Что считается персональными данными в любой нише
Персональные данные — это любая информация, относящаяся к конкретному человеку. ФИО, телефон, email, адрес доставки, IP-адрес, cookie-идентификаторы — всё это персональные данные. Закон не делит их по нишам: требования одинаковы для интернет-магазинов, медицинских центров, образовательных платформ и HR-сервисов.
Разница в том, какие именно данные собирает сайт и для чего. Интернет-магазин запрашивает адрес доставки и данные карты, медицинский центр — полис и диагнозы, HR-платформа — резюме и контакты. Но для всех действует одно правило: если данные относятся к конкретному человеку, их обработка подпадает под 152-ФЗ.
Ещё есть специальные категории персональных данных: сведения о здоровье, биометрия, данные о судимости. Для них требования строже: нужно письменное согласие субъекта и дополнительные меры защиты. Если ваш сайт собирает такие данные, риски выше.
Где на сайте возникают риски по персональным данным
Риски возникают не только в веб-формах, но и в незаметных местах. Аналитика стартует до того, как посетитель дал согласие, и собирает IP-адреса, идентификаторы устройств, историю переходов. Авторизация через соцсети передаёт данные иностранным сервисам. Cookie-баннер не даёт равнозначного отказа — трекеры запускаются в любом случае.
Формы обратной связи отправляют данные на сервер, который может находиться за рубежом. CRM-системы и чаты собирают переписку и контакты. Всё это — обработка персональных данных, и для каждой точки нужны законные основания: согласие субъекта, опубликованная политика обработки, выполнение требований к хранению данных граждан РФ в России.
Проверка открывает сайт с чистой сессии — как новый посетитель, до любого согласия — и фиксирует, какие данные собираются, какие сервисы получают запросы и где возникают риски. Каждый факт связывается с нормой закона.
Как отличается обработка данных в разных отраслях
В медицине, HR, образовании и финансах данные часто относятся к специальным категориям. Сведения о здоровье пациента, данные о судимости соискателя, информация о религиозных взглядах — для их обработки нужно письменное согласие субъекта и усиленные меры защиты.
Интернет-магазины и маркетплейсы собирают адреса доставки, данные карт, историю покупок. Образовательные платформы — ФИО учеников, оценки, контакты родителей. HR-сервисы — резюме, рекомендации, результаты тестов. Для каждого типа данных действуют требования 152-ФЗ: согласие, политика обработки, хранение в России, уведомление Роскомнадзора при передаче за рубеж.
Заключение показывает, какие данные собирает сайт, какие сервисы их получают и какие нормы задеты. Вы видите эпизоды с признаками нарушений, их серьёзность и очерёдность исправлений.
Трансграничная передача и уведомление Роскомнадзора
Передача персональных данных за рубеж требует уведомления Роскомнадзора до начала передачи. Проверка фиксирует, какие иностранные сервисы получают запросы с данными посетителя, и указывает, где возникает риск по трансграничной передаче.
Заключение помогает понять, какие данные собираются, куда они передаются и какие эпизоды могут потребовать уведомления регулятора. Окончательное решение о необходимости уведомления и его оформлении — вопрос, который стоит обсудить с юристом.
Как проверить сайт на соответствие требованиям в вашей нише
Проверка начинается с того, что сайт открывается с чистой сессии — без cookie, без истории, как новый посетитель. Фиксируются все запросы браузера, снимки экрана, тексты согласий и политик. Вы видите, какие данные собираются, когда стартуют трекеры, куда уходят запросы, есть ли согласие и правильно ли оно оформлено.
Результат — заключение в PDF с установленными обстоятельствами, правовой квалификацией по каждому эпизоду, ссылками на нормы и рекомендациями, что исправить. Вы видите фактическое состояние сайта и понимаете, какие риски есть и что делать в первую очередь.
Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Это фактура для принятия решений: вы получаете снимок того, что происходит на сайте, и можете оценить масштаб проблемы.
Что проверить на сайте прямо сейчас
- 01Cookie-баннер и трекеры. Откройте сайт в режиме инкогнито и посмотрите, стартует ли аналитика до согласия. Есть ли равнозначный отказ от cookie или только кнопка «Принять».
- 02Политика обработки персональных данных. Проверьте, опубликована ли политика на сайте, указаны ли цели обработки, перечень данных, сроки хранения, контакты оператора.
- 03Согласия в веб-формах. Посмотрите, есть ли в формах обратной связи, подписки, регистрации согласие на обработку персональных данных. Можно ли отправить форму без согласия.
- 04Авторизация через соцсети. Если на сайте есть вход через соцсети, проверьте, уведомляете ли вы пользователя о передаче данных иностранному сервису.
- 05Иностранные сервисы. Посмотрите, какие внешние сервисы подключены к сайту: аналитика, CRM, формы, чаты. Узнайте, где хранятся данные и нужно ли уведомление Роскомнадзора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Частые вопросы
Что такое персональные данные в контексте сайта?
Любая информация, относящаяся к конкретному человеку: ФИО, телефон, email, IP-адрес, cookie-идентификаторы, история переходов. Если данные позволяют идентифицировать человека, они считаются персональными.
Отличаются ли требования 152-ФЗ для разных ниш?
Основные требования одинаковы для всех: согласие, политика обработки, хранение данных граждан РФ в России, уведомление Роскомнадзора. Для специальных категорий данных (здоровье, биометрия, судимость) требования строже.
Нужно ли уведомлять Роскомнадзор, если я собираю только email и телефон?
Вопрос об обязательности уведомления зависит от конкретных обстоятельств обработки данных. Проверка фиксирует, какие данные собираются и куда передаются, это помогает понять, требуется ли уведомление в вашем случае.
Можно ли использовать иностранные сервисы для обработки данных?
Передача данных за рубеж требует уведомления Роскомнадзора до начала передачи. Проверка показывает, какие иностранные сервисы получают данные, и помогает оценить риски.
Как проверить, что сайт соответствует 152-ФЗ?
Проверка с чистой сессии фиксирует, какие данные собираются, когда стартуют трекеры, куда уходят запросы. Результат — заключение в PDF с эпизодами, нормами и рекомендациями.
Что делать, если на сайте нет политики обработки персональных данных?
Опубликуйте политику на сайте. В ней должны быть цели обработки, перечень данных, сроки хранения, контакты оператора, права субъектов. Отсутствие политики — нарушение, за которое предусмотрен штраф.
Заменяет ли заключение консультацию юриста?
Нет. Заключение фиксирует эпизоды с признаками нарушений, их серьёзность и рекомендации по исправлению. Это фактура для принятия решений, но не юридическая консультация и не обращение в Роскомнадзор.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.