Сайт собирает ПДн: как проверить и исправить риски по 152-ФЗ

Что значит «сайт собирает ПДн» и почему это важно

Персональные данные — это любая информация, которая относится к конкретному человеку: имя, телефон, email, IP-адрес, cookie-идентификатор. Когда посетитель открывает ваш сайт, заполняет форму или просто перемещается по страницам, сайт может собирать эти данные — явно или незаметно.

Проблема в том, что владельцы сайтов часто не знают, что именно собирается. Разработчики установили Google Analytics, Яндекс Метрику, зарубежные рекламные пиксели, формы подписки — и каждый из этих инструментов может запускаться автоматически, отправлять данные за рубеж или работать до того, как посетитель дал согласие.

Закон о персональных данных требует: сообщать посетителю, какие данные вы собираете, зачем и куда передаёте; получать согласие, если обработка не основана на договоре или законе; хранить данные граждан России на территории страны. Нарушение этих требований может повлечь штрафы, предписания Роскомнадзора и жалобы клиентов.

Что сайт делает с данными на практике: трекеры, формы и сторонние сервисы

Большинство сайтов используют сторонние сервисы для аналитики, рекламы, авторизации и коммуникации с клиентами. Например, счётчики Яндекс Метрики и Google Analytics собирают IP-адреса, идентификаторы устройств и поведение посетителей. Формы обратной связи и заказа запрашивают имя, телефон, email.

Ключевой риск — момент запуска трекера. Если аналитика или рекламный pixel стартует при загрузке страницы, до того как посетитель нажал «Принять» в cookie-баннере, данные уже собраны и отправлены. Формально это может квалифицироваться как обработка без согласия.

Второй риск — передача данных за рубеж. Если сайт отправляет запросы к иностранным сервисам (например, серверам Google или иностранных соцсетей в США или Ирландии), это может создать риск по требованию о локализации данных граждан России и правилам трансграничной передачи. Для многих сервисов требуется уведомление Роскомнадзора и дополнительные меры защиты.

Как проверить, что сайт собирает ПДн и куда их передаёт

Чтобы понять, что происходит на самом деле, нужно открыть сайт с чистой сессии — так, как его видит новый посетитель — и зафиксировать все сетевые запросы, запуск скриптов и содержание форм. Браузерные инструменты разработчика показывают часть картины, но требуют технических навыков и не дают правовой квалификации.

Профессиональная проверка фиксирует: какие трекеры и сторонние сервисы запускаются и в какой момент; какие данные передаются в каждом запросе и куда (домен, страна); как оформлены формы сбора данных и согласия; опубликованы ли политика обработки персональных данных и реквизиты оператора; соответствует ли cookie-баннер требованиям — есть ли равнозначный отказ и настройка категорий.

Результат такой проверки — не список технических терминов, а заключение с фактами, снимками экрана и связью каждого эпизода с нормой закона. Вы видите, где риск высокий (например, трекер стартует до согласия и отправляет данные за рубеж), а где достаточно уточнить текст политики.

Что исправить, чтобы снизить риски по 152-ФЗ

Первый шаг — отложить запуск трекеров и аналитики до явного согласия посетителя. Cookie-баннер должен давать равнозначный выбор: «Принять» и «Отклонить» на одном уровне, возможность настроить категории cookie. Скрипты аналитики и рекламы запускаются только после действия пользователя.

Второй шаг — проверить, какие данные передаются за рубеж, и оценить, можно ли использовать альтернативные решения (например, серверную аналитику или российские сервисы) либо оформить уведомление Роскомнадзора и дополнительные согласия для трансграничной передачи.

Третий шаг — привести в порядок документы: опубликовать политику обработки персональных данных с полным перечнем целей, оснований и получателей данных; оформить согласия на обработку в формах, если они требуются; указать в политике и согласиях реквизиты оператора (ИНН, ОГРН, адрес). Эти документы должны быть доступны посетителю до начала сбора данных.

Если на сайте выявлены эпизоды с признаками нарушений, исправления лучше делать в порядке приоритета: сначала — те, что создают риск крупного штрафа или предписания, затем — технические и документарные доработки. План действий помогает не упустить ни один эпизод и распределить работу между разработчиками, юристом и маркетологом.