Почему политика конфиденциальности и реальная работа сайта расходятся
Владелец сайта публикует политику конфиденциальности, часто копируя её из шаблона или адаптируя документ под похожий проект. В тексте указаны цели обработки, сроки хранения, права субъекта — всё выглядит правильно. Но политика описывает намерения, а не факты.
Сайт живёт своей жизнью: веб-мастер добавляет аналитику, маркетолог подключает рекламные пиксели, дизайнер встраивает виджет обратной связи. Каждое изменение может запустить новый сценарий обработки данных — отправку информации на иностранный сервис, сбор идентификаторов до согласия, передачу данных третьим лицам, не указанным в политике.
Расхождение между документом и фактическим поведением сайта создаёт правовой риск. Если трекер стартовал до согласия посетителя, а в политике написано, что обработка начинается только после согласия, это расхождение может квалифицироваться как нарушение требований к согласию или обработка без законных оснований.
Что проверять в политике конфиденциальности и на самом сайте
Первый блок проверки — какие данные сайт собирает и куда их отправляет. Если посетитель открывает главную страницу, его браузер может отправить запросы на десятки внешних доменов: аналитика, реклама, виджеты социальных сетей, сервисы карт и видео. Часть этих запросов несёт идентификаторы пользователя — cookie, IP-адрес, параметры браузера и устройства.
Если в политике конфиденциальности указана только «Яндекс.Метрика», а сайт на самом деле отправляет данные на серверы зарубежных рекламных сетей, это расхождение создаёт правовой риск.
Второй блок — согласие и момент запуска обработки. На практике многие трекеры стартуют сразу при загрузке страницы, до того как посетитель увидел cookie-баннер и нажал любую кнопку. Проверка с чистой сессии показывает, какие запросы ушли до согласия.
Третий блок — cookie-баннер и право на отказ. Если баннер предлагает только кнопку «Принять всё» или «ОК», а отказаться от части категорий нельзя, это может создавать риск претензий. Проверка фиксирует интерфейс баннера и сравнивает его с требованиями закона.
Трансграничная передача данных и риски отправки за рубеж
Если сайт отправляет персональные данные граждан России на серверы за рубежом, это создаёт дополнительные правовые риски. Проверка сайта фиксирует, какие иностранные домены получают запросы с данными посетителей. Если в политике конфиденциальности не указана трансграничная передача, а сайт фактически отправляет данные за рубеж, это расхождение может повлечь санкции за обработку без законных оснований или за нарушение требований к согласию.
Сам факт сетевого запроса к иностранному серверу — это технический сигнал, а не готовое доказательство нарушения. Но если запрос содержит идентификаторы или произошёл до согласия посетителя, риск квалификации как нарушения возрастает.
Правовая квалификация по каждому эпизоду в отчёте содержит ссылку на нормы и рекомендацию, что исправить.
Реквизиты оператора и политики на сайте
Отчёт о проверке сайта содержит раздел «Сведения об операторах персональных данных» — это реквизиты, которые указаны в документах сайта: полное наименование, ИНН, ОГРН, адрес. Если эти сведения отсутствуют, это указывается как эпизод с признаками нарушения.
Проверяются также политики, согласия и оферты: есть ли они на сайте, соответствуют ли тексты реальным сценариям обработки данных, указаны ли цели и сроки. Если политика не покрывает фактическую работу сайта, отчёт содержит дословные цитаты из документов с указанием расхождений.
Правовая квалификация в отчёте связывает каждый выявленный эпизод с нормой закона.
Как проверить соответствие политики конфиденциальности и получить заключение
Проверка начинается с фиксации того, что сайт делает с чистой сессии — без авторизации, без cookie, без предварительных визитов. Открывается главная страница, фиксируются все сетевые запросы, скрипты, трекеры и сервисы, которые получают данные посетителя. Затем проверяются формы, баннеры, политики и согласия.
Результат проверки — заключение, в котором каждый выявленный эпизод связан с нормой закона. Указывается, какой признак нарушения обнаружен, на каком снимке экрана зафиксирован, в какое время, что это означает с точки зрения правовых рисков. Если эпизодов не найдено, отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений нет.
Заключение не заменяет консультацию юриста, но даёт фактическую основу для исправлений: какие эпизоды выявлены, с какими нормами они связаны. Решения для кода, настроек и документов к каждому риску входят в тариф с планом действий.
Что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Проверьте, запускаются ли трекеры и аналитика до того, как вы нажали кнопку в cookie-баннере. Если счётчики уже работают — это риск.
- 02Посмотрите текст cookie-баннера. Есть ли кнопка «Отклонить все» или настройка категорий? Если только «Принять» или «ОК» — баннер может не соответствовать требованиям.
- 03Найдите политику конфиденциальности на сайте. Проверьте, указаны ли в ней ИНН, ОГРН, адрес оператора. Если реквизитов нет — это признак несоответствия.
- 04Сравните, какие сервисы упомянуты в политике. Если на сайте работают Google Analytics, зарубежные рекламные пиксели, Яндекс.Метрика, но в политике указана только часть из них — это расхождение.
- 05Проверьте, есть ли на сайте формы обратной связи или регистрация. Если формы есть, проверьте, запрашивается ли согласие на обработку данных и указаны ли цели обработки.
- 06Уточните, есть ли на сайте политики и согласия. Политика конфиденциальности, политика обработки персональных данных, согласие на обработку — эти документы должны быть доступны и соответствовать тому, что сайт делает на самом деле.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли подавать уведомление в Роскомнадзор, если на сайте только форма обратной связи?
Требование уведомить Роскомнадзор зависит от того, как именно обрабатываются данные — цели, объём, способы. Проверка сайта фиксирует фактические сценарии обработки, а правовая квалификация в отчёте указывает, какие нормы применимы в вашем случае.
Можно ли скопировать политику конфиденциальности с другого сайта?
Скопировать текст можно, но адаптировать под свой проект обязательно. Политика должна описывать, какие данные собирает именно ваш сайт, какие сервисы используются, куда передаются данные. Шаблон без адаптации — это риск.
Что будет, если трекеры запускаются до согласия посетителя?
Это может квалифицироваться как обработка без законных оснований или нарушение требований к согласию. Риск санкций зависит от того, какие данные собираются и куда передаются.
Где в политике конфиденциальности указывать сервисы, которые получают данные?
Проверка сайта фиксирует, какие сервисы фактически получают данные посетителей, и сравнивает это с текстом политики. Если в документе не указаны сервисы, которым сайт передаёт данные, отчёт содержит это расхождение как эпизод с признаками нарушения.
Что делать, если сайт отправляет данные за рубеж, но в политике это не указано?
Это расхождение создаёт правовой риск. Проверка сайта фиксирует, какие иностранные сервисы получают данные, и в отчёте указывается, что нужно исправить в политике и настройках.
Что фиксирует проверка сайта с чистой сессии?
Проверка фиксирует, какие трекеры и сервисы запускаются до любого согласия посетителя, какие данные отправляются, куда и в какой момент. Результат — снимки экранов, временные метки и дословные цитаты из документов сайта.
Что входит в проверку сайта по 152-ФЗ?
Проверяется, какие данные собирает сайт, куда их отправляет, когда запускаются трекеры, есть ли согласие и равнозначный отказ, соответствуют ли политики реальной работе сайта. Результат — заключение с фактами, снимками экранов и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.