Почему банк запрашивает подтверждение соответствия сайта 152-ФЗ
Банки обязаны убедиться, что партнёры соблюдают требования к защите персональных данных — это снижает риск утечек и ответственности за обработку данных держателей карт. При подключении эквайринга, открытии расчётного счёта или подключении интернет-банка служба безопасности банка может запросить политику конфиденциальности сайта, уведомление в Роскомнадзор или заключение о соответствии.
Формальная политика в футере сайта не гарантирует соответствия: банк проверяет, описаны ли в документе реальные процессы обработки данных, указаны ли сторонние сервисы и сроки хранения. Если политика скопирована с другого сайта или не соответствует тому, что происходит на страницах, банк может отказать в подключении услуги.
Заключение о проверке сайта документирует фактическую обработку данных: какие трекеры запускаются, куда уходят запросы, есть ли согласия и cookie-баннер. Это не заменяет юридическую экспертизу, но показывает банку, что владелец сайта понимает, что происходит с данными посетителей, и готов исправлять риски.
Какие данные на сайте считаются персональными и когда возникает риск
152-ФЗ относит к персональным данным любую информацию, которая позволяет идентифицировать человека: имя, телефон, email, IP-адрес, cookie-идентификаторы браузера. Если сайт собирает заявки через форму, устанавливает счётчики аналитики или показывает баннеры ретаргетинга — он обрабатывает персональные данные.
Риск возникает, когда трекеры стартуют до получения согласия посетителя, данные передаются за рубеж без уведомления Роскомнадзора или политика конфиденциальности не описывает реальные процессы. Например, если Google Analytics запускается сразу при открытии страницы, а cookie-баннер появляется позже — это может квалифицироваться как обработка без согласия.
Проверка сайта открывает страницы с чистой сессии — как это видит новый посетитель — и фиксирует, какие трекеры запустились, куда ушли запросы и что написано в политике. Результат — список эпизодов с признаками нарушений, снимки экрана и ссылка на норму закона для каждого риска.
Что проверяет Роскомнадзор на сайте и как это выглядит на практике
Регулятор проверяет соответствие реальной обработки данных заявленным целям и наличие законных оснований: согласие, договор, закон. Инспектор смотрит на публичные страницы сайта, читает политику конфиденциальности и пользовательское соглашение, проверяет cookie-баннер и формы обратной связи.
Типичные эпизоды с признаками нарушений: трекеры стартуют до клика на баннере, в политике не указаны иностранные сервисы (зарубежные рекламные пиксели, Google Analytics), cookie-баннер не даёт равнозначной возможности отказаться, в форме заявки нет чекбокса согласия на обработку данных. Каждый эпизод регулятор может квалифицировать по отдельной части статьи КоАП.
Проверка Dobrolex фиксирует те же элементы: какие трекеры запустились, когда появился баннер, что написано в политике и как выглядит форма. Заключение показывает установленные обстоятельства со снимками экрана, правовую квалификацию и рекомендации, что исправить в первую очередь.
Как проверить сайт на соответствие 152-ФЗ и что делать с результатом
Проверка сайта начинается с анализа публичных страниц: главная, страницы с формами, политика конфиденциальности, пользовательское соглашение. Сайт открывается с чистой сессии, фиксируются сетевые запросы браузера, момент запуска трекеров и содержимое документов.
Результат проверки — заключение в PDF с резюме, списком эпизодов, снимками экрана и правовой квалификацией. Если эпизодов с признаками нарушений не найдено — это подтверждает, что на осмотренных страницах риски отсутствуют. Если эпизоды выявлены — заключение показывает серьёзность каждого, ссылку на норму и рекомендацию, что исправить.
Заключение можно передать банку как документ о проверке сайта, использовать для постановки задач разработчику или подключить тариф с планом действий — готовые решения для кода, настроек и документов. Проверка не заменяет консультацию юриста, но показывает фактическую картину обработки данных на сайте.
Проверьте сайт на риски по персональным данным
- 01Политика конфиденциальности опубликована и актуальна. В политике указаны ваши реквизиты (ИНН, ОГРН), цели обработки данных, категории данных, сроки хранения и список сторонних сервисов (аналитика, CRM, платёжные системы).
- 02Cookie-баннер даёт возможность отказаться. На баннере есть кнопки «Принять» и «Отклонить» или ссылка на настройки категорий файлов. Трекеры не стартуют до клика на «Принять».
- 03Формы обратной связи содержат согласие на обработку данных. Под полями формы стоит чекбокс или текст со ссылкой на политику: «Нажимая «Отправить», вы соглашаетесь с обработкой персональных данных».
- 04Трекеры аналитики и рекламы запускаются после согласия. Google Analytics, Яндекс.Метрика, зарубежные рекламные пиксели и другие счётчики не отправляют данные до того, как посетитель кликнул на баннере.
- 05В политике указаны иностранные сервисы, если данные уходят за рубеж. Если сайт использует Google Analytics, Mailchimp, Stripe или другие зарубежные сервисы — они перечислены в политике с указанием страны и цели передачи данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные на сайте считаются персональными?
Любая информация о конкретном человеке: имя, телефон, email, IP-адрес, cookie-идентификаторы браузера. Если сайт собирает заявки, устанавливает счётчики аналитики или показывает рекламу — он обрабатывает персональные данные.
Что проверяет банк перед подключением эквайринга?
Банк запрашивает политику конфиденциальности, уведомление в Роскомнадзор или заключение о проверке сайта. Служба безопасности проверяет, описаны ли в политике реальные процессы обработки данных и указаны ли сторонние сервисы.
Google Analytics установлен на сайте — это нарушение 152-ФЗ?
Нарушение возникает, если счётчик стартует до получения согласия посетителя или передаёт данные за рубеж без уведомления Роскомнадзора. Проверка показывает момент запуска трекера и список внешних сервисов.
Достаточно ли cookie-баннера с кнопкой «Принять»?
Закон требует равнозначной возможности отказаться и настроить категории файлов. Если на баннере только кнопка «Принять», а трекеры уже запустились — это создаёт риск.
Нужно ли уведомлять Роскомнадзор, если данные из форм отправляются на email?
Вопрос об обязательности уведомления зависит от характера обработки данных и правовых оснований. Проверка сайта показывает, где собираются данные и есть ли согласия, но не заменяет юридическую консультацию по вопросу уведомления.
Сайт на конструкторе Tilda — кто отвечает за персональные данные?
Оператором считается тот, кто определяет цели и содержание обработки — обычно это владелец сайта. Платформа-конструктор может быть процессором, но ответственность за соответствие закону лежит на владельце.
Что делать, если проверка выявила эпизоды с признаками нарушений?
Заключение показывает серьёзность каждого эпизода и рекомендацию, что исправить: настроить баннер, обновить политику, отложить запуск трекеров. Можно подключить тариф с планом действий — готовые решения для разработчика и юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.