Что означают права доступа к ПДН применительно к сайту
Формулировка «права доступа к ПДН» читается двояко, и путаница между этими смыслами создаёт большинство проблем. С одной стороны, речь о правах человека на свои данные: узнать, какие сведения о нём собраны, потребовать уточнения или удаления, отозвать согласие. С другой — о том, кто фактически получает доступ к данным посетителей: сам оператор, его подрядчики и внешние сервисы, подключённые к страницам.
Владелец сайта отвечает за оба смысла. Если посетителю непонятно, кто и зачем обрабатывает его данные, вопрос в документах и информировании. Если данные уходят в сервисы, о которых человек не знал и на которые не соглашался, это уже вопрос законности обработки.
Дальше говорим о втором смысле: что происходит на ваших страницах до того, как посетитель нажмёт «принять», и как это увидеть со стороны.
Кто получает доступ к данным посетителя: каналы, видимые снаружи
Доступ к данным появляется не там, где вы вводите их вручную, а на каждом подключённом сервисе. Код страницы собирается из чужих скриптов, и часть запросов уходит не на ваши серверы, а напрямую во внешние системы.
При этом дело не только в именах и телефонах из формы. Идентификатор устройства, адрес, поведение на страницах и cookie-файлы тоже могут относиться к персональным данным — это зависит от того, можно ли связать их с конкретным человеком, и решается в каждом случае отдельно.
- Аналитика и рекламные пиксели — получают поведение, источник перехода, идентификаторы
- Встраиваемые блоки: карты, шрифты, видео, чаты, виджеты обратного звонка
- Кнопки входа через сторонние сервисы — передают данные авторизации
- Веб-формы: заявки, подписки, обратная связь — собирают данные и требуют согласия
- Cookie-файлы и локальное хранилище браузера — сохраняют идентификаторы между визитами
Трекеры и cookie: почему баннер не равен согласию и что с отказом
Наличие плашки с согласием ещё не значит, что согласие работает. Часто аналитика и рекламные скрипты запускаются при загрузке страницы, до нажатия кнопки: технически согласия ещё нет, а данные уже ушли внешним сервисам. Снаружи это выглядит одинаково — разница видна только в момент загрузки.
Проверить это можно самому. Откройте сайт в приватном окне, не нажимая ничего, и посмотрите сетевые запросы через инструменты разработчика в браузере. Зафиксируйте, какие адреса получили запрос до вашего решения, и сделайте снимки экрана с временем.
Отдельный вопрос — отказ от необязательных cookie. Если кнопка «принять» яркая и заметная, а отказаться нельзя или кнопка спрятана в глубине текста, выбор посетителя нельзя назвать равнозначным. В отчёте этот момент фиксируется отдельно: есть ли равнозначный отказ и можно ли настроить категории — аналитические, рекламные, функциональные. Практический признак проблемы — сайт работает одинаково и при согласии, и при отказе: значит, отказ ничего не меняет и фактически не работает. Проверьте это на своём сайте: откажитесь от необязательных cookie и обновите страницу в чистой сессии — набор запросов не должен остаться прежним.
Важная оговорка: сетевой запрос — это технический сигнал и повод для дополнительной проверки, а не готовый вывод о нарушении. Юридическая оценка зависит от того, какие данные передаются, на каком основании и что написано в ваших документах.
Данные уходят за рубеж: что это меняет для оператора
Иностранные сервисы аналитики, хостинг статики, карты, шрифты и онлайн-чаты получают данные посетителя на зарубежные адреса. Для трансграничной передачи действуют отдельные требования: страну нужно оценить по установленным критериям, а уведомление регулятора до начала передачи остаётся обязательным шагом.
Отдельно стоит требование хранить персональные данные граждан России в базах на территории страны. Здесь тоже не всё однозначно: сам факт запроса к зарубежному сервису — сигнал, который требует разбора, а не автоматический вывод.
Поэтому в заключении такие эпизоды описываются как обстоятельства, требующие дополнительной проверки, — с указанием, какие именно сервисы и запросы зафиксированы на осмотренных страницах.
Как проверить доступ к данным посетителей на своём сайте
Начните с чистой сессии: приватное окно, без входа в аккаунт, без отправки форм. Пройдите основные публичные страницы и запишите, какие запросы уходят до нажатия кнопки согласия, какие cookie сохраняются и какие внешние сервисы к ним обращаются. Снимки экрана и дословные цитаты из документов пригодятся, если позже понадобится объяснять, что именно вы нашли.
