Почему сайт может нарушать 152-ФЗ, даже если политика в порядке
Текст политики конфиденциальности и реальное поведение сайта — это разные вещи. Политика может декларировать хранение данных в России, а трекеры аналитики отправляют данные посетителей на серверы за рубежом. Cookie-баннер может предлагать согласие, но скрипты запускаются раньше, чем посетитель успел принять решение.
Роскомнадзор при проверке фиксирует, что происходит технически: какие данные собираются, куда уходят сетевые запросы, есть ли у посетителя возможность отказаться до начала обработки. Отраслевая специфика добавляет риски: медицинские, финансовые и HR-сервисы работают с данными повышенной чувствительности, и те же эпизоды могут квалифицироваться серьёзнее.
Проверка глазами регулятора показывает, где декларации расходятся с фактами и где возникают правовые риски.
Что проверяется при отраслевом аудите сайта
Проверка начинается с чистой сессии браузера — так, как если бы сайт открыл новый посетитель, который ещё не дал никаких согласий. Фиксируются сетевые запросы: какие данные и куда отправляет браузер, запускаются ли аналитические скрипты и cookie-файлы до того, как посетитель принял решение.
Проверяются веб-формы: собираются ли персональные данные, есть ли чётко сформулированное согласие, указаны ли цели обработки и сведения об операторе. Оценивается cookie-баннер: можно ли равнозначно отказаться от необязательных категорий и настроить их отдельно.
Анализируются публичные документы: политика конфиденциальности, пользовательское соглашение, оферта. Проверяется наличие реквизитов оператора персональных данных: ИНН, ОГРН, контакты. Авторизация через иностранные сервисы и сценарии, которые могут повлечь штраф, тоже фиксируются.
- Сетевые запросы к иностранным сервисам до согласия посетителя
- Момент запуска аналитики и cookie-файлов относительно баннера
- Наличие равнозначного отказа и настройки категорий в cookie-баннере
- Формулировки согласий в веб-формах: цели, сведения об операторе
- Публикация политики конфиденциальности с актуальными реквизитами
- Авторизация через иностранные сервисы и передача данных за рубеж
Что входит в заключение и как читать результаты
Заключение открывается резюме: перечень эпизодов с признаками нарушений, их серьёзность и ориентировочный диапазон санкций по КоАП. Далее идут сведения об операторах персональных данных, извлечённые из документов сайта: ИНН, ОГРН, контакты.
Каждый установленный эпизод описывается с привязкой ко времени фиксации и снимкам экрана. Правовая квалификация связывает факт с нормой 152-ФЗ или КоАП и даёт рекомендацию, что исправить. Отдельный раздел — обстоятельства, требующие дополнительной проверки: например, сетевые запросы к внешним сервисам, которые могут указывать на передачу данных, но требуют уточнения.
Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет. Закрытые разделы, серверная часть и внутренние процессы не проверяются.
Как использовать результаты проверки в работе
Результаты проверки показывают, какие эпизоды создают риск штрафа и в какой очерёдности их исправлять. Высокая серьёзность означает, что эпизод может квалифицироваться как нарушение с существенными санкциями. План действий переводит правовую квалификацию в конкретные решения: что менять в коде, настройках аналитики и документах.
Для компаний в отраслях с высокими требованиями к обработке данных важно фиксировать, что сайт проверен и риски устранены. Повторная проверка после внесения изменений подтверждает, что эпизоды исправлены. Заключение с пометкой об отсутствии нарушений можно использовать как подтверждение того, что на проверенных страницах всё в порядке.
Тариф с сопровождением юриста включает подготовку документов под сайт: политики, согласий, текста cookie-баннера. Юрист проверяет правки в коде и настройках, координирует работу с разработчиками и проводит итоговую проверку.
Проверьте сайт на основные риски по 152-ФЗ
- 01Откройте сайт в режиме инкогнито. Посмотрите, запускается ли аналитика до того, как вы приняли cookie-баннер или согласились на обработку данных.
- 02Проверьте cookie-баннер. Есть ли равнозначная кнопка отказа и возможность настроить категории cookie отдельно, или доступно только «Принять всё».
- 03Изучите политику конфиденциальности. Указаны ли ИНН и ОГРН оператора, перечислены ли цели обработки данных и есть ли информация о передаче данных третьим лицам.
- 04Оцените формулировки согласий. В веб-формах должно быть чётко написано, для чего собираются данные, кто их будет обрабатывать и как с ними можно ознакомиться.
- 05Проверьте авторизацию через внешние сервисы. Если на сайте можно войти через иностранные соцсети, посмотрите, есть ли информация о передаче данных за рубеж.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем отраслевой аудит отличается от обычной проверки сайта?
Проверяется то же самое: что сайт делает с данными посетителей, куда их отправляет, запускаются ли трекеры до согласия. Отраслевая специфика учитывается в правовой квалификации: те же эпизоды в медицине или финансах могут создавать более серьёзные риски.
Что значит «эпизод с признаками нарушения»?
Это установленный факт, который может квалифицироваться как нарушение требований 152-ФЗ: например, трекер запустился до согласия или данные ушли на сервер за рубежом. Заключение связывает факт с нормой закона и показывает серьёзность риска.
Проверяются ли закрытые разделы сайта и личный кабинет?
Нет, проверяются только публичные страницы без входа в аккаунт и без отправки форм. Серверная часть, внутренние процессы и защищённые разделы не проверяются.
Если эпизодов не найдено, это гарантия соответствия закону?
Это значит, что на проверенных публичных страницах признаков нарушений нет. Заключение не заменяет консультацию юриста и не проверяет закрытые разделы, серверную часть и внутренние процессы.
Как понять, что исправить в первую очередь?
Отчёт показывает серьёзность каждого эпизода и даёт рекомендации, что исправить. Тариф с планом действий включает решения для кода, настроек и документов с очерёдностью исправлений.
Можно ли использовать заключение для Роскомнадзора?
Заключение не является обращением в Роскомнадзор. Его можно использовать как внутренний документ, фиксирующий проверку сайта и устранение рисков.
Что делать, если после исправлений остались вопросы?
Тариф с юристом включает сопровождение правок, подготовку документов под сайт и итоговую проверку после внесения изменений.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.