Политика не соответствует тому, что сайт делает
Самая опасная ошибка — когда в политике написано одно, а сайт делает другое. Например, в документе сказано, что данные не передаются третьим лицам, но аналитика отправляет идентификаторы посетителей иностранным сервисам. Или политика обещает запрашивать согласие, а трекеры стартуют до любого взаимодействия с баннером.
Такое несоответствие может квалифицироваться как обработка персональных данных без законных оснований или несовместимо с заявленными целями. Регулятор сопоставляет документ с реальной работой сайта — и расхождение становится эпизодом.
Чтобы проверить, нужно зафиксировать, что происходит на сайте с чистой сессии: какие данные собирают формы, куда уходят сетевые запросы, когда стартуют трекеры. Затем сопоставить с заявлениями в политике.
В политике чужие реквизиты или устаревшие нормы
Политика, скопированная с другого сайта, часто содержит чужие ИНН, ОГРН или адреса. Иногда — ссылки на утратившие силу редакции закона или старые требования, которые уже не действуют.
Отсутствие реквизитов оператора или их несоответствие реальному владельцу сайта создаёт риск: непонятно, кто отвечает за обработку данных и куда обращаться субъекту. Устаревшие нормы показывают, что документ не обновлялся и может не учитывать текущие требования.
Проверка начинается со сверки: чьи реквизиты указаны в политике, совпадают ли они с данными в договоре оферты или футере сайта. Затем — актуальность ссылок на закон.
Не хватает обязательных сведений
Закон требует, чтобы политика раскрывала цели обработки, категории персональных данных, сроки хранения, способы защиты, права субъекта и порядок их реализации. Если какой-то из пунктов отсутствует или описан общими словами, документ не выполняет свою функцию.
Например, в политике написано «мы защищаем данные», но не указано, какими способами. Или перечислены права субъекта, но не сказано, куда обращаться за их реализацией. Такие пробелы — повод для замечаний регулятора.
Проверка сводится к чек-листу: есть ли все обязательные разделы, достаточно ли конкретны формулировки, понятно ли субъекту, что с его данными будут делать.
Трекеры стартуют до согласия, а политика этого не учитывает
Частая ситуация: на сайте есть cookie-баннер и политика, в которой сказано, что данные обрабатываются с согласия. Но если открыть сайт с чистой сессии и посмотреть сетевой обмен, видно: аналитика и трекеры запускаются до любого клика на баннере.
Это создаёт риск квалификации как обработка без письменного согласия или с нарушением требований к согласию. Политика в этом случае оказывается декларацией, не соответствующей фактам.
Проверить можно, открыв сайт в режиме инкогнито и зафиксировав, какие запросы уходят до взаимодействия с баннером. Если трекеры стартуют раньше — это эпизод, который нужно исправлять не только в коде, но и в документах.
Как проверить политику конфиденциальности на ошибки
Проверка начинается с фиксации фактов: что происходит на сайте с точки зрения нового посетителя. Это включает снимки экранов, сетевой обмен браузера, содержимое форм и баннеров, тексты политик и согласий.
Затем факты сопоставляются с текстом политики и требованиями закона. Если обнаружены расхождения — они выносятся в отчёт как эпизоды с признаками нарушений, с указанием серьёзности и очерёдности исправлений.
Проверка показывает не только ошибки в документе, но и технические обстоятельства, которые создают правовой риск: трекеры до согласия, данные уходят за рубеж, формы собирают персональные данные без оснований. Это позволяет исправить не только текст, но и работу сайта.
Как проверить политику конфиденциальности: чек-лист
- 01Реквизиты оператора. Проверьте, чьи ИНН, ОГРН и адрес указаны в политике — они должны совпадать с реальным владельцем сайта, а не быть скопированными с чужого ресурса.
- 02Соответствие реальной работе сайта. Откройте сайт в режиме инкогнито, посмотрите сетевой обмен: если трекеры стартуют до согласия или данные уходят за рубеж, а в политике об этом не сказано — это расхождение.
- 03Обязательные разделы. Убедитесь, что в политике есть цели обработки, категории данных, сроки хранения, способы защиты, права субъекта и порядок обращения.
- 04Актуальность норм. Проверьте ссылки на законы: если указаны старые редакции или утратившие силу нормы, документ нужно обновить.
- 05Связка с cookie-баннером. Если на сайте есть баннер, проверьте: даёт ли он возможность отказаться, настроить категории и соответствует ли тому, что написано в политике.
- 06Формы и согласия. Посмотрите, есть ли под веб-формами чекбоксы согласия, активны ли они по умолчанию, соответствует ли текст согласия политике конфиденциальности.
- 07Трансграничная передача. Если данные передаются иностранным сервисам (аналитика, авторизация), проверьте, раскрыто ли это в политике и уведомлён ли регулятор, если передача требует уведомления.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли скопировать политику конфиденциальности с другого сайта?
Технически можно, но опасно: останутся чужие реквизиты, цели обработки и способы, которые не соответствуют вашему сайту. Расхождение между политикой и реальной работой сайта создаёт риск квалификации как обработка без оснований.
Как понять, соответствует ли политика тому, что сайт делает на самом деле?
Откройте сайт с чистой сессии, посмотрите сетевой обмен: какие запросы уходят, когда стартуют трекеры, что собирают формы. Сопоставьте с текстом политики. Если там не сказано про иностранные сервисы или трекеры до согласия — это расхождение.
Нужно ли обновлять политику конфиденциальности, если закон изменился?
Да. Если в политике ссылки на старые редакции закона или не учтены новые требования (например, по трансграничной передаче), документ нужно обновить. Устаревшая политика — риск при проверке регулятора.
Что будет, если в политике чужие реквизиты?
Непонятно, кто отвечает за обработку данных, куда обращаться субъекту за реализацией прав. Это может квалифицироваться как отсутствие опубликованной политики или нарушение требований к её содержанию.
Достаточно ли просто опубликовать политику конфиденциальности?
Нет. Нужно, чтобы политика соответствовала тому, что сайт делает: если собираются данные через формы — должны быть согласия, если стартуют трекеры — баннер с возможностью отказа, если данные уходят за рубеж — это должно быть раскрыто и, возможно, потребует уведомления регулятора.
Как проверить ошибки в политике конфиденциальности автоматически?
Нужна проверка, которая фиксирует факты: что происходит на сайте, какие данные собираются, куда уходят запросы. Затем — сопоставление с политикой и нормами закона. Результат — отчёт с эпизодами, правовой квалификацией и рекомендациями.
Что делать, если трекеры стартуют до согласия, а в политике написано обратное?
Это расхождение между документом и фактами. Нужно либо исправить код (запускать трекеры после согласия), либо переписать политику (раскрыть, что данные обрабатываются с момента захода на сайт и указать законное основание). Первый путь безопаснее.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.