Какие основания обработки существуют и когда они применяются
152-ФЗ называет шесть законных оснований для обработки персональных данных: согласие субъекта, исполнение договора, соблюдение законодательства, защита жизни и здоровья, осуществление прав и законных интересов оператора или третьих лиц, исполнение полномочий оператора. Для большинства коммерческих сайтов актуальны первые три.
Согласие субъекта требуется, когда обработка не обязательна и не вытекает из договора: подписка на рассылку, участие в опросе, передача данных третьим лицам для маркетинга. Исполнение договора подходит для оформления заказа, доставки товара, обработки платежа — когда без этих данных услугу оказать невозможно. Законный интерес оператора применяется для аналитики, защиты от мошенничества, улучшения сервиса — но только если это не нарушает права пользователя и он уведомлён.
Проблема в том, что на практике сайт может собирать данные сразу по нескольким основаниям: форма заказа — по договору, аналитика — по законному интересу, рассылка — по согласию. Если в политике конфиденциальности указано одно основание, а реально применяется другое, это создаёт риск.
Что происходит на сайте: формы, трекеры и передача данных
Типичный бизнес-сайт собирает данные посетителя в нескольких точках. Веб-формы запрашивают имя, телефон, email для обратной связи или оформления услуги. Счётчики аналитики фиксируют IP-адрес, действия пользователя, устройство и местоположение. Cookie-файлы запоминают сессию, настройки, историю взаимодействия с сайтом.
Часто трекеры запускаются сразу при открытии страницы, до того как посетитель принял cookie-баннер. Это значит, что данные начинают обрабатываться без согласия. Если эти данные считаются персональными, а законное основание не применимо, возникает риск нарушения. Аналогично с передачей данных: если аналитика настроена на серверы за рубежом, это может квалифицироваться как трансграничная передача — со всеми требованиями закона.
Ещё одна типичная ситуация: в политике конфиденциальности написано, что данные обрабатываются на основании согласия, но на сайте нет явной галочки или кнопки для его получения. Или наоборот: форма содержит согласие на обработку, но в политике указано основание «исполнение договора». Такое несоответствие между документами и реальным поведением сайта может стать основанием для претензий.
Как проверить основания обработки на своём сайте
Проверка начинается с осмотра сайта глазами нового посетителя: открыть страницу с чистой сессии, без авторизации и согласий. Зафиксировать, какие трекеры стартуют до любого действия пользователя, какие данные запрашивают формы, куда уходят сетевые запросы. Это можно сделать вручную через инструменты разработчика браузера или автоматически — через сервисы проверки.
Следующий шаг — сопоставить факты с документами: политикой конфиденциальности, текстом согласия, офертой. Проверить, указаны ли все случаи обработки, соответствуют ли заявленные основания реальным действиям сайта, есть ли механизм получения согласия там, где оно обязательно. Если данные передаются за рубеж, убедиться, что это отражено в политике и подано уведомление в Роскомнадзор — для трансграничной передачи уведомление обязательно.
Dobrolex автоматизирует эту проверку: открывает сайт с чистой сессии, фиксирует снимки экрана, сетевые запросы, тексты документов. В отчёте — перечень эпизодов с признаками нарушений, правовая квалификация по каждому случаю со ссылкой на норму закона, рекомендации, что исправить. Установленные обстоятельства фиксируются снимками экрана с временем.
Что исправить, чтобы основания соответствовали закону
Если трекеры запускаются до согласия, нужно настроить отложенный запуск: скрипты аналитики стартуют только после принятия cookie-баннера. Если данные передаются за рубеж, уведомлять Роскомнадзор до начала передачи обязательно — критерии стран уточнены 265-ФЗ. Если в формах нет явного согласия, добавить галочку с текстом согласия на обработку и ссылкой на политику.
В политике конфиденциальности указать все основания обработки: отдельно для форм, для аналитики, для рассылок. Описать цели обработки конкретно, без общих фраз. Указать, какие данные собираются, кому передаются, как долго хранятся. Если применяется основание «законный интерес», объяснить, в чём он состоит и почему не нарушает права пользователя.
Проверить cookie-баннер: должна быть возможность отказаться от необязательных категорий cookie без потери функциональности сайта. Если баннер содержит только кнопку «Принять всё», это создаёт риск, так как отсутствует равнозначный отказ. После исправлений — повторить проверку, чтобы убедиться, что риски устранены.
Проверьте основания обработки на своём сайте
- 01Откройте сайт в режиме инкогнито. Зайдите на главную страницу с чистой сессии, не принимая cookie-баннер. Откройте инструменты разработчика (F12), вкладку Network. Проверьте, какие запросы уходят до любого действия — если там analytics, метрика, сторонние домены, трекеры стартуют без согласия.
- 02Проверьте формы на сайте. Найдите все формы: обратная связь, подписка, заказ. Убедитесь, что в каждой есть явная галочка или кнопка согласия на обработку персональных данных со ссылкой на политику конфиденциальности.
- 03Прочитайте политику конфиденциальности. Проверьте, указаны ли в политике все случаи обработки: формы, аналитика, cookie, рассылки. Убедитесь, что для каждого случая названо законное основание и оно соответствует реальным действиям сайта.
- 04Проверьте cookie-баннер. Убедитесь, что баннер даёт возможность отказаться от необязательных категорий cookie или настроить их. Если есть только кнопка «Принять всё» без равнозначного отказа, это создаёт риск.
- 05Проверьте передачу данных за рубеж. Во вкладке Network инструментов разработчика найдите запросы к доменам за пределами России. Если данные уходят в Google, зарубежные рекламные пиксели, CDN в США или Европе, проверьте, отражена ли трансграничная передача в политике и может потребоваться уведомление Роскомнадзора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какое основание выбрать для формы обратной связи на сайте?
Если форма нужна для исполнения договора (оформление заказа, доставка), подходит основание «исполнение договора». Если это просто запрос информации, подписка или консультация — требуется согласие субъекта. В любом случае нужна галочка или кнопка согласия со ссылкой на политику.
Нужно ли согласие на установку счётчиков аналитики?
Зависит от того, какие данные собираются и куда передаются. Если аналитика обезличена и используется для улучшения сайта, может применяться основание «законный интерес» с уведомлением в политике. Если собираются данные, позволяющие идентифицировать человека, или они передаются третьим лицам, требуется согласие.
Что делать, если данные уходят в Google Analytics или Яндекс.Метрику?
Проверить, настроена ли обезличенная передача данных и где расположены серверы обработки. Если данные идут за рубеж и могут считаться персональными, это трансграничная передача — нужно уведомить Роскомнадзор и указать это в политике конфиденциальности.
Можно ли обрабатывать данные без согласия на основании законного интереса?
Да, если обработка не нарушает права пользователя, он уведомлён об этом в политике конфиденциальности, и у него есть возможность возразить. Законный интерес применяется для аналитики, защиты от мошенничества, улучшения сервиса, но не для передачи данных третьим лицам в маркетинговых целях.
Что будет, если основание в политике не соответствует реальной обработке?
Это может создать риск нарушения требований закона и привлечения к административной ответственности, претензий со стороны регулятора и пользователей.
Как понять, нужно ли уведомлять Роскомнадзор о трансграничной передаче?
Если персональные данные граждан России передаются за рубеж, уведомлять Роскомнадзор до начала передачи обязательно. Проверка сайта покажет, какие домены получают данные и создаёт ли это риск трансграничной передачи.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.