Затем сверьте документы с фактами. Политика обработки, тексты согласий, оферта и реквизиты оператора должны описывать тот набор сервисов и целей, который реально работает на сайте. Если в документах нет сервиса, который виден в запросах, — это первое, что стоит исправить.
Расставляйте очерёдность по риску: сначала то, что может квалифицироваться как обработка без основания или без согласия, потом оформление и косметика. Такой разбор можно сделать самостоятельно, а можно пройти проверку в Dobrolex: фиксируются факты со снимками и временем, каждый факт связывается с нормой закона и получает очерёдность исправления. Проверяются только публичные страницы — без входа в аккаунт и отправки форм.
Чек-лист: проверьте доступ к данным на своём сайте
- 01Чистая сессия. Откройте сайт в приватном окне, без входа в аккаунт и без отправки форм — так его видит новый посетитель.
- 02Что уходит до согласия. Посмотрите сетевые запросы до нажатия кнопки согласия: стартовала ли аналитика и записались ли cookie раньше вашего решения.
- 03Равнозначность отказа. Проверьте, есть ли отказ от необязательных cookie рядом с кнопкой согласия и можно ли настроить категории.
- 04Работает ли отказ. Откажитесь от необязательных cookie и обновите страницу: набор запросов должен измениться, а не остаться прежним.
- 05Документы против фактов. Сверьте политику, тексты согласий, оферту и реквизиты оператора с реально подключёнными сервисами и целями.
- 06Зарубежные адреса. Отметьте запросы к иностранным сервисам: карты, шрифты, статика, чаты, аналитика — это повод для отдельного разбора.
- 07Материалы фиксации. Сохраните снимки экрана, время осмотра и дословные цитаты из документов — без них спор о фактах превращается в догадки.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Права доступа к ПДН — это про права человека или про доступ внутри сайта?
И про то, и про другое. У человека есть право узнать, какие его данные собраны, потребовать уточнения или удаления и отозвать согласие. У владельца сайта при этом есть обязанность понимать, кто фактически получает эти данные: его подрядчики, внешние сервисы, встроенные блоки. На практике проблемы начинаются там, где эти два смысла расходятся — в документах одно, в коде другое.
Если трекер запустился до нажатия кнопки согласия, это уже нарушение?
Это технический признак и повод для проверки. Обработка без согласия, когда оно обязательно, может квалифицироваться как нарушение, но вывод зависит от того, какие данные передаются, на каком основании и как устроен баннер. Поэтому в заключении такие эпизоды описываются с оговорками, а не как готовый приговор.
Нужно ли отключать всю аналитику на сайте?
Нет. Вопрос не в наличии сервисов, а в основании обработки, в корректном механизме согласия и в том, чтобы документы описывали реальный набор сервисов и целей. Часто достаточно настроить запуск после согласия и привести тексты в соответствие с фактами.
Как понять, что данные уходят за рубеж, если я сам их никуда не отправляю?
Данные передают встроенные сервисы: аналитика, карты, шрифты, статика, онлайн-чаты. Их запросы уходят на зарубежные адреса без вашего участия. Увидеть это можно только со стороны — в сетевых запросах при загрузке страницы, поэтому проверка идёт с чистой сессии.
Если проверка не нашла эпизодов, значит сайт полностью соответствует закону?
Нет. Это значит, что на осмотренных публичных страницах признаков нарушений не найдено. Закрытые разделы, серверная часть и внутренние процессы не проверяются, поэтому такой результат — не гарантия соответствия и не доказательство безопасности.
Можно ли проверить страницы, доступные только после входа в аккаунт?
Нет, проверяются только публичные страницы: без входа в аккаунт, без отправки форм и ввода данных. Всё, что происходит в личном кабинете и во внутренних системах, остаётся за пределами осмотра — это прямо указано в пределах проверки.
Что делать в первую очередь, если нашлись замечания?
Сначала то, что создаёт правовой риск: запуск аналитики и cookie до согласия, отсутствие равнозначного отказа, несоответствие документов фактическому набору сервисов. Оформление и косметика — после. Заключение даёт очерёдность исправлений и не заменяет консультацию юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.