Проверка сайта по 152-ФЗ начинается с фактического поведения
Документы на странице показывают заявленные правила, но не всегда отражают то, что происходит в браузере. Поэтому сайт осматривают глазами нового посетителя: до согласия проверяют загрузку аналитики, cookie-файлов, внешних виджетов и иных сервисов.
Особое внимание нужно уделить запросам к внешним и иностранным платформам. Такой сетевой обмен не является готовым выводом о нарушении, но помогает заметить сценарий, который нужно сопоставить с целями обработки, согласием и устройством сайта.
- запуск аналитики и cookie-файлов до выбора посетителя
- внешние запросы и авторизация через сторонние сервисы
- формы, цели сбора и тексты согласий
- политика, оферта и реквизиты оператора
Что проверить в cookie-баннере и трекерах
Наличие баннера само по себе не подтверждает корректную настройку согласия. Важно проверить, блокируются ли необязательные трекеры до выбора, доступен ли равнозначный отказ и может ли посетитель управлять категориями.
Фиксируйте экран и время осмотра, а затем сопоставляйте их с техническим поведением страницы. Если трекер стартовал раньше согласия, это повод проверить правовое основание и настройки, а не автоматический окончательный вывод о нарушении.
- Есть ли заметный отказ на условиях, сопоставимых с согласием.
- Можно ли отдельно включать и отключать категории cookie.
- Совпадает ли поведение баннера с фактическим запуском трекеров.
Как проверить формы, авторизацию и документы
В форме важны не только обязательные поля, но и связь между собираемыми сведениями, целью и текстом согласия. Авторизация через стороннюю платформу требует отдельного разбора сценария: какие данные получает сайт и какие сервисы участвуют в обмене.
На публичных страницах найдите политику обработки персональных данных, согласия, оферту и реквизиты оператора. Снимки экрана и дословные цитаты позволяют увидеть расхождения между документами, интерфейсом и фактическими запросами.
- Состав полей и понятность целей их сбора.
- Ссылки на политику и согласие рядом с формой.
- Сведения об операторе, указанные на сайте.
- Сценарии входа через сторонние сервисы.
Как выглядит полезный результат проверки
Хорошее заключение отделяет установленные обстоятельства от предположений. В нём должны быть факты осмотра, сведения об операторе из документов, правовая квалификация каждого эпизода и рекомендация, что изменить в коде, настройках или документах.
Отдельно фиксируются пределы: публичные страницы проверяются без входа в аккаунт, отправки форм и ввода данных; сетевой обмен рассматривается как технический сигнал. Даже отсутствие найденных эпизодов означает только отсутствие признаков на осмотренных страницах, а не полное соответствие закону.
- Список осмотренных публичных страниц.
- Снимки экрана, цитаты документов и время фиксации.
- Эпизоды с признаками нарушений и их серьёзность.
- Обстоятельства, требующие дополнительной проверки.
- План исправлений и оговорки о границах осмотра.
Что проверить самостоятельно
- 01Проверьте запуск трекеров. Откройте сайт в приватном окне и проверьте, запускаются ли аналитика и cookie-файлы до любого выбора.
- 02Оцените cookie-баннер. Посмотрите, есть ли равнозначная кнопка отказа и возможность отдельно настроить категории cookie.
- 03Разберите веб-формы. Проверьте публичные формы: какие поля запрашиваются, куда ведут ссылки на согласия и понятны ли цели сбора.
- 04Сверьте документы. Найдите политику обработки персональных данных, согласия, оферту и реквизиты оператора.
- 05Посмотрите внешние запросы. Проверьте, не загружаются ли на публичной странице внешние сервисы и авторизация через иностранные платформы.
- 06Сравните сайт и документы. Сопоставьте фактическое поведение сайта с текстом баннера и документов, а спорные сигналы отметьте для дополнительной проверки.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что включает проверка сайта по 152-ФЗ?
Проверка смотрит публичные страницы в чистой сессии до любого согласия: баннер, трекеры, формы, документы и технические запросы браузера. Закрытые разделы, серверную часть и внутренние процессы она не охватывает.
Достаточно ли найти иностранный сервис, чтобы признать нарушение?
Нет. Внешний запрос — технический сигнал для дополнительной проверки. Сам по себе он не подтверждает нарушение: нужно выяснить, какие данные передаются, на каком основании и как устроен процесс обработки.
Почему нужно проверять cookie, если на сайте есть баннер?
Текст баннера не заменяет фактическую проверку. Важно посмотреть, стартуют ли аналитика и cookie-файлы до выбора посетителя, есть ли равнозначный отказ и можно ли настроить категории.
Что проверить в документах перед проверкой Роскомнадзора?
Проверьте наличие политики, содержание согласий, цели сбора, состав полей и реквизиты оператора. Затем сопоставьте документы с тем, что сайт реально загружает и отправляет в браузере.
Нужно ли уведомление Роскомнадзора об обработке персональных данных?
Уведомление зависит от статуса оператора и обстоятельств обработки. По публичному сайту можно проверить сведения в документах и выявить вопросы, но отсутствие видимого уведомления не позволяет сделать окончательный вывод без анализа ситуации.
Заменяет ли отчёт консультацию или проверку регулятора?
Заключение фиксирует обстоятельства осмотра, снимки экрана, цитаты документов, правовую оценку эпизодов и рекомендации. Оно не является обращением в Роскомнадзор и не заменяет консультацию юриста.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.