Какие данные интернет-магазина попадают под 152-ФЗ
Персональные данные — это любая информация, которая позволяет идентифицировать человека. В интернет-магазине это имя, телефон, email, адрес доставки, данные банковской карты. Но закон распространяется и на менее очевидные вещи: IP-адрес посетителя, cookie-идентификаторы, идентификаторы браузера и устройства.
Если на сайте есть форма заявки, корзина или личный кабинет — вы собираете персональные данные и становитесь оператором. Это значит, что нужно получить согласие, опубликовать политику конфиденциальности и соблюдать требования к хранению и защите.
Даже если вы не сохраняете данные на сервере, но они передаются аналитике или сторонним сервисам — это тоже обработка персональных данных. Закон смотрит не на то, где хранится база, а на то, что происходит с данными посетителя.
Что чаще всего нарушают интернет-магазины
Первая ошибка — трекеры и аналитика запускаются раньше, чем посетитель нажал «Согласен» на cookie-баннере. Яндекс.Метрика, Google Analytics, пиксель ВКонтакте начинают собирать данные сразу при открытии страницы, хотя закон требует получить согласие до начала обработки.
Вторая — веб-формы без явного согласия или с неработающей ссылкой на политику конфиденциальности. Галочка «Согласен с условиями» должна быть рядом с каждой формой, где вводятся имя, телефон или email, а политика — доступна по ссылке.
Третья — данные клиентов уходят за границу через CDN, платёжные шлюзы или виджеты обратной связи, но оператор не подал уведомление о трансграничной передаче в Роскомнадзор, которое требуется по закону. Это может создать правовой риск.
Как проверить, что сайт делает с данными посетителя
Проверка начинается с чистой сессии: откройте сайт в режиме инкогнито или с нового устройства, как это сделал бы новый посетитель. Посмотрите, какие скрипты загружаются до того, как вы нажали на cookie-баннер. Если в консоли разработчика видны запросы к Метрике, Google или зарубежным рекламным пикселям — трекеры стартовали без согласия.
Затем проверьте каждую форму: заявка, подписка, регистрация, корзина. Рядом с полями ввода должна быть галочка с текстом согласия и ссылка на политику конфиденциальности. Откройте политику и убедитесь, что в ней указаны реквизиты оператора и контакты.
Третий шаг — посмотрите сетевые запросы во вкладке Network в инструментах разработчика. Если данные отправляются на зарубежные домены (например, google.com, cloudflare.com или домены иностранных соцсетей) — это может быть трансграничная передача, которая требует уведомления Роскомнадзора.
Что исправить в первую очередь
Начните с трекеров: настройте cookie-баннер так, чтобы скрипты аналитики и рекламы запускались только после явного согласия посетителя. На баннере должна быть равнозначная кнопка «Отказаться» или возможность выбрать категории cookie. Если баннера нет совсем — это первый приоритет.
Затем проверьте формы: добавьте галочку согласия рядом с каждым полем ввода персональных данных, убедитесь, что ссылка на политику конфиденциальности ведёт на актуальный документ. Если политика скачана из интернета — адаптируйте её под ваш бизнес: впишите реквизиты и контакты оператора.
Если данные уходят за границу — автоматизированная проверка фиксирует сетевые запросы к внешним сервисам, которые требуют дополнительной проверки.
Как получить полную картину рисков на сайте
Ручная проверка покажет очевидные ошибки, но может пропустить скрытые риски: скрипты, которые загружаются асинхронно, трекеры в iframe, данные, которые передаются через сторонние виджеты. Чтобы увидеть полную картину, нужна автоматизированная проверка, которая фиксирует всё, что происходит на сайте с момента открытия страницы.
Проверка Dobrolex открывает сайт как новый посетитель, записывает все сетевые запросы, фиксирует скрипты и cookie, проверяет формы и документы. Результат — заключение в PDF с фактами, снимками экрана, цитатами из политики и правовой квалификацией каждого эпизода. Вы видите, что именно создаёт риск и на какую норму закона это влияет.
Если нарушений не найдено — отчёт подтверждает, что на осмотренных публичных страницах признаков рисков нет. Это не гарантия полного соответствия закону, но позволяет спокойно работать и показать регулятору, что проверка проводилась.
Что проверить на сайте интернет-магазина прямо сейчас
- 01Трекеры до согласия. Откройте сайт в режиме инкогнито, нажмите F12, перейдите во вкладку Network и обновите страницу. Если видны запросы к mc.yandex.ru, google-analytics.com или доменам зарубежных рекламных пикселей до того, как вы нажали на cookie-баннер — трекеры стартовали без согласия.
- 02Согласие в формах. Проверьте каждую форму на сайте: заявка, подписка, регистрация, корзина. Рядом с полями ввода должна быть галочка с текстом согласия на обработку персональных данных и работающая ссылка на политику конфиденциальности.
- 03Реквизиты в политике. Откройте политику конфиденциальности и убедитесь, что там указаны реквизиты оператора: ИНН, ОГРН, адрес, телефон, email.
- 04Кнопка отказа на баннере. Посмотрите на cookie-баннер: есть ли кнопка «Отказаться» или «Настроить», равнозначная кнопке «Принять»? Если только одна кнопка «Ок» или «Согласен» — это риск.
- 05Данные за границу. Во вкладке Network посмотрите домены, на которые уходят запросы при открытии сайта и заполнении формы. Если видны иностранные домены (например, cloudflare.com, googleapis.com) — данные могут передаваться за рубеж.
- 06Уведомление Роскомнадзора. Проверьте, подавали ли вы уведомление об обработке персональных данных в Роскомнадзор, если на сайте есть формы, аналитика или передача данных третьим лицам.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные интернет-магазина считаются персональными?
Персональные данные — это любая информация, которая позволяет идентифицировать человека: имя, телефон, email, адрес доставки, IP-адрес, cookie-идентификаторы. Если на сайте есть форма заявки или корзина — вы собираете персональные данные.
Нужно ли получать согласие на cookie и аналитику?
Да, если cookie или аналитика собирают данные, которые позволяют идентифицировать посетителя (IP, идентификаторы браузера, поведение на сайте). Трекеры должны запускаться только после явного согласия, а на баннере должна быть возможность отказаться.
Можно ли использовать шаблон политики конфиденциальности из интернета?
Шаблон можно взять за основу, но его нужно адаптировать под ваш бизнес: вписать реквизиты оператора (ИНН, ОГРН, адрес, контакты). Отчёт покажет, соответствует ли документ требованиям закона.
Что будет, если данные клиентов уходят за границу без уведомления?
Трансграничная передача персональных данных может создать правовой риск. Если данные уходят на зарубежные сервисы (CDN, платёжные системы, аналитика) — нужно проверить, подано ли уведомление.
Как проверить, запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито, нажмите F12 и перейдите во вкладку Network. Обновите страницу и посмотрите запросы. Если до нажатия на cookie-баннер видны запросы к Метрике, Google или зарубежным рекламным пикселям — трекеры стартовали без согласия.
Обязательно ли подавать уведомление в Роскомнадзор?
Отчёт показывает, есть ли на сайте эпизоды, которые могут указывать на риски, требующие оценки юриста. Если на сайте есть формы, трекеры или передача данных — проверьте это требование.
Что показывает проверка Dobrolex?
Проверка фиксирует, какие данные собирает сайт, куда они отправляются, запускаются ли трекеры до согласия, есть ли согласие в формах и что написано в политике конфиденциальности. Результат — заключение в PDF с фактами, снимками экрана и правовой квалификацией каждого эпизода.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.