Какие данные на сайте — персональные
152-ФЗ определяет персональные данные как любую информацию, которая относится к конкретному человеку. Это не только паспортные данные: email, телефон, имя, фамилия, адрес доставки — всё это персональные данные, и для их сбора нужны законные основания.
IP-адрес посетителя, cookie-файлы с уникальными идентификаторами, данные браузера и устройства тоже могут быть персональными данными, если позволяют выделить конкретного пользователя. Сюда входят client ID в аналитике, рекламные идентификаторы и другие метки, которые связывают действия на сайте с одним человеком.
Если на сайте есть формы обратной связи, подписка, регистрация, корзина или чат — вы собираете персональные данные. Если работают счётчики аналитики, виджеты соцсетей, пиксели рекламных систем — они тоже собирают данные, и ответственность за это несёт владелец сайта.
Примеры персональных данных, которые собирает сайт
Формы на сайте собирают имя, телефон, email, адрес — это классические персональные данные. Для их обработки нужно согласие субъекта, опубликованная политика и, в большинстве случаев, уведомление Роскомнадзора.
Аналитические системы — Яндекс.Метрика, Google Analytics — фиксируют IP-адрес, идентификатор пользователя, данные о браузере и устройстве. Эти сведения относятся к персональным данным, и для их сбора требуется согласие посетителя до запуска трекера.
Виджеты и интеграции — онлайн-чаты, формы обратного звонка, кнопки соцсетей, CRM-системы — часто запускаются автоматически и передают данные внешним сервисам. Если эти сервисы находятся за рубежом, возникает трансграничная передача, и владелец сайта обязан уведомить регулятора.
- Имя, телефон, email из формы обратной связи или заявки
- IP-адрес и данные браузера при заходе на сайт
- Client ID и advertising ID в системах аналитики
- История действий пользователя, собранная через cookie
- Геолокация, если она определяется и сохраняется
Когда сбор данных становится нарушением
Нарушение возникает, если данные собираются без согласия субъекта там, где оно обязательно, или если на сайте нет политики обработки персональных данных. Ещё одна частая ситуация — трекеры стартуют раньше, чем посетитель нажал «Принять» в cookie-баннере.
Передача данных за рубеж без уведомления Роскомнадзора и согласия субъекта создаёт риск штрафа. Сюда относятся Google Analytics, зарубежные рекламные пиксели, зарубежные CRM и почтовые сервисы. Владелец сайта отвечает за все интеграции, даже если не знал об их работе.
Расхождение между политикой конфиденциальности и фактическим поведением сайта — тоже риск. Если в политике не указаны все сервисы, которым передаются данные, или не описаны цели обработки, это может квалифицироваться как обработка без законных оснований.
Как проверить, какие данные собирает ваш сайт
Проверка начинается с чистой сессии: сайт открывается так, как его видит новый посетитель, без авторизации и без ранее сохранённых cookie. Фиксируются все формы, поля ввода, трекеры и внешние скрипты, которые запускаются до любого согласия.
Затем анализируются сетевые запросы браузера: куда уходят данные, какие домены получают IP-адрес и идентификаторы, когда стартуют счётчики аналитики. Это позволяет увидеть скрытые интеграции, которые не упомянуты в политике.
Содержание политики конфиденциальности и текстов согласий сравнивается с фактами: все ли сервисы перечислены, описаны ли цели и сроки обработки, есть ли реквизиты оператора. Каждое расхождение связывается с нормой закона и получает оценку риска.
Что делать, если обнаружили риски
Если трекеры стартуют до согласия, нужно изменить код: перенести запуск скриптов в момент после действия посетителя или настроить диспетчер тегов. Если данные уходят за рубеж, потребуется уведомление Роскомнадзора или замена сервиса на отечественный аналог.
Политику конфиденциальности необходимо привести в соответствие с тем, что сайт делает на самом деле: перечислить все формы сбора, внешние сервисы, цели и сроки. Согласия должны быть конкретными, а не общими фразами.
Проверка Dobrolex фиксирует все эпизоды с признаками нарушений, связывает их с нормами закона и показывает очерёдность исправлений. Это позволяет закрыть риски до того, как о них узнает регулятор.
Проверьте сайт на риски по персональным данным
- 01Формы и поля ввода. Откройте сайт в режиме инкогнито и найдите все формы: обратная связь, подписка, заявка, чат. Есть ли рядом с полем ввода галочка согласия на обработку данных?
- 02Cookie-баннер и трекеры. До того как нажать «Принять», откройте инструменты разработчика (F12) → вкладка Network. Обновите страницу. Идут ли запросы к доменам аналитики (google-analytics.com, mc.yandex.ru)?
- 03Политика конфиденциальности. Найдите на сайте политику обработки персональных данных. Перечислены ли в ней все сервисы, которым передаются данные: аналитика, CRM, почта, чат?
- 04Виджеты и внешние скрипты. Просмотрите исходный код главной страницы (Ctrl+U). Найдите теги script с внешними src. Узнаёте ли вы все домены, или есть незнакомые интеграции?
- 05Реквизиты оператора. В политике или согласии должны быть указаны ИНН, ОГРН или ОГРНИП, юридический адрес оператора персональных данных. Они есть?
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Email и телефон, которые посетитель сам ввёл в форму, — это персональные данные?
Да. Любая информация, которая относится к конкретному человеку, — персональные данные по 152-ФЗ, независимо от того, кто её ввёл. Для сбора нужны согласие и политика.
IP-адрес посетителя сайта подпадает под 152-ФЗ?
Да, если он позволяет идентифицировать конкретного пользователя или связан с другими данными о нём. Для сбора и передачи IP-адреса сервисам аналитики требуется согласие.
Нужно ли согласие на cookie, если они не содержат имени или телефона?
Да, если cookie содержат уникальные идентификаторы, которые позволяют выделить пользователя и отследить его действия. Это относится к персональным данным.
Яндекс.Метрика и Google Analytics собирают персональные данные?
Да. Они фиксируют IP-адрес, идентификатор пользователя, данные браузера. Для их работы нужно согласие посетителя до запуска трекера.
Если политика конфиденциальности скопирована с шаблона, это нарушение?
Нарушение возникает, если содержание политики не соответствует тому, что сайт делает на самом деле: не перечислены сервисы, цели или сроки обработки.
Как узнать, какие данные мой сайт передаёт третьим лицам?
Откройте сайт с чистой сессии, запустите инструменты разработчика (F12) → Network и посмотрите, на какие домены идут запросы. Проверка автоматизирует этот процесс и связывает факты с нормами закона.
Что будет, если трекеры стартуют до согласия посетителя?
Это может квалифицироваться как обработка без законного основания. Риск — административная ответственность по КоАП РФ.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.