Какие данные на сайте считаются персональными
Персональные данные — это любая информация, которая прямо или косвенно относится к конкретному человеку. На сайте это имя, телефон, email, адрес доставки, IP-адрес, cookie-файлы с идентификатором сессии.
Если форма запрашивает имя и телефон для обратного звонка — это обработка персональных данных, и нужно согласие. Если аналитика фиксирует IP-адрес посетителя — это тоже обработка, даже если вы не видите эти данные напрямую.
Проблема в том, что часть данных собирается незаметно: трекеры устанавливают cookie до согласия, сторонние скрипты отправляют данные за рубеж, а политика конфиденциальности не описывает реальное поведение сайта. Риск возникает не там, где данные собираются, а там, где это происходит без законного основания.
Когда нужно согласие и как его правильно оформить
Согласие обязательно, если данные обрабатываются для целей, не связанных с исполнением договора. Форма подписки на рассылку, заявка на консультацию, регистрация в личном кабинете — во всех этих случаях нужно явное согласие до отправки данных.
Согласие должно быть добровольным, конкретным и информированным: человек понимает, кто оператор, какие данные собираются, зачем и как долго хранятся. Галочка «Согласен с политикой конфиденциальности» без возможности отказаться — это не согласие по закону.
На практике согласие часто оформлено формально: текст общий, цели размыты, ссылка на политику ведёт в никуда. Если согласие не соответствует закону, это создаёт риск претензий со стороны Роскомнадзора.
Трекеры и аналитика: как проверить, что запускается до согласия
Многие сайты устанавливают cookie и запускают аналитику сразу при загрузке страницы — до того, как посетитель увидел баннер и дал согласие. Это нарушение: обработка персональных данных начинается без законного основания.
Чтобы проверить, откройте сайт в режиме инкогнито и посмотрите, какие cookie устанавливаются до любого клика. Если в списке есть Google Analytics, Яндекс.Метрика или зарубежные рекламные пиксели — трекеры запустились до согласия.
Проблема усугубляется, если баннер cookie не даёт равнозначного отказа: кнопка «Принять всё» заметна, а «Отклонить» спрятана или отсутствует. Это тоже признак нарушения, потому что согласие должно быть добровольным.
Данные уходят за рубеж: как это увидеть и что с этим делать
Если на сайте подключены иностранные сервисы — аналитика, чаты, формы, авторизация через соцсети — данные посетителей могут передаваться за рубеж. По закону трансграничная передача допустима только в страны с адекватной защитой данных, и Роскомнадзор должен быть уведомлён.
На практике владельцы сайтов не всегда знают, куда уходят данные: скрипты подключены через сторонние библиотеки, запросы идут к доменам, которые сложно опознать. Проверка сетевого обмена браузера показывает, какие запросы отправляются и в какие страны.
Если выясняется, что данные уходят в США, Великобританию или другие юрисдикции без уведомления Роскомнадзора — это создаёт правовой риск. Решение зависит от того, можно ли заменить сервис на российский или настроить передачу через прокси-сервер на территории России.
Политика конфиденциальности: что должно быть в тексте и как проверить соответствие
Политика конфиденциальности должна описывать реальную работу сайта: какие данные собираются, зачем, кому передаются, как долго хранятся и как субъект может их удалить. Если в политике написано «не передаём данные третьим лицам», а на сайте работает Google Analytics — это расхождение.
Частая ошибка — скопировать шаблон политики и не адаптировать под свой сайт. В результате текст описывает абстрактного оператора, а не вашу компанию, и не упоминает реальные сервисы и цели обработки.
Проверка сайта сравнивает текст политики с фактическим поведением: какие формы есть, какие трекеры запускаются, какие данные уходят за рубеж. Расхождения фиксируются как эпизоды с признаками нарушений, и к ним даётся рекомендация, что исправить в документе или на сайте.
Чек-лист: что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, какие cookie устанавливаются до любого согласия. Если в списке есть аналитика или трекеры — они запустились раньше времени.
- 02Проверьте баннер cookie. Есть ли кнопка отказа, равнозначная кнопке согласия? Можно ли настроить категории cookie? Если только «Принять» — это риск.
- 03Найдите все формы на сайте. Запрашивают ли они персональные данные? Есть ли рядом с формой согласие на обработку, и понятно ли из текста, кто оператор и зачем нужны данные?
- 04Откройте политику конфиденциальности. Указаны ли в ней конкретные цели обработки, сроки хранения, сторонние сервисы? Совпадает ли текст с тем, что на самом деле происходит на сайте?
- 05Проверьте реквизиты оператора. Указаны ли в политике или на сайте ИНН, ОГРН, юридический адрес, контакты для обращений субъектов данных?
- 06Посмотрите, какие сторонние сервисы подключены. Аналитика, чаты, формы, виджеты соцсетей — всё это может отправлять данные за рубеж. Упомянуты ли эти сервисы в политике конфиденциальности?
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные на сайте считаются персональными?
Любая информация, относящаяся к конкретному человеку: имя, телефон, email, адрес, IP-адрес, cookie с идентификатором сессии. Если данные позволяют прямо или косвенно идентифицировать посетителя — это персональные данные.
Нужно ли согласие на cookie-файлы?
Да, если cookie обрабатывают персональные данные — например, аналитические или рекламные трекеры. Технические cookie, необходимые для работы сайта, можно использовать без согласия, но их нужно описать в политике.
Как понять, что трекеры запускаются до согласия?
Откройте сайт в режиме инкогнито, не кликайте на баннер cookie и посмотрите список установленных cookie в инструментах разработчика браузера. Если там Google Analytics, Яндекс.Метрика или другие трекеры — они запустились раньше согласия.
Что делать, если данные уходят за рубеж?
Проверьте, в какие страны идёт передача и уведомлён ли Роскомнадзор. Если передача идёт в страны без адекватной защиты данных и без уведомления — это риск. Можно заменить сервис на российский, настроить прокси или получить согласие субъекта на передачу.
Можно ли скопировать политику конфиденциальности с другого сайта?
Нет. Политика должна описывать реальную работу вашего сайта: какие данные собираются, зачем, кому передаются, как долго хранятся. Шаблон можно использовать как основу, но текст нужно адаптировать под свой случай.
За что конкретно могут оштрафовать по 152-ФЗ?
За обработку без согласия, когда оно обязательно; за отсутствие политики конфиденциальности; за передачу данных за рубеж без уведомления Роскомнадзора; за несоответствие текста политики реальной работе сайта. Штрафы для юрлиц — от десятков тысяч до миллионов рублей.
Как проверить сайт, если я не технический специалист?
Используйте чек-лист из этого материала для базовой проверки. Для глубокой проверки — профессиональный аудит: сайт открывается с чистой сессии, фиксируются трекеры, формы, политики и сетевые запросы, результат — отчёт с фактами и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.