Почему одна политика не закрывает весь риск
Политика обработки персональных данных — не изолированный файл, а описание того, как оператор работает с данными. Если сайт собирает сведения через форму, устанавливает cookie или подключает внешний сервис, эти сценарии должны быть согласованы с документами и выбранными правовыми основаниями.
Проблема часто обнаруживается не в самом тексте, а в расхождении между текстом и поведением страницы. Опубликованная политика не подтверждает автоматически, что трекеры запускаются вовремя, согласия покрывают нужные цели, а реквизиты оператора актуальны.
- Есть ли на странице опубликованная политика и доступны ли связанные согласия.
- Совпадают ли в документе и формах цели, категории данных и сведения об операторе.
- Не расходятся ли текст политики и фактические cookie, аналитика и внешние запросы.
Как политика обработки персональных данных проверяется на практике
Проверка начинается с публичных страниц глазами нового посетителя. Фиксируется, что видно до согласия: баннер, ссылки на документы, обязательные и необязательные элементы формы, а также фактический запуск аналитики и cookie.
Затем сопоставляются документы и техническое поведение сайта. В заключении можно увидеть снимки экрана, дословные цитаты, время фиксации, сведения об операторе и отдельные обстоятельства, которые требуют дополнительной проверки.
- Открытие сайта с чистой сессии до любого согласия.
- Фиксация экранов, текста баннера, формы и политики.
- Проверка сетевых запросов к внешним сервисам как технического сигнала.
- Сопоставление найденного с документами и нормами закона.
Где чаще всего возникают несостыковки
Cookie-баннер стоит оценивать не по внешнему виду, а по сценарию выбора. Если необязательная аналитика или cookie запускаются до согласия, либо отказ заметно менее доступен, это создаёт правовой риск и требует сопоставления с конкретной конфигурацией сайта.
В веб-формах проверьте, какие сведения запрашиваются, зачем они нужны и к какому документу привязано согласие. Отдельное внимание нужно уделить авторизации, аналитике и другим иностранным сервисам: сетевой запрос показывает технический факт для дальнейшей проверки, но сам по себе не доказывает нарушение.
- Равнозначный ли отказ от необязательных cookie.
- Можно ли выбрать категории, а не только принять всё.
- Указаны ли цели и состав данных в формах.
- Понятно ли, кто является оператором и как с ним связаться.
- Не появляется ли внешний запрос до выбора посетителя.
Как использовать результат и что исправлять сначала
В заключении каждый установленный эпизод связывается с нормой закона, получает оценку серьёзности и рекомендацию по исправлению. План действий задаёт очерёдность работ; отдельных уровней приоритета в отчёте нет.
Начните с расхождений, которые затрагивают фактический сбор данных, согласия и запуск трекеров, затем проверьте документы, реквизиты и связанные сценарии. Если признаков нарушений на осмотренных публичных страницах не найдено, это не исключает риски в закрытых разделах, серверной части и внутренних процессах. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор.
- Разделы, доступные только после входа, не осматриваются.
- Формы не отправляются и реальные данные не вводятся.
- Серверная часть и внутренние процессы остаются за пределами публичной проверки.
- Отсутствие эпизодов означает отсутствие признаков на осмотренных страницах, а не полное соответствие закону.
Что проверить на сайте самостоятельно
- 01Проверьте запуск трекеров. Откройте сайт в чистой сессии и проверьте, какие cookie и трекеры запускаются до выбора посетителя.
- 02Сопоставьте политику с сайтом. Найдите политику обработки персональных данных и сверьте её с фактическими формами, cookie и аналитикой на сайте.
- 03Проверьте отказ и категории. Проверьте cookie-баннер: можно ли отказаться на равных условиях и выбрать категории необязательных файлов.
- 04Проверьте внешние сервисы. Посмотрите, какие внешние сервисы получают сетевые запросы при открытии публичных страниц.
- 05Проверьте сведения об операторе. Сверьте в документах название оператора, реквизиты, контакты, цели и состав собираемых данных.
- 06Проверьте согласия. Проверьте, связаны ли согласия с конкретными целями и понятны ли посетителю последствия их предоставления.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Достаточно ли разместить политику обработки персональных данных на сайте?
Политика должна соответствовать фактическим процессам сайта: формам, cookie, аналитике, внешним сервисам, целям обработки и сведениям об операторе. Один опубликованный документ сам по себе не подтверждает, что сайт работает по его тексту.
Как понять, соответствует ли политика реальной работе сайта?
Нет. Нужно сопоставить текст политики с тем, что происходит при открытии страниц и использовании форм. Если данные или технические идентификаторы уходят внешним сервисам иначе, чем описано в документах, возникает риск несоответствия фактической обработки заявленным условиям.
Что проверить в cookie-баннере и аналитике?
Проверьте, запускаются ли необязательные трекеры до выбора посетителя, есть ли равнозначный отказ и можно ли настроить категории cookie. Сетевые запросы к внешним сервисам — технический сигнал для дополнительной проверки, а не готовый вывод о нарушении.
Как проверить согласия в веб-формах?
Согласие должно быть связано с понятной целью и конкретным действием посетителя. Для разных процессов могут потребоваться разные основания и формулировки; оценка зависит от данных, целей и сценария обработки.
Опасна ли авторизация или аналитика через иностранный сервис?
Иностранный сервис в сетевом обмене не означает автоматически установленное нарушение. Нужно выяснить, какие данные передаются, на каком этапе, для какой цели и как это отражено в документах и организации обработки.
Что покажет проверка политики обработки персональных данных?
Публичный осмотр не включает вход в аккаунт, отправку форм и ввод данных. Он не показывает закрытые разделы, серверную часть и внутренние процессы, поэтому отсутствие признаков нарушений на осмотренных страницах не является гарантией полного соответствия.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.