Проверка сайта: персональные данные и русский язык

Что на самом деле делает ваш сайт с данными посетителя

Когда новый посетитель открывает страницу, до того как он нажал хоть одну кнопку, браузер уже обменивается данными с внешними сервисами. Это могут быть системы аналитики, счётчики, карты, шрифты, чаты, виджеты и кнопки входа через сторонние сервисы. Часть из них иностранные — а значит, возникает вопрос трансграничной передачи данных.

Проблема в том, что из текста на сайте этого не видно. Баннер про cookie и политика обработки персональных данных описывают намерение оператора, а не фактическое поведение страниц. Расхождение между документом и реальным запуском аналитики — типичный источник претензий.

Именно поэтому проверка начинается с чистой сессии: сайт открывается глазами нового посетителя, без входа в аккаунт, и фиксируется, какой сервис получил данные и в какой момент. Это не догадка, а наблюдаемый факт со снимком экрана и временем фиксации.

• какие иностранные сервисы и запросы получают данные посетителя
• стартует ли аналитика и cookie-файлы раньше согласия
• есть ли авторизация через иностранные сервисы
• что собирают веб-формы и как оформлены согласия
• что написано в политиках, согласиях, офертах и реквизитах оператора

Трекеры до согласия: где чаще всего расходятся текст и реальность

Баннер про cookie сам по себе не решает задачу. Смысл его в том, чтобы человек мог не только согласиться, но и отказаться, а также выбрать категории обработки. Если равнозначного отказа нет и настроить категории нельзя, формально согласие есть, а реального выбора у посетителя нет.

Второй частый сюжет — момент запуска. Если аналитика и cookie-файлы стартуют до нажатия кнопки в баннере, посетитель уже передал данные, хотя согласия ещё не давал. На практике это выглядит как работающий баннер при работающих трекерах с первой секунды.

Технические признаки такого запуска — это риск и повод проверить, а не готовый вывод «нарушение». Юридическую оценку даёт квалификация по нормам, и в отчёте она приводится по каждому эпизоду отдельно, с рекомендацией, что исправить.

Иностранные сервисы и трансграничная передача: как это выглядит в проверке

Сетевой обмен браузера показывает, к каким внешним сервисам обращается страница. Если среди них есть иностранные, это уже повод разобраться: как сервис связан с обработкой персональных данных, на каких основаниях данные передаются и уведомлён ли регулятор о трансграничной передаче.

Требование хранить персональные данные граждан России в базах на территории страны и правила трансграничной передачи — темы, по которым санкции наиболее ощутимы. При этом сетевой обмен сам по себе фиксируется как технический сигнал для дополнительной проверки, а не как доказательство: браузер видит только запросы, но не то, как сервис обрабатывает данные на своей стороне.

Поэтому такие обстоятельства в отчёте выделяются отдельным блоком — «требуют дополнительной проверки», — а не подаются как установленное нарушение. Это честный способ отделить наблюдаемое от предполагаемого.

• фиксируются иностранные сервисы, получающие данные посетителя
• проверяется наличие авторизации через иностранные сервисы и связанных сценариев
• сетевые запросы описываются как технический сигнал, требующий дополнительной проверки
• каждый эпизод связывается с нормой закона и получает рекомендацию по исправлению

Документы сайта: политика, согласия, оферта, реквизиты оператора

Отдельная часть проверки — документы. Смотрится, опубликована ли политика обработки персональных данных, как оформлены согласия в веб-формах, что написано в оферте и указаны ли реквизиты оператора. Из документов же берутся сведения об операторах персональных данных: ИНН, ОГРН, контакты.

Здесь важно понимать, что оформленные документы — это не формальность. Обработка без законного основания, обработка без письменного согласия там, где оно обязательно, и отсутствие опубликованной политики — разные составы, и они оцениваются по-разному. В отчёте это отражено как отдельные эпизоды с собственной правовой квалификацией.

Все формулировки подтверждаются дословными цитатами из документов сайта. Это позволяет позже — самому или с юристом — свериться с первоисточником, а не с чьим-то пересказом.

Как проверить свой сайт самому и что останется за пределами проверки

Часть вещей владелец сайта может увидеть сам: открыть сайт в приватном окне браузера с чистой сессии и посмотреть, работает ли отказ в cookie-баннере, можно ли настроить категории, стоит ли галочка согласия в формах по умолчанию, опубликована ли политика и указаны ли реквизиты оператора.

Другая часть требует инструментов и подготовки: определить, какие иностранные сервисы получают данные и в какой момент стартуют трекеры, связать каждый факт с нормой и оценить серьёзность. Здесь полезна фиксация — снимки экрана, дословные цитаты, время наблюдения: без этого спор о фактах превращается в спор о впечатлениях.

И главное — понимать пределы любой такой проверки. Осматриваются только публичные страницы: без входа в аккаунт, без отправки форм и ввода данных. Сетевой обмен фиксируется как технический сигнал. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Если эпизодов не найдено, это значит, что на осмотренных публичных страницах признаков нарушений нет, — а не то, что сайт полностью соответствует закону: закрытые разделы, серверная часть и внутренние процессы остаются вне осмотра.