Почему проверка сайта на 152-ФЗ — это не только про политику конфиденциальности
152-ФЗ регулирует обработку персональных данных — любых сведений, которые относятся к конкретному человеку. На сайте это не только имя и телефон из формы заявки, но и IP-адрес, идентификаторы браузера, данные о поведении посетителя, которые собирают системы аналитики.
Типичная ситуация: на сайте есть политика конфиденциальности и cookie-баннер, владелец уверен, что всё в порядке. Но при проверке выясняется, что Google Analytics и зарубежные рекламные пиксели стартуют сразу при загрузке страницы — до того, как посетитель нажал «Принять». Данные уже ушли за рубеж, согласия не было. Это создаёт риск: обработка без законного основания, передача данных в иностранные государства без уведомления регулятора.
Чтобы проверить сайт на 152-ФЗ, недостаточно прочитать документы — нужно увидеть, что происходит технически: какие скрипты запускаются, какие запросы уходят, когда именно это происходит. Только так можно оценить реальные риски и понять, что исправлять в первую очередь.
Что проверять: пять зон риска на сайте
Трекеры и аналитика — первая зона. Системы вроде Google Analytics, Яндекс Метрики, зарубежных рекламных пикселей собирают данные о посетителях. Ключевой вопрос: стартуют ли они до согласия? Если да, это обработка без законного основания. Передача данных за рубеж — вторая зона: если данные отправляются на серверы в США или Европе, нужны условия — либо страна обеспечивает адекватную защиту, либо оператор уведомил Роскомнадзор.
Cookie-баннер — третья зона. Недостаточно показать уведомление — важно, чтобы у посетителя был равнозначный выбор: принять, отказаться или настроить категории. Если кнопка «Отказаться» спрятана или её нет, это нарушение принципа добровольности согласия.
Веб-формы и согласия — четвёртая зона. Когда сайт собирает имя, телефон, email, нужно получить согласие на обработку. Текст согласия должен быть конкретным: кто обрабатывает, зачем, какие данные, как долго. Общие фразы вроде «согласен с политикой» могут не соответствовать требованиям закона.
Документы и реквизиты оператора — пятая зона. Политика обработки персональных данных должна быть опубликована на сайте, в ней — сведения об операторе (ИНН, ОГРН, адрес, контакты), цели и основания обработки, права субъектов. Если документа нет или он формальный, это самостоятельный риск.
Как устроена проверка: от технической фиксации до правовой квалификации
Проверка начинается с чистой сессии — сайт открывается так, как его видит новый посетитель: без истории, без cookie, без согласий. Это важно: только так можно зафиксировать, что происходит до любого действия пользователя. Инструменты отслеживают сетевой обмен браузера, запуск скриптов, установку cookie.
Каждый эпизод фиксируется со снимком экрана и временем. Например: «12:34:15 — загружена главная страница, cookie-баннер отображён. 12:34:16 — зафиксирован запрос к google-analytics.com, передан идентификатор браузера». Дословные цитаты из политики конфиденциальности и текстов согласий тоже сохраняются.
Затем каждый факт связывается с нормой закона. Если трекер стартовал до согласия, это может квалифицироваться как обработка без законного основания. Если данные ушли в США без уведомления Роскомнадзора — как нарушение правил трансграничной передачи. Если политики нет — как невыполнение обязанности опубликовать документ. Отчёт показывает, какая норма применяется, какой диапазон санкций предусмотрен и что нужно исправить.
Что вы получаете и как с этим работать
Результат проверки — заключение в PDF. В резюме — эпизоды с признаками нарушений, их серьёзность и ориентировочный диапазон санкций. Это не приговор, а карта рисков: вы видите, где проблема и насколько она критична.
Дальше — установленные обстоятельства с доказательствами: снимки экрана, время фиксации, цитаты из документов. Правовая квалификация для каждого эпизода: ссылка на норму закона, объяснение, почему это риск, и рекомендация, что делать. Например: «Отключить автоматический запуск Google Analytics, настроить загрузку только после согласия посетителя».
Если проверка выявила обстоятельства, требующие дополнительной проверки — например, сетевые запросы к внешним сервисам, — они перечислены отдельно. Это технические сигналы, которые могут указывать на риск, но требуют более глубокого анализа. Заключение также содержит оговорки и пределы: что именно проверялось, что осталось за рамками, как использовать результаты.
