Почему политика конфиденциальности не спасает сама по себе
Политика может быть опубликована и выглядеть подробно, но сайт при этом способен собирать данные иначе: запускать аналитику до согласия, передавать технические сведения внешним сервисам или запрашивать в форме больше, чем нужно для заявленной цели. Юридический риск возникает из-за совокупности фактических действий, оснований обработки и документов, а не из-за одного отсутствующего или присутствующего текста.
Поэтому проверять нужно не только страницу с политикой. Важно увидеть сайт глазами нового посетителя и сопоставить интерфейс, сетевое поведение, формы и документы. Даже найденный технический сигнал требует аккуратной квалификации: он показывает, что сценарий нужно дополнительно разбирать, но сам по себе не доказывает нарушение.
- Политика описывает намерения и правила, но не подтверждает фактический запуск скриптов.
- Текст баннера не заменяет проверку того, что происходит в браузере.
- Отсутствие видимого нарушения на одной странице не исключает другой сценарий на сайте.
Как расхождение выглядит на практике
Новый посетитель может увидеть баннер, который предлагает только продолжить просмотр, тогда как аналитика уже начала работать. Другой вариант — отказ спрятан заметно глубже, категории нельзя настроить, а политика говорит лишь об общей обработке cookie без объяснения конкретного сценария.
Отдельная зона внимания — формы обратной связи, регистрации или заявки. Даже без отправки данных можно проверить, какие поля обязательны, зачем они нужны по тексту страницы и какое согласие предлагается посетителю. Если политика, форма и фактический сценарий не совпадают, формальное наличие документов не устраняет риск.
Запросы к внешним доменам также требуют контекста. Они могут быть связаны с аналитикой, виджетами, авторизацией или иными функциями; при публичном осмотре их корректно фиксировать как обстоятельства для дополнительной проверки, а не объявлять готовым выводом о нарушении.
- Открытие сайта в чистой сессии до любого согласия.
- Фиксация баннера, доступных действий и момента запуска скриптов.
- Сопоставление внешних запросов с описанием сервисов в документах.
- Проверка целей, полей и согласий у каждой публичной формы.
Как проверить документы, а не только их наличие
Сначала найдите политику, согласия, оферту и реквизиты оператора на публичных страницах. Затем сравните, кто указан оператором, какие цели и категории данных названы, как описаны внешние сервисы и соответствует ли это интерфейсу сайта.
Особенно важны конкретные места расхождения. Например, форма просит телефон и дополнительные сведения, а документ описывает только обращение через электронную почту; баннер обещает выбор, но в интерфейсе нет равнозначного отказа; реквизиты в разных документах не совпадают. Такие наблюдения нужно сохранять вместе со снимком экрана и дословной цитатой.
Проверка не должна создавать новые данные: публичный осмотр проводится без входа, отправки форм и ввода сведений. Это позволяет зафиксировать доступный посетителю сценарий, но не раскрывает серверную часть, закрытые разделы и внутренние процессы оператора.
- Название и реквизиты оператора в политике и согласиях.
- Согласованность целей обработки и состава данных.
- Описание внешних сервисов и возможной передачи данных.
- Работа отказа и настройки категорий cookie.
Что исправлять после проверки
Сначала устраните расхождения, которые видны посетителю: запуск необязательных трекеров до выбора, неравнозначный отказ, лишние поля формы или несогласованные тексты. Затем разберите внешние сервисы, авторизацию и сетевые сигналы с учётом того, какие данные действительно передаются и на каком основании.
В документах важно не просто добавить общую фразу, а привести политику, согласия, оферту и реквизиты к единому фактическому сценарию. Если для вывода не хватает серверных данных или информации о внутренних процессах, это нужно оставить как ограничение и направить на отдельную проверку.
Заключение Dobrolex может собрать установленные обстоятельства со снимками и цитатами, правовую квалификацию по эпизодам, серьёзность, рекомендуемую очерёдность исправлений и перечень того, что осталось за пределами публичного осмотра. Такой документ помогает перейти от формальной публикации политики к проверке реального поведения сайта.
- Разделить установленный факт и обстоятельство для дополнительной проверки.
- Описать серьёзность каждого эпизода и связь с нормой закона.
- Составить очерёдность исправлений без обещания полного соответствия.
- Сохранить снимки, цитаты, время фиксации и оговорки о пределах.
Что проверить на сайте прямо сейчас
- 01Проверьте запуск трекеров. Откройте сайт в чистой сессии и проверьте, запускаются ли аналитика и cookie-файлы до выбора посетителя.
- 02Проверьте cookie-баннер. Сравните баннер с фактическим поведением: доступен ли равнозначный отказ и можно ли отдельно настроить категории cookie.
- 03Проверьте внешние запросы. Посмотрите, какие внешние домены получают запросы при открытии публичных страниц и до согласия пользователя.
- 04Проверьте формы. Сопоставьте каждую веб-форму с целью сбора, составом данных и отдельным согласием, если оно требуется.
- 05Сверьте документы. Убедитесь, что политика, согласия, оферта и реквизиты оператора не противоречат друг другу.
- 06Сверьте фактические процессы. Проверьте, указаны ли в документах реальные способы обработки и передачи данных, а не только общие формулировки.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Почему политика конфиденциальности не спасает, если она опубликована?
Потому что политика описывает заявленные правила, но не доказывает, что сайт им следует. Если трекеры запускаются заранее, формы собирают лишние данные или запросы уходят внешним сервисам, одного документа недостаточно: нужно сопоставить текст с фактическим поведением страниц.
Достаточно ли разместить политику обработки персональных данных?
Нет. Политика — только один элемент обработки персональных данных. Важно также проверить основания обработки, содержание согласий, работу cookie-баннера, веб-формы, внешние сервисы и фактические процессы, которые не видны на публичных страницах.
Может ли баннер нарушать требования, даже если текст написан правильно?
Да, если баннер только сообщает о cookie, а аналитика или другие файлы запускаются до выбора посетителя. Технический сигнал сам по себе не является окончательным юридическим выводом, но он показывает, что сценарий нужно разбирать отдельно.
Опасна ли передача данных иностранным сервисам?
Сетевые запросы к иностранным сервисам — повод для дополнительной проверки. По публичному осмотру нельзя подтвердить весь серверный маршрут и внутренние процессы, поэтому такой эпизод описывается как техническое обстоятельство, а не как автоматически установленное нарушение.
Что именно можно проверить на сайте без доступа к админке?
Проверка проходит на публичных страницах в чистой сессии, без входа в аккаунт, отправки форм и ввода данных. Фиксируются снимки экрана, цитаты документов и технические сигналы; закрытые разделы, серверная часть и внутренние процессы не проверяются.
Если проверка ничего не нашла, сайт точно соответствует требованиям?
Нет. Если на осмотренных страницах признаков нарушений не найдено, это не подтверждает полное соответствие закону. Результат нужно понимать с учётом границ осмотра и перечня материалов фиксации.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.