Когда сайту нужно поручение обработки персональных данных
По 152-ФЗ оператор вправе поручить обработку персональных данных другому лицу — подрядчику, агентству, сервису. Основание — договор, в котором закреплены условия обработки: какие действия с данными разрешены, для каких целей, как обеспечивается конфиденциальность и защита. Пока эти условия не зафиксированы, для посетителя и регулятора картина выглядит так, что данные уходят третьему лицу без правового основания.
Поручение нужно не каждой компании, с которой вы работаете, а тем, кто получает доступ к персональным данным посетителей: хостинг, CRM, сервис рассылок, аналитика, онлайн-чат, служба доставки, колл-центр. Если подрядчик видит только обезличенную статистику, вопрос обычно не возникает — но это стоит подтвердить фактами, а не предположением.
Ответственность перед посетителем и регулятором остаётся на операторе: поручение не переносит её на подрядчика. В договоре можно распределить между собой убытки и порядок действий при инциденте, но обязанности оператора это не отменяет.
Состав условий и форму документа лучше согласовать с юристом: универсального шаблона, который одинаково подойдёт интернет-магазину, лендингу и сервису с личным кабинетом, нет.
Кто на самом деле получает данные с вашего сайта
Прежде чем что-то оформлять, нужно понять, с кем именно. Часть сервисов подключают разработчики и маркетологи, и они не попадают ни в договоры, ни в политику: счётчики аналитики, чаты поддержки, карты, внешние шрифты, CDN, кнопки входа через иностранный сервис, пиксели рекламных систем.
Проверка Dobrolex смотрит на сайт глазами нового посетителя — с чистой сессии и до нажатия кнопки согласия. Фиксируются снимки экрана, время и дословные цитаты из документов, а каждый факт связывается с нормой закона и получает очерёдность исправления.
В заключении видно, куда уходят данные и где в документах пробелы. Важная оговорка: сетевой обмен браузера фиксируется как технический сигнал. Он показывает, к каким сервисам уходят запросы, но сам по себе не доказывает, что данные обрабатываются за рубежом, — это обстоятельство, требующее дополнительной проверки.
- запросы к иностранным сервисам и внешним доменам
- трекеры и cookie-файлы, стартующие раньше согласия
- вход через иностранный сервис и связанные с ним сценарии
- cookie-баннер: есть ли равнозначный отказ и настройка категорий
- веб-формы, сбор персональных данных и текст согласия
- политики, согласия, оферты и реквизиты оператора
Как проверить это самостоятельно
Начните с чистой сессии: откройте сайт в режиме инкогнито и не нажимайте ничего в баннере. То, что загрузилось до согласия, — счётчики, cookie, запросы к внешним доменам — может быть обработкой и требует проверки. Это тот же порядок, в котором сайт осматривает проверка.
Затем посмотрите на документы: есть ли политика обработки персональных данных, указаны ли реквизиты оператора, сказано ли в политике и согласиях о передаче данных третьим лицам. Если в тексте написано, что данные не передаются, а на странице работает чат и аналитика, расхождение заметно и посетителю, и регулятору.
Соберите список сервисов и сверьте его с договорами. По каждому, кто получает персональные данные, нужно решить: есть ли у вас условия обработки, требования к конфиденциальности и защите, понятно ли из документов, для каких целей данные передаются.
Отдельно отметьте зарубежные сервисы. Если данные действительно уходят за границу, уведомление регулятора до начала передачи по-прежнему обязательно, а критерии стран уточнены — это не техническая мелочь, а отдельное требование.
Что исправить в первую очередь
Очерёдность зависит от того, что найдено. В заключении у каждого эпизода указывается серьёзность, а план даёт порядок исправлений: уровней «высокий», «средний», «низкий» в отчёте нет, чтобы решение не превращалось в формальную оценку.
- Трекеры стартуют раньше согласия — привести запуск в соответствие с баннером или переписать баннер.
- В cookie-баннере нет равнозначного отказа — добавить отказ и настройку категорий.
- Формы собирают данные без понятного согласия — доработать формы и текст согласия.
- В политике не сказано о передаче данных третьим лицам — обновить документ.
- Есть подрядчики, получающие данные без условий обработки, — оформить поручение или раздел в договоре.
