Политика и согласие — это не одно и то же
Политика конфиденциальности — публичный документ, в котором оператор описывает, какие данные собирает, для чего, как долго хранит и кому передаёт. Она обязательна для любого оператора персональных данных и должна быть доступна на сайте.
Согласие на обработку персональных данных — это подтверждение конкретного человека, что он разрешает обрабатывать свои данные. Согласие нужно получать, если вы собираете данные через форму, подписку или регистрацию, и закон не предусматривает иного основания для обработки.
Оба документа связаны, но выполняют разные функции: политика информирует всех посетителей, согласие фиксирует волю конкретного человека. Отсутствие любого из них создаёт правовой риск.
Что должно быть в политике конфиденциальности
Политика должна содержать информацию об операторе: наименование, ИНН, ОГРН, адрес и контакты. Если на сайте работают несколько операторов (например, владелец сайта и подрядчик, обслуживающий формы), это тоже нужно указать.
Обязательны разделы о категориях данных, целях обработки, сроках хранения, правах субъектов и мерах защиты. Если данные передаются третьим лицам или за рубеж, это должно быть прямо указано с обоснованием.
Шаблоны из интернета часто содержат общие формулировки, которые не соответствуют реальной работе сайта. Например, в политике написано «не передаём данные за рубеж», а на сайте работает Google Analytics, который отправляет запросы на серверы за пределами России.
Как работает согласие на обработку персональных данных
Согласие должно быть конкретным, информированным и добровольным. Это значит, что человек понимает, какие данные, для чего и кому он передаёт, и может отказаться без последствий для своих прав.
Галочка «Согласен с политикой конфиденциальности» рядом с формой — это согласие, если она не проставлена по умолчанию и текст чётко описывает, на что человек соглашается. Если галочка уже стоит или формулировка размыта, согласие может быть признано недействительным.
Согласие на cookie и аналитику — отдельная история. Если трекеры и скрипты запускаются до того, как посетитель нажал «Принять» в баннере, это может квалифицироваться как обработка без согласия.
Что сайт делает на самом деле: частые расхождения
Сайт может собирать больше данных, чем описано в политике. Например, политика упоминает только email и телефон из формы обратной связи, а в реальности работают системы аналитики, которые фиксируют IP-адрес, поведение на сайте и идентификаторы браузера.
Трекеры нередко стартуют раньше, чем посетитель дал согласие. Это происходит, если скрипты аналитики или рекламные пиксели загружаются сразу при открытии страницы, до взаимодействия с cookie-баннером. Технически это выглядит так: браузер отправляет запросы к внешним сервисам ещё до клика по кнопке «Согласен».
Данные могут уходить за рубеж без упоминания в политике. Многие сервисы аналитики, чат-виджеты и платёжные системы используют серверы за пределами России. Если политика молчит об этом, возникает расхождение между документом и практикой.
Как проверить, что политика и согласие работают правильно
Проверка начинается с чистой сессии — так, как сайт видит новый посетитель. Фиксируется, какие скрипты и cookie запускаются до любого согласия, какие данные собираются через формы, какие запросы уходят к внешним сервисам.
Dobrolex открывает сайт, делает снимки экрана, цитирует политику и согласия дословно, записывает сетевые запросы браузера. Каждый факт сопоставляется с нормами закона: если трекер стартовал до согласия или данные ушли за рубеж без упоминания в политике, это попадёт в отчёт как эпизод с признаками нарушения.
В отчёте вы увидите, что именно расходится, какой нормой это регулируется и что нужно исправить в первую очередь. Если эпизодов не найдено, отчёт подтвердит, что на проверенных публичных страницах признаков нарушений нет.
- Снимки экрана с временными метками: что видел посетитель и когда
- Цитаты из политики и согласий — дословно, без интерпретаций
- Сетевые запросы к внешним сервисам как технический сигнал
- Сопоставление фактов с нормами закона и рекомендации по исправлению
Проверьте политику и согласие на своём сайте
- 01Политика опубликована и доступна. Откройте сайт и найдите ссылку на политику конфиденциальности. Она должна быть в футере или рядом с формами сбора данных.
- 02Указаны реквизиты оператора. Проверьте, есть ли в политике ИНН, ОГРН, адрес и контакты компании. Если операторов несколько — все должны быть перечислены.
- 03Описаны все данные, которые собираете. Сравните текст политики с тем, что реально собирает сайт: формы, cookie, аналитика. Если что-то работает, но не описано — это риск.
- 04Трекеры не запускаются до согласия. Откройте сайт в режиме инкогнито и посмотрите в инструментах разработчика, какие запросы уходят до клика по cookie-баннеру.
- 05Согласие — не галочка по умолчанию. Проверьте формы: галочка согласия не должна быть проставлена заранее, текст должен быть конкретным и понятным.
- 06Упомянута передача данных за рубеж. Если на сайте работают Google Analytics, зарубежные рекламные пиксели или другие иностранные сервисы, это должно быть указано в политике.
- 07Cookie-баннер даёт выбор. Посетитель должен иметь возможность отказаться от необязательных cookie и настроить категории, а не только принять всё сразу.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем политика конфиденциальности отличается от согласия на обработку персональных данных?
Политика — публичный документ о том, как компания обрабатывает данные. Согласие — подтверждение конкретного человека. Оба нужны, выполняют разные функции.
Можно ли использовать шаблон политики из интернета?
Можно, но шаблон нужно адаптировать под ваш сайт: указать реквизиты, описать реальные данные, которые собираете, и сервисы, которым передаёте. Шаблон без правки — риск расхождения с практикой.
Как понять, что трекеры запускаются до согласия?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика браузера (вкладка Network) и посмотрите, какие запросы уходят до клика по cookie-баннеру. Если видите запросы к analytics.google.com или mc.yandex.ru — трекеры стартовали.
Нужно ли уведомлять Роскомнадзор, если на сайте есть форма обратной связи?
Обязанность уведомить Роскомнадзор зависит от того, попадаете ли вы в случаи, когда уведомление не требуется. Проверка фиксирует сведения об операторе и основания для обработки, но не подаёт уведомление — это решает юрист.
Что делать, если данные уходят за рубеж через Google Analytics?
Указать это в политике конфиденциальности. Проверка зафиксирует запросы к иностранным доменам как сигнал для дополнительной проверки — юрист оценит, какие шаги нужны.
Как проверить, что политика соответствует тому, что сайт делает на практике?
Открыть сайт с чистой сессии и зафиксировать, какие данные собираются, какие скрипты запускаются, куда уходят запросы. Сопоставить с текстом политики. Dobrolex делает это автоматически и выдаёт отчёт.
Что будет, если политика есть, а согласие оформлено неправильно?
Это может квалифицироваться как обработка с нарушением требований к согласию. Риск — административная ответственность и требование регулятора исправить нарушение.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.