Штраф за трансграничную передачу персональных данных: что проверяют на сайте

Трансграничная передача начинается в браузере, а не на сервере

Многие владельцы сайтов рассуждают так: данные лежат в моей CRM, за пределы компании они не уходят. На практике передача начинается в браузере — как только страница загрузила счётчик, карту, рекламный пиксель или виджет с внешнего домена. Браузер отправляет запрос, и вместе с ним уходят идентификаторы и технические сведения о посетителе.

Ключевое в том, что юридическую квалификацию даёт не сам запрос, а совокупность обстоятельств: когда он произошёл, что именно ушло, было ли у посетителя согласие, отражено ли это в документах. Поэтому техническая сторона фиксируется как сигнал, а вывод строится по фактам.

• Обмен с зарубежным сервисом виден по сетевым запросам браузера — это сигнал для проверки, а не готовый вывод о нарушении.
• Момент отправки важен не меньше самого факта: обмен до согласия выглядит рискованнее, чем после него.
• Отдельно смотрят, что именно уходит: технические идентификаторы или данные, которые человек ввёл сам.
• Основание обработки должно быть и в документах на сайте, и в реальном поведении страницы.

Где на обычном сайте передача появляется чаще всего

Типовые места знакомы любому маркетологу: счётчики аналитики, рекламные пиксели, карты и подключаемые библиотеки, CDN, виджеты обратной связи и чат, CRM-формы, авторизация через внешний аккаунт. Отдельная категория — блоки, которые тянутся с чужого домена: вместе с ними на страницу приезжает всё, что заложено их настройками.

Отключать всё подряд не нужно. Задача в том, чтобы понять, кто стоит за каждым запросом и можно ли обойтись без него. Если сервис нужен для отчётности или рекламы, разговор идёт не о том, чтобы убрать его, а о порядке: когда он запускается, какие данные уходят и что написано в согласии.

• Счётчики и пиксели: проверяется момент запуска и состав уходящих идентификаторов.
• Внешние библиотеки и карты: подключённый блок тянет за собой обращения к своему домену и доменам связанных сервисов.
• Авторизация через внешний сервис: посетитель передаёт данные учётной записи — отдельный сценарий риска.
• CRM и формы: заявка уходит туда, куда настроено у интегратора; это попадает в дополнительную проверку.

Штраф за трансграничную передачу персональных данных: как заметить проблему до проверяющих

Проверка начинается с чистой сессии: сайт открывают так же, как новый посетитель, до нажатия на кнопку согласия. Это принципиально — если трекер стартует автоматически, при первом открытии это видно, а после согласия уже нет.

Дальше фиксируется, какие иностранные домены запрашиваются, когда именно и с какими параметрами, а также дословные цитаты из документов сайта: политики, согласия, текста баннера. Каждый факт связывается с нормой и получает приоритет в плане исправлений.

Полезно понимать границу: сетевой обмен в заключении отмечен как технический сигнал, а не как доказательство. Ответ на вопрос о нарушении — ваш: какое основание обработки задумано, есть ли согласие, подано ли уведомление регулятору.

• Открыть сайт с чистой сессии и не нажимать согласие — так видны запросы, которые иначе скрыты.
• Записать, какие домены отвечают и в какой момент страницы.
• Сверить увиденное с текстами: что баннер обещает и что страница делает на самом деле.
• Собрать документы: политика обработки, согласия, сведения об операторе.

Какие требования проверяют и где сайты спотыкаются

Требований несколько, и спотыкаются сайты на разных. Уведомление о трансграничной передаче подаётся до начала передачи — об этом стоит помнить ещё на этапе, когда сервис только подключают. Критерии стран, подпадающих под требования, уточнялись, поэтому список сервисов лучше перепроверять, а не держать в голове годами.

Отдельно стоит требование о хранении баз данных граждан РФ на территории России. Если база размещена за рубежом, это самостоятельный вопрос со своей санкцией, и передача данных зарубежному сервису — не то же самое, что хранение базы за границей.

Практический вывод простой: санкция обычно связана не с самим фактом запроса, а с нарушением одного из требований — того, что перечислено выше. Логичнее закрыть его заранее, пока всё гипотетично.

• Уведомление о трансграничной передаче — до начала передачи, а не по факту обнаружения.
• Хранение баз данных граждан РФ — требование о размещении на территории России.
• Согласия: их получение, форма и содержание — отдельный предмет проверки.
• Политика обработки персональных данных: её отсутствие уже самостоятельный риск.

Что исправлять в первую очередь

Когда риск найден, работают не с паникой, а с очередностью. Первыми обычно идут правки, которые не требуют разработки: перенос запуска трекеров после согласия, равнозначная кнопка отказа и настройка категорий в баннере, честный текст согласия рядом с формой.

Дальше — то, что меняет устройство сайта: пересборка авторизации через зарубежный сервис, решение по каждому внешнему счётчику и виджету, приведение документов в соответствие с реальным поведением страницы. В Dobrolex это выглядит как заключение с эпизодами, оценкой их серьёзности и планом исправлений — по очерёдности, без обещаний результата.

И ещё одно: замена зарубежного сервиса на российский не обязательна. Обязательно другое — понятное основание обработки, согласие там, где оно нужно, и документы, совпадающие с поведением сайта.

• Начать с правок без правки кода: баннер, момент запуска трекеров, текст согласия.
• Решить по каждому внешнему счётчику и виджету: нужен он или можно обойтись.
• Пересобрать авторизацию через зарубежный сервис.
• Привести документы в соответствие с тем, что сайт делает на самом деле.