Когда согласие на обработку персональных данных обязательно
Согласие требуется, если вы собираете данные посетителей и обрабатываете их для целей, не связанных напрямую с исполнением договора или требованием закона. Это касается веб-форм (подписка, обратная связь, заявка), аналитики и трекеров, которые фиксируют поведение пользователей.
Если данные собираются только для выполнения заказа (например, имя и адрес доставки в интернет-магазине) и это прописано в договоре-оферте — согласие не требуется. Но если вы планируете отправлять рекламные рассылки, передавать данные третьим лицам или использовать их для аналитики — нужно явное согласие.
Трекеры и cookie-файлы, которые собирают идентификаторы и передают их сервисам аналитики, тоже требуют согласия. Если трекер запустился до того, как посетитель нажал кнопку — это обработка без законного основания.
Что должно быть в тексте согласия на обработку ПДн
Согласие должно быть конкретным, информированным и добровольным. Это значит: посетитель понимает, какие данные вы собираете, зачем и что с ними будете делать. В тексте обязательны цель обработки, перечень данных (например, имя, телефон, email), действия с данными (сбор, хранение, передача), срок действия согласия и порядок его отзыва.
Фразы вроде «Я согласен с политикой конфиденциальности» недостаточно — это не согласие, а отсылка к документу. Согласие должно быть явным: галочка, которую ставит пользователь, или кнопка, на которую он нажимает. Предварительно установленная галочка не подходит.
- Цель обработки (например, «для отправки новостной рассылки»)
- Перечень данных (имя, email, телефон)
- Действия с данными (сбор, хранение, передача)
- Срок действия согласия или условие его прекращения
- Порядок отзыва согласия (куда обратиться, какие действия совершить)
Когда трекеры запускаются без согласия — и почему это нарушение
Многие сайты подключают аналитику и рекламные трекеры в коде страницы напрямую, без привязки к действиям посетителя. Это значит: скрипт запускается сразу при открытии сайта, данные уходят на сервер аналитики, а cookie-файлы записываются в браузер — до того, как посетитель увидел баннер или нажал кнопку.
Это может быть квалифицировано как обработка без согласия. Даже если баннер появился на экране — если трекер уже отработал, согласие запоздало. Проверить это можно только технически: открыть сайт с чистой сессии и зафиксировать порядок событий.
Dobrolex открывает сайт как новый посетитель, записывает сетевые запросы и сопоставляет их с действиями пользователя. Если запрос к Google Analytics, Яндекс.Метрике или другому сервису ушёл раньше согласия — это указывается в отчёте с временем фиксации и снимком экрана.
Данные уходят за рубеж и cookie-баннер: что требует закон
Если данные граждан России передаются иностранным сервисам (Google, Meta, серверы за пределами РФ), трансграничная передача требует уведомления Роскомнадзора до начала передачи. Кроме того, возникают риски, связанные с требованиями к локализации данных.
Cookie-баннер — это не просто уведомление, а механизм получения согласия. Если на баннере только кнопка «Принять» или «ОК», а отказаться можно, только закрыв сайт — это не равнозначный выбор. Посетитель должен иметь возможность отклонить необязательные файлы и продолжить пользоваться сайтом.
Обязательные cookie (например, для работы корзины или авторизации) можно использовать без согласия, но это нужно указать в баннере. Остальные категории (аналитика, реклама, сторонние сервисы) требуют явного согласия. Лучший вариант — настройка категорий: пользователь сам выбирает, что разрешить.
Как проверить сайт на соответствие требованиям согласия по 152-ФЗ
Проверка начинается с чистой сессии: открыть сайт в режиме инкогнито, без авторизации и сохранённых файлов. Дальше — зафиксировать, что происходит до любого действия посетителя: какие трекеры запускаются, какие запросы уходят, какие cookie записываются. Затем проверить текст согласий у форм, доступность политики конфиденциальности и интерфейс cookie-баннера.
Вручную это долго и требует технических навыков. Dobrolex автоматизирует процесс: проверяет сайт как новый посетитель, фиксирует снимки экрана и сетевые запросы, сверяет с требованиями закона. Результат — заключение в PDF с конкретными эпизодами, указанием серьёзности и рекомендациями, что исправить первым.
Чек-лист: проверьте согласие на обработку ПДн на вашем сайте
- 01Откройте сайт в режиме инкогнито. Проверьте, что происходит до любого действия посетителя: появляется ли cookie-баннер, запускаются ли трекеры сразу.
- 02Проверьте текст согласия у каждой формы. Убедитесь, что указаны цель обработки, перечень данных, действия с ними, срок и порядок отзыва.
- 03Проверьте интерфейс cookie-баннера. Есть ли равнозначная кнопка отказа? Можно ли настроить категории файлов?
- 04Проверьте доступность политики конфиденциальности. Документ должен быть опубликован на сайте и доступен по ссылке из подвала или формы.
- 05Проверьте, куда уходят данные. Если используете Google Analytics, Яндекс.Метрику или другие внешние сервисы — это трансграничная передача.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли согласие, если я собираю только email для рассылки?
Да, email — персональные данные. Если вы собираете его для рассылки (а не для исполнения договора), нужно явное согласие с указанием цели, срока и порядка отзыва.
Достаточно ли ссылки на политику конфиденциальности вместо согласия?
Нет. Политика — это информация о том, как вы обрабатываете данные. Согласие — это явное действие посетителя (галочка, кнопка), которое он совершает перед передачей данных.
Как проверить, запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито и посмотрите сетевые запросы в инструментах разработчика браузера (вкладка Network). Если запросы к аналитике идут до действия посетителя — трекер запустился без согласия.
Нужно ли уведомлять Роскомнадзор, если я собираю данные на сайте?
Требования к уведомлению зависят от оснований обработки и категорий данных. Уточните этот вопрос с юристом, а отчёт покажет, какие данные и на каких основаниях собираются.
Что делать, если данные уходят в Google Analytics?
Если данные россиян передаются иностранному сервису, проверьте: есть ли согласие на трансграничную передачу, подано ли уведомление в Роскомнадзор, выполнено ли требование о локализации (первичная запись в РФ).
Можно ли использовать предварительно установленную галочку для согласия?
Нет. Согласие должно быть явным и добровольным. Галочка, которая уже стоит при загрузке страницы, не подходит — посетитель должен поставить её сам.
Заменяет ли отчёт Dobrolex консультацию юриста?
Нет. Отчёт фиксирует факты и указывает риски, но не является юридическим заключением и не заменяет специалиста. Используйте его как основу для работы с юристом или внутренней проверки.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.