Когда результаты теста — это персональные данные
Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому человеку. Если результат теста связан с конкретным пользователем через email, ID аккаунта, IP-адрес, cookie или уникальную ссылку — это персональные данные.
Даже если в самом тесте нет ФИО, но система знает, кто его проходил, результат становится частью персональных данных этого человека. Это касается образовательных платформ, HR-систем, медицинских и психологических сервисов, маркетинговых квизов — везде, где результат можно связать с субъектом.
Если результат анонимен и технически невозможно установить, кто его получил (нет идентификаторов, логов, связи с сессией), такие данные не являются персональными. Но на практике большинство систем сохраняет хотя бы техническую связь с пользователем.
Какие требования закона применяются к результатам тестов
Если результаты — персональные данные, к ним применяются все требования 152-ФЗ: законные основания для обработки, согласие субъекта (если оно обязательно), политика конфиденциальности, уведомление Роскомнадзора, хранение данных граждан РФ в России, обеспечение безопасности и соблюдение прав субъекта.
Законное основание — это причина, по которой вы обрабатываете данные: согласие, договор, закон или ваш законный интерес. Для большинства тестов на сайте основанием служит согласие пользователя. Если тест связан с договором (например, часть образовательного курса), основанием может быть исполнение договора.
Политика конфиденциальности должна описывать, какие данные вы собираете (включая результаты тестов), для каких целей, на каком основании, сколько храните, кому передаёте и как субъект может реализовать свои права. Отсутствие этих сведений в политике создаёт риск штрафа.
Куда на самом деле уходят результаты тестов с вашего сайта
Результаты могут передаваться не только в вашу базу данных, но и внешним сервисам: системам аналитики, облачным хранилищам, сервисам рассылок, CRM. Если эти сервисы находятся за рубежом или используют иностранные серверы, возникает вопрос трансграничной передачи и локализации данных граждан РФ.
Трекеры и аналитика могут запускаться до того, как пользователь дал согласие на обработку данных, и фиксировать не только сам факт прохождения теста, но и технические идентификаторы, которые позволяют связать результат с конкретным человеком. Это создаёт риск обработки без законного основания.
Проверка показывает, какие сетевые запросы отправляет браузер, когда пользователь открывает страницу с тестом или отправляет форму с результатами. Если данные уходят к иностранным сервисам до получения согласия или без упоминания в политике, это сигнал для доработки сайта.
Как получить согласие и обеспечить права пользователя
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Пользователь должен понимать, какие данные вы собираете, зачем и кому передаёте. Текст согласия может быть частью формы перед началом теста или отдельным шагом регистрации.
Если пользователь проходит тест без регистрации, по ссылке или в гостевом режиме, согласие всё равно нужно получить — через чекбокс на странице теста со ссылкой на политику. В политике укажите, как субъект может запросить копию своих данных, исправить или удалить их.
Права субъекта — это не формальность. Пользователь может в любой момент запросить удаление результатов теста, отозвать согласие или потребовать прекратить обработку. Ваша система должна позволять это сделать, а политика — объяснять, как именно.
Как проверить, что ваш сайт обрабатывает результаты тестов законно
Проверка начинается с осмотра сайта глазами нового пользователя: что происходит, когда человек открывает страницу с тестом, какие данные запрашиваются, какие согласия предлагаются, что написано в политике конфиденциальности, какие трекеры и внешние сервисы запускаются.
Dobrolex открывает сайт с чистой сессии, фиксирует все сетевые запросы, снимки экрана и тексты документов, затем сопоставляет их с требованиями закона. Результат — заключение в PDF с описанием каждого эпизода, где обнаружены признаки нарушения, ссылками на нормы и рекомендациями по исправлению.
Если эпизодов с признаками нарушений не найдено, отчёт подтверждает это. Это не гарантия соответствия по всем аспектам закона — закрытые разделы, серверная часть и внутренние процессы остаются за рамками проверки, — но даёт уверенность в том, что публичная часть сайта не создаёт явных рисков.
Что проверить на своём сайте прямо сейчас
- 01Политика конфиденциальности описывает результаты тестов. Убедитесь, что в политике указано: вы собираете результаты тестов (или данные опросов, диагностики), для каких целей, на каком основании, сколько храните и кому передаёте.
- 02Согласие на обработку данных запрашивается до начала теста. Проверьте, есть ли на странице теста чекбокс или форма согласия со ссылкой на политику конфиденциальности. Пользователь должен дать согласие до того, как введёт данные или отправит результаты.
- 03В политике указано, как пользователь может удалить свои данные. Найдите раздел о правах субъекта: там должен быть email, форма или другой способ, как человек может запросить удаление результатов теста или отозвать согласие.
- 04Трекеры и аналитика не запускаются до согласия. Откройте сайт в режиме инкогнито, до принятия cookie-баннера. Если системы аналитики уже работают и могут связать результаты теста с идентификаторами пользователя — это риск обработки без согласия.
- 05Результаты тестов не передаются иностранным сервисам без упоминания в политике. Проверьте сетевые запросы (через инструменты разработчика в браузере) при отправке формы с результатами. Если данные уходят на иностранные домены, это должно быть описано в политике и обеспечено согласием.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Результаты теста без ФИО — это персональные данные?
Да, если результат связан с конкретным человеком через email, ID, IP-адрес, cookie или уникальную ссылку. Наличие или отсутствие ФИО в самом тесте не имеет значения — важна возможность идентификации субъекта.
Нужно ли уведомлять Роскомнадзор, если мы собираем результаты тестов?
Если результаты — персональные данные и вы обрабатываете их как юрлицо или ИП, закон устанавливает обязанность уведомления Роскомнадзора. Конкретные требования и возможные исключения определяются 152-ФЗ.
Можно ли хранить результаты тестов на иностранном облачном сервере?
Закон устанавливает требования к хранению персональных данных граждан РФ на территории России. Если облачный сервер использует иностранные серверы для хранения, это может создать риск нарушения требований локализации и трансграничной передачи.
Как получить согласие, если пользователь проходит тест без регистрации?
Разместите чекбокс согласия на странице перед началом теста или в форме, где запрашиваются данные. Пользователь должен поставить галочку и подтвердить, что ознакомился с политикой конфиденциальности.
Что делать, если пользователь просит удалить результаты своего теста?
В политике укажите email или форму, через которую можно подать такой запрос. Субъект имеет право на удаление своих персональных данных, и вы обязаны обеспечить реализацию этого права.
Какие штрафы грозят за неправильную обработку результатов тестов?
Зависит от характера нарушения. КоАП предусматривает санкции за разные эпизоды: за отсутствие политики, за обработку без согласия или с нарушением требований к согласию, за нарушение локализации. Конкретные диапазоны указываются в отчёте для каждого выявленного риска.
Как проверить, что мой сайт соблюдает требования закона по результатам тестов?
Проверьте свой сайт: Dobrolex откроет страницы с чистой сессии, зафиксирует, какие данные собираются, куда уходят запросы, что написано в документах, и выдаст заключение с фактами, рисками и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.