Почему одной политики может быть недостаточно
Политика обработки персональных данных важна для сайта, где обрабатываются персональные данные, но сама по себе не показывает всю практику обработки. Риск возникает, если содержание документов расходится с тем, что происходит на публичных страницах.
Например, сайт может запускать трекеры до согласия, отправлять запросы внешним сервисам или собирать сведения через формы и сценарии авторизации, которые не удаётся подтвердить одним чтением политики.
Поэтому проверка включает не только документы, но и осмотр сайта с чистой сессии: что видит новый посетитель до любого согласия, какие запросы выполняются и какие элементы интерфейса предлагают передать данные.
Какие сведения и сценарии стоит проверить в документах
В документах сайта можно проверить сведения об операторе персональных данных, включая ИНН, ОГРН и контакты. Dobrolex фиксирует наличие таких сведений и приводит дословные цитаты из документов, не делая автоматического вывода о соответствии только по реквизитам.
В документах сайта могут быть указаны цели обработки, категории данных, условия хранения, права пользователей и способы взаимодействия с оператором. Эти сведения стоит сопоставлять с реальными сценариями сайта, а не рассматривать как замену осмотру.
Если сайт использует cookie, аналитику, формы или авторизацию через внешние сервисы, эти сценарии можно проверить отдельно. Фактические запросы и поведение интерфейса могут потребовать дополнительного уточнения и не всегда подтверждаются одним текстом политики.
Как проверить политику обработки персональных данных на практике
Сайт открывают с чистой сессии — глазами нового посетителя, который ещё не дал согласия. Фиксируется, какие трекеры и аналитика запускаются, какие элементы согласия показываются и какие запросы уходят к внешним сервисам.
Если аналитические системы и трекеры стартуют до согласия пользователя, это создаёт правовой риск и требует оценки обстоятельств. Конкретный вывод зависит от фактов обработки; сама фиксация запуска не заменяет юридическую квалификацию.
Сетевые запросы к иностранным сервисам отмечаются как технический сигнал. Они могут указывать на обстоятельство, требующее дополнительной проверки, но сами по себе не доказывают, что персональные данные действительно переданы за рубеж.
Какие риски может показать проверка документов и сайта
Наличие политики не исключает риска, если документы расходятся с фактической обработкой. Обработка без законного основания, нарушения требований к согласию или обстоятельства, связанные с хранением и трансграничной передачей, требуют отдельной оценки по фактам.
В заключении каждый установленный эпизод получает правовую квалификацию, описание серьёзности и рекомендацию, что исправить. Отдельно отмечаются обстоятельства, которые нельзя считать установленным нарушением без дополнительной проверки.
Если эпизодов не найдено, это означает только отсутствие признаков нарушений на осмотренных публичных страницах. Закрытые разделы, серверная часть и внутренние процессы в такой проверке не охватываются.
Как проходит проверка политики и сайта
Dobrolex открывает сайт с чистой сессии и фиксирует, что происходит до любого согласия: какие трекеры и аналитика запустились, какие элементы интерфейса отображаются и куда направляются сетевые запросы. В отчёт включаются снимки экрана, время фиксации и дословные цитаты из документов.
Каждый факт связывается с применимой нормой закона, а документы и технические сигналы описываются с учётом пределов проверки. Сетевой обмен браузера рассматривается как повод для дополнительного анализа, а не как самостоятельное доказательство передачи данных.
Заключение содержит резюме эпизодов с признаками нарушений, их серьёзность, ориентировочный диапазон санкций, рекомендации и очерёдность исправлений. Оно не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Что проверить в политике обработки персональных данных
- 01Сведения об операторе. ИНН, ОГРН, адрес и контакты оператора персональных данных указаны в документах сайта — при осмотре проверяется наличие этих сведений.
- 02Цели обработки. Цели обработки данных сформулированы конкретно и сопоставимы с тем, что сайт реально делает.
- 03Данные и хранение. В документах описано, какие категории данных могут собираться и как они используются; отдельно проверьте аспекты хранения, которые заявлены оператором.
- 04Трекеры и согласие. Если сайт использует аналитику и трекеры, проверьте, запускаются ли они до согласия пользователя — это создаёт правовой риск.
- 05Внешние сервисы. Проверьте сторонние сервисы, виджеты и авторизацию: документы сайта могут не совпадать с фактическими запросами браузера.
- 06Трансграничная передача. Если сетевые запросы указывают на возможную передачу данных за рубеж, это технический сигнал для дополнительной проверки требований к трансграничной передаче.
- 07Права пользователей. Проверьте, описаны ли в документах сайта права пользователей и способы взаимодействия с оператором по вопросам обработки данных.
Что говорит закон
ч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Достаточно ли скачать шаблон политики обработки персональных данных из интернета?
Шаблон — только основа: его стоит сопоставить с реквизитами оператора и реальными сценариями сайта. Проверка помогает увидеть расхождения между документами, формами, трекерами и внешними сервисами.
Как узнать, какие данные собирает мой сайт на самом деле?
Откройте сайт в режиме инкогнито и изучите запросы браузера. При проверке фиксируются трекеры, запросы к внешним сервисам, снимки экрана и документы сайта; при этом сетевой обмен рассматривается как технический сигнал, а не как доказательство передачи данных.
Могут ли оштрафовать, если политика есть, но не соответствует реальной обработке данных?
Да, расхождение между документом и фактическими действиями сайта может создавать правовой риск. Проверка показывает установленные обстоятельства и связывает каждый факт с применимой нормой закона, но не заменяет вывод регулятора или консультацию юриста.
Нужно ли уведомлять Роскомнадзор, если сайт обращается к иностранному сервису?
Сетевые запросы к иностранным сервисам могут быть признаком обстоятельства, требующего дополнительной проверки, но сами по себе не доказывают трансграничную передачу. Нужно уточнить, какие данные и в каком сценарии обрабатываются, а также применимые требования к уведомлению Роскомнадзора.
Что делать, если проверка выявила расхождения между политикой и сайтом?
Заключение указывает серьёзность каждого эпизода и очерёдность исправлений. Оно также отделяет установленные обстоятельства от вопросов, требующих дополнительной проверки; документы, настройки и код затем можно доработать по результатам.
Может ли проверка заменить консультацию юриста?
Нет. Проверка фиксирует факты и выявляет правовые риски, но заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Как часто нужно проверять политику обработки персональных данных?
Проверку разумно повторять после изменений на сайте: например, при добавлении форм, аналитики или авторизации через внешние сервисы. Важно заново сопоставить документы с тем, что происходит на публичных страницах.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.