Какие документы входят в обязательный пакет
Закон требует опубликовать политику обработки персональных данных — документ, в котором описаны цели сбора, категории данных, сроки хранения, права субъектов и меры защиты. Если вы собираете данные через веб-формы, понадобится согласие на обработку: оно должно быть конкретным, информированным и добровольным.
Cookie-баннер и политика использования cookie обязательны, если сайт использует аналитику или рекламные трекеры. Баннер должен давать равнозначную возможность отказаться и настроить категории файлов. Если данные передаются иностранным сервисам, понадобится отдельное согласие на трансграничную передачу и уведомление Роскомнадзора.
Дополнительно могут потребоваться положение об обработке персональных данных для внутреннего пользования, приказы о назначении ответственного, инструкции для сотрудников. Состав зависит от масштаба обработки, но базовый комплект для сайта — политика, согласие и cookie-баннер — обязателен для большинства.
Почему шаблоны из интернета не всегда подходят
Типовой шаблон описывает абстрактные процессы: «данные обрабатываются для улучшения сервиса», «хранятся в течение необходимого срока». На практике ваш сайт может собирать email, телефон и IP-адрес через три разные формы, отправлять их в CRM и аналитику, а cookie стартуют до согласия посетителя.
Если документ не называет конкретные категории данных и цели, которые совпадают с реальными формами и трекерами, это создаёт риск квалификации как обработка без законных оснований или несовместимо с заявленными целями. Шаблон может быть устаревшим: например, не учитывать требования к трансграничной передаче или к cookie-баннеру, которые ужесточились за последние годы.
Документ должен отражать то, что происходит на сайте в момент проверки. Если вы добавили новую форму подписки или подключили рекламный пиксель, но политику не обновили, расхождение может быть зафиксировано при проверке Роскомнадзора или жалобе посетителя.
Как проверить, что документы покрывают реальные процессы сайта
Первый шаг — открыть сайт в режиме инкогнито и посмотреть, что происходит до любого действия посетителя: какие запросы уходят в сеть, какие cookie устанавливаются, какие внешние скрипты загружаются. Если трекер аналитики или рекламы стартовал до клика на баннер, это признак того, что согласие получается формально.
Второй шаг — сопоставить список данных, которые собирают формы на сайте, с перечнем в политике. Если форма запрашивает ИНН или адрес доставки, а политика говорит только про «контактные данные для обратной связи», это несоответствие. То же касается целей: если данные используются для таргетированной рекламы, это должно быть прямо названо.
Третий шаг — проверить, куда уходят данные. Если браузер отправляет запросы на домены иностранных сервисов, это может создавать обязанность уведомить Роскомнадзор и получить согласие на трансграничную передачу. Проверка технической части без инструментов занимает время, но даёт точную картину.
Что делать, если обнаружили расхождения
Если трекеры стартуют раньше согласия, нужно изменить код сайта: перенести загрузку скриптов аналитики и рекламы в момент после клика на баннер. Cookie-баннер должен давать равнозначный отказ — кнопка «Отклонить» на том же уровне видимости, что и «Принять».
Если данные уходят в иностранные сервисы, проверьте, есть ли у вас согласие на трансграничную передачу и подано ли уведомление в Роскомнадзор. Если сервис предлагает локализацию данных в России, это может снять обязанность уведомлять регулятор.
Если формы собирают данные, не описанные в политике, дополните документ: укажите конкретные категории, цели и сроки хранения. Согласие на обработку должно быть активным — галочка по умолчанию не ставится, текст формулируется утвердительно и без двойного отрицания.
Как проверить пакет документов автоматически
Сервис открывает сайт с чистой сессии — так, как его видит новый посетитель, — и фиксирует, что происходит до любого согласия: какие запросы уходят в сеть, какие cookie устанавливаются, какие формы собирают данные. Результат — заключение в PDF с снимками экрана, цитатами из политик и квалификацией по каждому эпизоду.
Отчёт показывает, есть ли расхождения между документами и практикой: например, трекер стартовал до клика на баннер, или форма запрашивает данные, не названные в политике. Каждый эпизод связывается с нормой закона и получает оценку серьёзности, что помогает понять очерёдность исправлений.
Проверка не заменяет консультацию юриста, но даёт точную картину рисков на публичных страницах сайта. Если эпизодов не найдено, это подтверждает, что документы покрывают осмотренные процессы сбора данных.
Проверьте пакет документов прямо сейчас
- 01Политика опубликована и доступна. Откройте главную страницу сайта и найдите ссылку на политику обработки персональных данных в подвале. Документ должен открываться без регистрации.
- 02Трекеры не стартуют до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладка Network. Обновите страницу и посмотрите, есть ли запросы к доменам аналитики до клика на cookie-баннер.
- 03Формы описаны в политике. Перечислите все формы на сайте: обратная связь, подписка, оформление заказа. Откройте политику и проверьте, названы ли эти категории данных и цели их сбора.
- 04Cookie-баннер даёт равнозначный отказ. Посмотрите на баннер: есть ли кнопка «Отклонить» или «Настроить», видна ли она так же хорошо, как «Принять». Проверьте, можно ли отключить отдельные категории cookie.
- 05Данные иностранным сервисам — с согласием. Если сайт использует Google Analytics, зарубежные рекламные пиксели или другие иностранные сервисы, проверьте, есть ли в политике раздел о трансграничной передаче и согласие на неё.
- 06Документы обновлялись после изменений сайта. Вспомните, когда вы последний раз добавляли формы, трекеры или внешние сервисы. Проверьте дату обновления политики: если она старше этих изменений, документ нужно дополнить.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли использовать один документ для сайта и мобильного приложения?
Можно, если процессы сбора данных одинаковые. Если приложение запрашивает дополнительные разрешения или передаёт данные другим сервисам, это нужно описать отдельно в той же политике или создать дополнение.
Нужно ли уведомлять Роскомнадзор, если я только публикую политику на сайте?
Уведомление подаётся, если вы обрабатываете персональные данные: собираете через формы, храните в базе, передаёте третьим лицам. Сама публикация политики — это выполнение требования закона, но не освобождает от уведомления.
Что делать, если политика есть, но трекеры стартуют до согласия?
Измените код сайта: перенесите загрузку скриптов аналитики и рекламы в момент после клика на баннер. Политика описывает правила, но если практика им не соответствует, это создаёт риск.
Как часто нужно обновлять политику?
Каждый раз, когда на сайте меняются процессы сбора данных: добавляются формы, новые трекеры, подключаются внешние сервисы или меняются цели обработки. Если ничего не меняется, обновлять не обязательно.
Можно ли скрыть политику за несколькими кликами?
Политика должна быть доступна без регистрации и легко обнаруживаема. Обычно её размещают в подвале сайта. Если документ спрятан глубоко, это может быть квалифицировано как отсутствие публикации.
Что будет, если данные уходят за рубеж, а согласия на это нет?
Это может создавать риск квалификации как обработка без согласия субъекта и нарушение требования о локализации. Проверьте, можно ли настроить сервис на хранение данных в России, или добавьте согласие на трансграничную передачу и уведомите Роскомнадзор.
Проверка покажет, что именно нужно исправить в документах?
Да. Отчёт сопоставляет текст политик и согласий с процессами, зафиксированными на сайте, и показывает расхождения с рекомендацией, что дописать или изменить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.