Кто считается оператором персональных данных на сайте
Оператор — это тот, кто определяет цели и средства обработки персональных данных. Если ваш сайт собирает имена, телефоны, email или IP-адреса для своих задач — принимает заявки, регистрирует пользователей, анализирует трафик — вы и есть оператор.
Хостинг-провайдер, сервисы аналитики, CRM и email-рассылки действуют по вашему поручению и считаются обработчиками. Они обрабатывают данные по вашему заданию, но ответственность перед Роскомнадзором лежит на вас.
В политике конфиденциальности и документах сайта должны быть указаны сведения об операторе: наименование организации или ФИО индивидуального предпринимателя, ИНН, ОГРН, адрес и контакты. Проверка извлекает эти сведения из документов сайта и фиксирует их в отчёте.
Основные обязанности оператора по 152-ФЗ
Политика обработки персональных данных должна быть опубликована на сайте и содержать цели, сроки, перечень обрабатываемых данных, сведения об операторе и правах субъекта. Отсутствие политики или её неполнота создают риск санкций.
Согласие на обработку требуется, когда вы собираете данные для целей, не связанных напрямую с исполнением договора. Согласие должно быть конкретным: указаны цели, способы обработки, возможность отозвать. Если данные передаются третьим лицам или за рубеж, это тоже должно быть упомянуто.
Территориальное требование: запись и систематизация персональных данных граждан РФ должны происходить в базах данных на территории России. Трансграничная передача персональных данных требует уведомления Роскомнадзора.
Закон предусматривает требования к уведомлению Роскомнадзора о намерении обрабатывать персональные данные. Отсутствие уведомления или нарушение порядка его подачи создают риск санкций.
Что происходит на сайте: трекеры, формы и передача данных
Сайт собирает персональные данные не только через видимые формы. Счётчики аналитики, рекламные пиксели, кнопки социальных сетей и виджеты чатов отправляют запросы к внешним сервисам, передавая IP-адрес, идентификаторы устройства и поведение посетителя.
Проблема в том, что многие из этих скриптов запускаются автоматически — до того, как посетитель увидел баннер или дал согласие. Если трекер стартовал до согласия и отправил данные на иностранный сервер, это может квалифицироваться как обработка без законных оснований.
Проверка открывает сайт с чистой сессии и фиксирует, какие запросы происходят до взаимодействия с баннером или формой. Каждый запрос к внешнему домену записывается с указанием времени, что позволяет увидеть реальную картину сбора данных.
Как проверить, выполняет ли сайт обязанности оператора
Проверка начинается с документов: есть ли политика конфиденциальности, опубликованы ли сведения об операторе, содержат ли согласия конкретные формулировки. Затем — поведение сайта: запускаются ли трекеры до согласия, куда уходят данные из форм, позволяет ли баннер равнозначно отказаться.
Комплексная проверка фиксирует снимки страниц, извлекает тексты политик и согласий, записывает сетевые запросы. Каждый установленный факт связывается с нормой закона, получает оценку серьёзности и рекомендацию.
Отчёт показывает эпизоды с признаками нарушений, обстоятельства, требующие дополнительной проверки, и сведения об операторе. Если признаков нарушений на публичных страницах не найдено, отчёт это подтверждает — при этом закрытые разделы, серверная часть и внутренние процессы не проверяются.
Что исправить, чтобы снизить риск санкций
Первое — убедиться, что политика опубликована, содержит все обязательные элементы и соответствует тому, что сайт делает на практике. Если данные передаются сторонним сервисам или за рубеж, это должно быть прямо указано.
Второе — настроить cookie-баннер так, чтобы трекеры не запускались до согласия. Кнопка отказа должна быть равнозначна согласию, а настройка категорий — доступна до начала обработки.
Третье — проверить формы: есть ли чекбокс согласия, содержит ли он ссылку на политику и конкретные цели обработки. Если форма передаёт данные на сторонний сервис (CRM, email-платформа), это тоже должно быть отражено в согласии.
Четвёртое — разобраться, требуется ли в вашем случае уведомление Роскомнадзора. Закон предусматривает санкции за отсутствие уведомления или нарушение порядка его подачи, поэтому этот вопрос лучше прояснить с юристом или через проверку.
Проверьте сайт: обязанности оператора персональных данных
- 01Политика конфиденциальности опубликована. На сайте есть ссылка на политику, в ней указаны сведения об операторе (ИНН, ОГРН, адрес), цели и сроки обработки, перечень данных и права субъекта.
- 02Трекеры не запускаются до согласия. Откройте сайт в режиме инкогнито и проверьте, не начинают ли счётчики аналитики работать до того, как вы нажали «Принять» на баннере.
- 03Формы содержат чекбокс согласия. Перед отправкой заявки или регистрацией посетитель видит чекбокс с конкретными целями обработки и ссылку на политику.
- 04Cookie-баннер позволяет отказаться. Кнопка отказа видна сразу, равнозначна согласию и не скрыта в настройках. Есть возможность выбрать категории до запуска скриптов.
- 05Политика соответствует практике. Если сайт передаёт данные Google, Яндексу, CRM или другим сервисам, это прямо указано в политике и согласии.
- 06Прояснён вопрос уведомления Роскомнадзора. Разберитесь, требуется ли в вашем случае уведомление регулятора. Закон предусматривает санкции за его отсутствие или нарушение порядка подачи.
Что говорит закон
ч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Кто считается оператором персональных данных на сайте?
Оператор — тот, кто определяет цели и средства обработки. Если сайт собирает данные для ваших задач (заявки, регистрация, аналитика), оператор — владелец сайта. Хостинг и сервисы аналитики — обработчики по вашему поручению.
Нужно ли уведомлять Роскомнадзор, если на сайте только форма обратной связи?
Если форма собирает персональные данные (ФИО, телефон, email), вы, скорее всего, выступаете оператором. Вопрос уведомления зависит от конкретной ситуации и исключений, предусмотренных законом. Лучше прояснить это с юристом или через проверку.
Считаюсь ли я оператором, если данные собирает Google Analytics?
Да. Вы определили цель (аналитика) и выбрали средство (счётчик), поэтому остаётесь оператором. Google действует как обработчик по вашему поручению. Вы обязаны получить согласие и указать передачу данных в политике.
Что должно быть в политике конфиденциальности?
Сведения об операторе (ИНН, ОГРН, адрес, контакты), цели и сроки обработки, перечень обрабатываемых данных, права субъекта и способы их реализации. Если данные передаются третьим лицам или за рубеж, это тоже нужно указать.
Как проверить, не запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито, не взаимодействуйте с баннером и посмотрите в инструментах разработчика (вкладка Network), какие запросы уходят. Автоматическая проверка делает это и фиксирует результат в отчёте.
Что будет, если политика не опубликована или оформлена неправильно?
Отсутствие политики создаёт риск санкций по КоАП РФ. Неполная или противоречивая политика создаёт риск за обработку без законных оснований или нарушение требований к согласию.
Заключение заменяет консультацию юриста?
Нет. Заключение фиксирует публичные факты и указывает на риски, но не заменяет юридическую консультацию и не является обращением в Роскомнадзор. Для принятия решений в сложных ситуациях нужен юрист.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.