Кто отвечает за персональные данные на сайте: владелец или подрядчик
По закону оператором персональных данных является тот, кто определяет цели и содержание обработки — владелец сайта. Подрядчик выступает лицом, осуществляющим обработку по поручению оператора. Это значит, что штрафы за нарушения выписываются владельцу сайта, даже если техническую работу выполнял сторонний специалист.
Подрядчик мог заверить, что всё настроено по закону: cookie-баннер установлен, политика опубликована. На практике трекеры могут стартовать до согласия посетителя, данные — уходить иностранным сервисам без уведомления регулятора, а тексты согласий — не соответствовать требованиям закона. Владелец сайта узнаёт об этом при проверке Роскомнадзора или после жалобы посетителя.
Договор с подрядчиком может предусматривать гарантии соответствия закону и компенсацию убытков. Но чтобы предъявить требование исполнителю, нужна фактура: что именно нарушено, когда это зафиксировано и какая норма закона применима. Без доказательств переговоры с подрядчиком превращаются в спор мнений.
Какие риски создают аналитика и реклама на сайте
Подрядчик подключает системы аналитики — Яндекс Метрику, Google Analytics — и рекламные инструменты: пиксели соцсетей, ретаргетинг. Эти сервисы собирают данные посетителей: идентификаторы устройства, IP-адреса, информацию о действиях на сайте. Если трекер стартует до согласия посетителя, это может квалифицироваться как обработка без законного основания.
Данные, которые собирает аналитика и реклама, часто передаются на серверы за пределами России. Для трансграничной передачи персональных данных граждан РФ требуется соблюдение условий закона и уведомление Роскомнадзора. Подрядчик может не знать об этой обязанности или считать, что она лежит на владельце сервиса, а не на операторе сайта.
Cookie-баннер — типовое решение подрядчика для соблюдения закона. Но баннер должен давать равнозначную возможность согласиться или отказаться, предлагать настройку категорий файлов и реально блокировать трекеры до выбора посетителя. Если код запускает аналитику сразу при загрузке страницы, баннер становится формальностью, а риск штрафа остаётся.
Как проверить, что подрядчик сделал на самом деле
Владелец сайта видит баннер, читает политику конфиденциальности — но не знает, какие запросы браузер отправляет при загрузке страницы и когда именно стартуют трекеры. Проверка инструментами разработчика требует технических знаний, а результат нужно ещё связать с требованиями закона.
Dobrolex открывает сайт с чистой сессии — глазами нового посетителя, до любого согласия. Фиксируются сетевые запросы браузера, снимки экрана баннера и форм, дословные цитаты из политики и согласий. Каждый эпизод с признаками нарушения получает правовую квалификацию: какая норма закона применима, какой риск создаётся и что нужно исправить.
Отчёт показывает, какие иностранные сервисы получили данные посетителя, стартовали ли трекеры до взаимодействия с баннером, опубликованы ли обязательные документы оператора. Сетевые запросы — технический сигнал для дополнительной проверки, а не готовое доказательство нарушения. Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет.
Что исправить, чтобы снизить риски
Если трекеры стартуют до согласия, нужно изменить код сайта: перенести инициализацию аналитики и рекламы в обработчик события согласия. Подрядчик может сделать это за несколько часов, если в договоре предусмотрена гарантийная поддержка. Если контракт завершён, потребуется новое задание — и отчёт станет техническим заданием с конкретными фактами.
Трансграничная передача данных требует проверки, соответствует ли страна получателя критериям закона, и уведомления Роскомнадзора. Если подрядчик встроил пиксели иностранных соцсетей или рекламных сетей, владельцу сайта стоит проконсультироваться с юристом: можно ли продолжать использовать эти сервисы, нужно ли уведомление и как его подать.
Политика обработки персональных данных и тексты согласий должны соответствовать фактическому поведению сайта. Если в политике не указан иностранный сервис, который реально получает данные, документ нужно дополнить. Если согласие на обработку оформлено через галочку «Согласен с условиями», а закон требует явного согласия для конкретных целей, форму нужно переделать.
Проверьте сайт после работы подрядчика
- 01Откройте сайт в режиме инкогнито. Посмотрите, какой баннер видит новый посетитель: есть ли кнопка отказа, можно ли настроить категории файлов, понятно ли, для чего собираются данные.
- 02Проверьте политику конфиденциальности. Убедитесь, что в ней перечислены все сервисы аналитики и рекламы, которые подрядчик подключил к сайту, указаны цели обработки и права посетителей.
- 03Попросите подрядчика показать список установленных сервисов. Запросите перечень систем аналитики, рекламных пикселей, виджетов соцсетей — всего, что собирает данные посетителей или отправляет запросы сторонним доменам.
- 04Уточните, где хранятся данные. Спросите подрядчика, передаются ли данные посетителей за пределы России и уведомлён ли Роскомнадзор, если такая передача происходит.
- 05Проверьте договор с подрядчиком. Посмотрите, есть ли в нём пункт об ответственности за соответствие закону о персональных данных и можете ли вы требовать исправления за счёт исполнителя.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Подрядчик заверил, что всё по закону — могу ли я ему доверять?
Подрядчик может искренне считать, что настроил всё правильно, но не знать всех требований закона. Проверка покажет, соответствует ли реальное поведение сайта заверениям исполнителя.
Если подрядчик допустил нарушение, штраф выпишут ему или мне?
Штраф выписывается оператору персональных данных — владельцу сайта. Подрядчик отвечает перед вами по договору, если в нём предусмотрена такая ответственность.
Как понять, передаются ли данные посетителей за границу?
Проверка фиксирует сетевые запросы браузера и показывает, какие иностранные домены получили данные. Это сигнал для дополнительной проверки юристом: нужно ли уведомление Роскомнадзора и соответствует ли страна получателя критериям закона.
Подрядчик установил cookie-баннер — значит, сайт в порядке?
Баннер — необходимое, но не достаточное условие. Важно, чтобы трекеры реально не запускались до согласия, баннер давал равнозначный выбор и позволял настроить категории файлов.
Нужно ли мне самому уведомлять Роскомнадзор, если подрядчик подключил аналитику?
Обязанность уведомить регулятор лежит на операторе — владельце сайта. Если сайт собирает персональные данные или передаёт их за границу, уточните у юриста, требуется ли уведомление в вашем случае.
Что делать, если в отчёте нашли нарушения?
Отчёт показывает, что нужно исправить: изменить код, дополнить политику, перенастроить баннер. Можете передать задание подрядчику или обратиться к юристу за сопровождением правок.
Можно ли использовать отчёт в споре с подрядчиком?
Отчёт фиксирует факты со снимками экрана и временем проверки, связывает их с нормами закона. Это основа для требования устранить риски или для обращения к юристу за договорной защитой.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.