Признаки нарушения 152-ФЗ на сайте: что видно при осмотре и как это проверить

Признак нарушения — это сигнал, а не готовый вывод

Признак нарушения — это зафиксированный факт о работе сайта: трекер стартовал до согласия, форма отправила данные без отметки, в документах нет реквизитов оператора. Сам по себе такой факт ещё не означает, что нарушение доказано: юридическая квалификация зависит от обстоятельств и может звучать только как «может квалифицироваться».

Поэтому осмотр публичных страниц не выносит приговор, а собирает материал: снимки экрана, время фиксации, дословные цитаты из документов сайта. Чем аккуратнее зафиксированы факты, тем спокойнее с ними работать — их можно показать разработчику, юристу или использовать как основание для правок.

Отдельная категория — обстоятельства, требующие дополнительной проверки. Например, сетевые запросы к внешним сервисам: браузер действительно отправляет данные, но окончательный вывод о том, что это нарушение, делать рано. Это повод проверить настройки, а не готовый эпизод.

• Факт: аналитика запускается до нажатия кнопки в баннере
• Факт: у отказа нет равнозначной кнопки
• Факт: в политике нет реквизитов оператора
• Вывод: каждый факт связывается с нормой и получает очерёдность исправления

Трекеры и cookie-баннер: где признаки видны в первую очередь

Главный источник признаков — момент, когда на сайте стартуют счётчики и cookie-файлы. Смотреть нужно не на текст баннера, а на поведение страницы: успевают ли аналитические и рекламные скрипты запуститься раньше, чем посетитель что-то выбрал. Баннер при этом может выглядеть вполне аккуратно — сам по себе он ничего не гарантирует.

Второй момент — конструкция баннера. Обратите внимание, есть ли у согласия и отказа равнозначные варианты: одинаково заметные кнопки, без тёмных паттернов и мелких серых ссылок. И можно ли настроить категории — отдельно обязательные файлы, отдельно аналитические и рекламные.

Третий момент — что происходит после отказа. Если посетитель отклонил необязательные cookie, а трекеры всё равно продолжают работать, это тоже фиксируемый признак. Здесь важно проверить сайт с чистой сессии, как это делает новый посетитель: накопленные cookie в вашем браузере скрывают реальную картину.

• Откройте сайт в приватном окне и до любого нажатия посмотрите, какие скрипты уже загрузились
• Проверьте, есть ли у отказа равнозначная кнопка, а не только ссылка «подробнее»
• Отклоните необязательные cookie и посмотрите, останавливается ли аналитика
• Зафиксируйте снимком экрана вид баннера до и после выбора

Куда уходят данные посетителя: иностранные сервисы и трансграничная передача

Отдельная группа признаков связана с тем, что данные посетителя уходят за пределы России — к иностранным сервисам аналитики, рекламы, хостинга, поддержки. Технически это видно по запросам, которые браузер отправляет при загрузке страницы: адрес сервиса, тип запроса, какие параметры ушли вместе с ним.

Для трансграничной передачи действует важное правило: уведомлять Роскомнадзор нужно до начала передачи, и эта обязанность сохраняется. Критерии стран, в которые передача допустима, уточнены поправками в закон о персональных данных — поэтому настройки, работавшие пару лет назад, сегодня требуют пересмотра.

Ещё один сценарий — авторизация на сайте через иностранные сервисы. Такая кнопка выглядит как удобная функция, но за ней стоит передача данных посетителя внешней стороне. В осмотре это фиксируется как отдельный эпизод, потому что сочетание иностранного сервиса и сбора данных может квалифицироваться как нарушение требований к обработке.

• Список внешних доменов, к которым обращается страница при загрузке
• Какие данные уходят в параметрах запроса и есть ли среди них идентификаторы посетителя
• Есть ли на сайте кнопки входа через иностранные сервисы
• Фиксируется как технический сигнал — с пометкой «требует дополнительной проверки»

Формы, согласия и документы оператора: что проверять по содержанию

Формы на сайте — самый наглядный источник признаков. Смотрите, какие поля собирают данные, есть ли рядом отметка о согласии и не отправляется ли форма без неё. Если согласие оформлено как «отправляя форму, вы соглашаетесь», стоит проверить, соответствует ли такая конструкция требованиям к согласию, потому что обработка без надлежащего согласия — самостоятельный эпизод.

Дальше — документы: политики, согласия, оферты и реквизиты оператора. Здесь важно смотреть не на факт существования страницы, а на её содержание и на то, насколько оно совпадает с тем, что сайт делает в действительности. Конкретный набор сведений, который должен быть в каждом таком документе, и требования к его доступности в фактуре не перечислены — это то, что требует отдельной проверки по тексту и обстоятельствам. Отдельно смотрят реквизиты оператора: наименование, ИНН, ОГРН и контакты для обращений.

Ещё один пункт, о котором часто забывают: уведомление Роскомнадзора о намерении обрабатывать персональные данные. Его наличие и своевременность по публичным страницам не проверяются — это внутренний документ, но в отчёте он попадает в перечень обстоятельств, которые стоит подтвердить самостоятельно.

Проверять согласия, оферты и реквизиты нужно по тексту, а не по факту существования страницы. Дословные цитаты из документов позволяют потом показать разработчику или юристу ровно то место, из-за которого возник вопрос.

• Есть ли у каждой формы отметка о согласии и что в ней написано
• Опубликована ли политика и доступна ли она со всех страниц
• Указаны ли ИНН, ОГРН и контакты оператора
• Совпадают ли обещания в документах с тем, что реально делает сайт

Как проверить свой сайт самостоятельно и когда нужен разбор

Базовую проверку можно сделать самому за один вечер. Откройте сайт в приватном окне, пройдите по ключевым страницам и запишите, какие скрипты стартуют до согласия, что показывает баннер, какие поля есть в формах. Затем сверьте содержимое политики с тем, что вы увидели на страницах: расхождения между текстом и поведением сайта — самый частый источник признаков.

Дальше соберите всё в один список и попробуйте расставить очерёдность: сначала то, что затрагивает данные всех посетителей, потом частные случаи. Уже на этом этапе видно, нужна ли помощь разработчика, юриста или обоих.

Если хочется не гадать, а получить разбор с фиксацией, для этого есть Dobrolex: сайт осматривается с чистой сессии, каждый факт связывается с нормой закона и получает очерёдность исправления. В результате вы получаете заключение в PDF с фактами, уровнем риска и понятным планом — его можно передать в работу без пересказа.

Важно держать в голове пределы любой такой проверки. Осматриваются только публичные страницы, без входа в аккаунт и отправки форм; сетевые запросы фиксируются как технический сигнал, а не как доказательство. Если эпизодов не найдено, это означает, что на осмотренных страницах признаков нарушений нет, — и не является гарантией полного соответствия закону.