. Проверка фиксирует технические факты и правовые риски на публичных страницах сайта, но не проверяет серверную часть, внутренние процессы и не даёт юридических заключений. Для полного аудита и защиты в споре нужен юрист.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.