Проверка не заменяет консультацию юриста и не является обращением в Роскомнадзор. Это инструмент для того, чтобы увидеть фактическую картину, расставить приоритеты и начать работу над рисками. Если нарушений не найдено, отчёт подтверждает: на осмотренных публичных страницах признаков рисков нет. Это не гарантия полного соответствия закону — закрытые разделы, серверная часть и внутренние процессы остаются за рамками, — но это основание для спокойной работы.
Что проверить на сайте прямо сейчас
- 01Откройте сайт в режиме инкогнито. Посмотрите, что видит новый посетитель: есть ли cookie-баннер, какие кнопки на нём, можно ли отказаться от cookie или только принять.
- 02Проверьте, есть ли политика обработки персональных данных. Найдите документ на сайте, убедитесь, что в нём указаны реквизиты оператора (ИНН, ОГРН, адрес), цели обработки и права субъектов.
- 03Посмотрите на веб-формы: заявка, подписка, регистрация. Есть ли рядом с формой текст согласия на обработку данных? Конкретен ли он: кто обрабатывает, зачем, какие данные?
- 04Откройте инструменты разработчика в браузере (F12), вкладка Network. Обновите страницу и посмотрите, какие запросы уходят сразу при загрузке — до того, как вы нажали «Принять cookie». Если видите google-analytics.com, doubleclick.net или домены зарубежных рекламных пикселей — данные уже отправлены.
- 05Проверьте, где хранятся данные посетителей. Если вы используете зарубежные сервисы аналитики, CRM или авторизации, данные могут уходить за рубеж. Уточните у разработчика или в документации сервиса, где расположены серверы.
- 06Оцените, собираете ли вы данные детей до 18 лет. Если да, нужно согласие родителей или законных представителей. Проверьте, реализован ли этот механизм.
- 07Узнайте, подавали ли уведомление в Роскомнадзор. Если вы обрабатываете персональные данные (собираете заявки, ведёте базу клиентов), в большинстве случаев нужно уведомление. Уточните у юриста или бухгалтера, было ли оно подано.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что именно на сайте может нарушать 152-ФЗ?
Трекеры и аналитика, запущенные до согласия посетителя; передача данных на серверы за рубежом без уведомления Роскомнадзора; отсутствие равнозначного выбора в cookie-баннере; сбор данных через формы без конкретного согласия; отсутствие или неполная политика обработки персональных данных.
Достаточно ли наличия cookie-баннера, чтобы быть в порядке?
Нет. Важно не только показать баннер, но и обеспечить равнозначный выбор (принять, отказаться, настроить) и не запускать трекеры до согласия. Проверка показывает, что происходит технически — стартуют ли скрипты до клика.
Как понять, уходят ли данные с сайта за рубеж?
Проверка фиксирует сетевые запросы браузера и показывает, какие иностранные сервисы получают данные. Если используете Google Analytics, зарубежные рекламные пиксели, зарубежные CRM или CDN — данные, скорее всего, передаются за пределы России.
Что делать, если в отчёте выявлены нарушения?
Отчёт содержит рекомендации по каждому эпизоду: что исправить в коде, настройках или документах. Можно передать отчёт разработчику и юристу, расставить приоритеты по серьёзности рисков и начать исправления. Dobrolex также предлагает план действий и сопровождение.
Проверка заменяет консультацию юриста?
Нет. Заключение — это фиксация фактов и правовая квалификация рисков, но не юридическая консультация. Для решений по уведомлению Роскомнадзора, согласиям или внутренним процессам лучше привлечь юриста.
Если нарушений не найдено, значит ли это, что сайт полностью соответствует закону?
Нет. Это значит, что на осмотренных публичных страницах признаков нарушений не выявлено. Закрытые разделы (личный кабинет, админка), серверная часть и внутренние процессы (хранение баз данных, работа с подрядчиками) остаются за рамками проверки.
Какие санкции могут быть за нарушения на сайте?
Диапазон зависит от эпизода. Обработка без законного основания или согласия, отсутствие политики, нарушение правил хранения данных в России — каждая норма предусматривает свой размер штрафа. Отчёт показывает применимые нормы и ориентировочный диапазон санкций для вашего случая.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.