Политика не описывает, что сайт делает на самом деле
Самая частая проблема — разрыв между текстом политики и реальным поведением сайта. Документ скопирован с шаблона или с чужого сайта, а на страницах работают аналитика, CRM-формы, чаты и виджеты, которые в политике не упомянуты.
Закон требует, чтобы оператор описал цели, способы и категории обрабатываемых данных. Если на сайте стоит счётчик, который передаёт IP-адрес и идентификатор устройства иностранному сервису, а в политике об этом ни слова, возникает риск претензии со стороны регулятора или пользователя.
Проверить это можно, открыв сайт в режиме инкогнито и посмотрев в инструментах разработчика, какие запросы уходят. Но удобнее использовать автоматизированную проверку, которая зафиксирует все сетевые запросы, сопоставит их с текстом политики и покажет расхождения.
Трекеры запускаются до согласия посетителя
Cookie-баннер показывается, но счётчики и пиксели могут стартовать раньше — ещё до того, как человек нажал «Принять». Это распространённая ошибка интеграции: скрипты загружаются синхронно или через диспетчер тегов, который не связан с логикой баннера.
Такой сценарий создаёт риск квалификации как обработка без согласия, когда оно обязательно. Визуально баннер на месте, но технически данные уже ушли.
Чтобы выявить это, нужна проверка с чистой сессии: новый посетитель, никаких сохранённых cookie. Фиксируется момент появления баннера и момент первого запроса к аналитике. Если запрос раньше согласия, это эпизод с признаками нарушения.
В политике нет реквизитов оператора или перечня иностранных сервисов
Закон обязывает указать в политике наименование, ИНН, ОГРН и адрес оператора. На практике эти сведения часто забывают или заменяют общими фразами «мы», «компания». Отсутствие идентификационных данных — самостоятельное основание для претензии.
Второй пробел — трансграничная передача. Если сайт использует Google Analytics, зарубежные рекламные пиксели, Intercom или другие иностранные сервисы, политика должна это описать: какие данные, куда и на каком основании передаются. Без этого возникает риск квалификации как обработка без законного основания или без уведомления регулятора.
Проверка извлекает реквизиты из политики и других документов сайта, сопоставляет их с обязательными требованиями и фиксирует пробелы.
Политика не обновлялась после изменений на сайте
Сайт живёт: добавляются формы подписки, новые разделы, виджеты обратной связи, A/B-тесты. Политика остаётся прежней. В результате документ описывает сайт годичной давности, а не то, что происходит сегодня.
Каждое новое поле формы, каждый новый трекер — это изменение в составе обрабатываемых данных. Закон не требует согласовывать каждое обновление с регулятором, но политика должна соответствовать фактической обработке.
Автоматическая проверка фиксирует текущее состояние сайта: какие данные собираются, какие сервисы подключены, где стоят формы. Отчёт покажет, что изменилось и что требует описания в политике.
Как проверить политику и поведение сайта
Проверка начинается с чистой сессии — глазами нового посетителя, без сохранённых cookie и истории. Фиксируются все сетевые запросы: к кому, когда, с какими данными. Параллельно анализируется текст политики: извлекаются цели, способы, категории данных и реквизиты оператора.
Затем данные сопоставляются: есть ли в политике упоминание сервисов, которым реально отправляются запросы; описана ли трансграничная передача; указаны ли обязательные реквизиты. Каждое расхождение получает правовую квалификацию со ссылкой на норму закона.
Результат — заключение с эпизодами, их серьёзностью и рекомендациями, что исправить. Вы видите не только ошибки в тексте политики, но и то, что сайт делает на самом деле.
- Сайт открывается с чистой сессии, фиксируются все запросы до и после взаимодействия с баннером
- Из политики извлекаются цели, категории данных, реквизиты оператора и упоминания сервисов
- Сопоставляются текст и фактическое поведение: запуск трекеров, передача данных, наличие обязательных сведений
- Каждое расхождение квалифицируется по нормам закона и получает приоритет исправления
- Отчёт содержит снимки экрана, временные метки и дословные цитаты из политики
Что проверить в политике персональных данных прямо сейчас
- 01Реквизиты оператора. Откройте политику и найдите полное наименование, ИНН, ОГРН и адрес. Если вместо этого общие фразы — это пробел.
- 02Перечень сервисов. Посмотрите, упомянуты ли в политике счётчики, CRM, чаты и виджеты, которые стоят на сайте. Если нет — политика не покрывает фактическую обработку.
- 03Трансграничная передача. Если используете Google, зарубежные рекламные пиксели, Intercom или другие иностранные сервисы, в политике должен быть раздел о передаче данных за рубеж.
- 04Запуск трекеров до согласия. Откройте сайт в режиме инкогнито, откройте консоль разработчика (вкладка Network) и обновите страницу. Если запросы к аналитике идут до клика на баннер — это риск.
- 05Дата последнего обновления. Если политика не обновлялась год или больше, а на сайте появились новые формы или сервисы, документ устарел.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Политика персональных данных опубликована — этого достаточно, чтобы избежать штрафа?
Нет. Закон требует, чтобы политика описывала реальную обработку: цели, способы, категории данных, сервисы. Если текст не совпадает с тем, что сайт делает, риск остаётся.
Как понять, запускаются ли трекеры до согласия посетителя?
Откройте сайт в режиме инкогнито, запустите консоль разработчика (F12, вкладка Network) и обновите страницу. Если запросы к счётчикам идут до клика на баннер — трекеры стартуют раньше согласия.
Можно ли скопировать политику с другого сайта и подставить свои реквизиты?
Формально можно, но высок риск, что шаблон не покроет ваши сценарии обработки. Лучше проверить, какие данные реально собираются, и описать это.
Нужно ли уведомление Роскомнадзора, если политика опубликована?
Публикация политики — одно требование, уведомление регулятора — другое. Обязанность подать уведомление зависит от вида обработки, а не от наличия документа на сайте.
В политике не указан ИНН — это основание для штрафа?
Да. Закон требует указать идентификационные данные оператора. Отсутствие реквизитов может квалифицироваться как нарушение требований к содержанию политики.
Что делать, если на сайте появились новые формы, а политика не обновлялась?
Проверьте, какие данные собираются через новые формы, и дополните политику. Если данные передаются сторонним сервисам или за рубеж, это нужно описать отдельно.
Проверка покажет все ошибки в политике?
Проверка покажет расхождения между текстом политики и фактическим поведением сайта на публичных страницах. Серверную часть, закрытые разделы и внутренние процессы проверка не охватывает.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.