- Данные уходят за границу — оценить трансграничную передачу и необходимость уведомления.
Чего проверка не показывает
Проверяются только публичные страницы: без входа в аккаунт, без отправки форм и ввода данных. Закрытые разделы, серверная часть и внутренние процессы компании остаются вне осмотра.
Сетевой обмен фиксируется как технический сигнал, а не как доказательство. Выводы формулируются через «создаёт риск» и «может квалифицироваться», а не как установленный факт нарушения.
Если эпизодов не найдено, это значит, что на осмотренных публичных страницах признаков нарушений нет. Это не гарантия соответствия закону: заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Что можно проверить самому прямо сейчас
- 01Осмотрите сайт в инкогнито. Откройте сайт в режиме инкогнито и ничего не нажимайте в cookie-баннере: то, что загрузилось до согласия, может быть обработкой данных и требует проверки.
- 02Проверьте cookie-баннер. Посмотрите, есть ли отказ, равнозначный согласию, и можно ли настроить категории cookie по отдельности.
- 03Выпишите внешние сервисы. Составьте список сервисов, к которым уходят запросы: аналитика, чат, карты, внешние шрифты, CDN, кнопки входа.
- 04Найдите документы. Проверьте, опубликована ли политика обработки персональных данных и указаны ли на сайте реквизиты и контакты оператора.
- 05Сверьте тексты с реальностью. Прочитайте политику и согласия: сказано ли там о передаче данных третьим лицам — и совпадает ли это с тем, что происходит на страницах.
- 06Пролистайте договоры с подрядчиками. Отметьте, у кого из тех, кто получает персональные данные, в договоре не описаны цели обработки, конфиденциальность и требования к защите.
- 07Отметьте зарубежные сервисы. Выпишите отдельно всё, что связано с иностранными доменами: это обстоятельство для дополнительной проверки, в том числе по трансграничной передаче.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Поручение обработки персональных данных обязательно, если у нас есть договор с подрядчиком?
Договор сам по себе вопрос не закрывает: важно, описаны ли в нём условия обработки — какие действия с данными разрешены, для каких целей, как обеспечивается конфиденциальность. Если подрядчик получает персональные данные посетителей, эти условия фиксируют отдельным документом или разделом договора. Точный объём зависит от того, что именно подрядчик делает с данными.
Мы пользуемся только аналитикой и онлайн-чатом. Это уже поручение?
Как правило, да, если сервис получает данные, по которым можно определить человека: IP-адрес, cookie, текст обращения в чат, контакты из формы. Обезличенная статистика — другой случай, но обезличенность нужно подтвердить фактами, а не предположением.
Кто отвечает, если данные утекут у подрядчика?
Перед посетителем и регулятором обязанности остаются на операторе: поручение не переносит ответственность на подрядчика. В договоре можно распределить убытки и порядок действий при инциденте, но это внутренняя договорённость сторон.
Нужно ли отдельное согласие посетителя на то, что данные обрабатывает подрядчик?
Согласие даётся на обработку данных, а не на конкретного подрядчика. При этом посетитель должен понимать из документов, кому и для чего передаются его данные. Если в политике написано, что данные третьим лицам не передаются, а на сайте работает чат и аналитика, это расхождение — как именно поправить формулировки в вашем случае, решает юрист.
Если запрос уходит на иностранный сервис, это уже трансграничная передача?
Запрос к зарубежному домену — технический сигнал, а не установленный факт передачи. Он означает, что обстоятельство нужно проверить дополнительно. Если передача действительно есть, уведомление регулятора до её начала по-прежнему обязательно, а критерии стран уточнены.
Что мы получим после проверки сайта?
Заключение в PDF: какие сервисы и запросы получают данные посетителя, дословные цитаты из документов, снимки экрана со временем фиксации и правовую квалификацию по каждому эпизоду с рекомендацией, что исправить. У эпизодов указана серьёзность, а план даёт очерёдность исправлений.
Проверка гарантирует, что претензий к сайту не будет?
Нет. Осматриваются только публичные страницы, без входа в аккаунт и отправки форм; серверная часть и внутренние процессы остаются вне проверки. Формулировка «нарушений не найдено» означает, что на осмотренных страницах признаков нарушений нет, — это не гарантия соответствия закону и не заменяет консультацию юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.