Почему недостаточно прочитать политику и посмотреть на баннер
Сайт может выглядеть благополучно: есть cookie-баннер с кнопками, опубликована политика конфиденциальности, в форме обратной связи стоит галочка согласия. Но эти элементы — только видимая часть.
Реальные риски скрыты в том, что происходит в момент загрузки страницы: какие трекеры запускаются до согласия посетителя, куда уходят данные, действительно ли баннер даёт равнозначный выбор. Текст политики может быть корректным, а фактическая обработка данных — расходиться с ним.
Проверка сайта глазами посетителя с чистой сессии фиксирует именно это расхождение между декларациями и практикой. Без такой фиксации остаётся слепое пятно: вы не знаете, что увидит Роскомнадзор или пользователь, решивший пожаловаться.
Что фиксируется при тест-драйве сайта по 152-ФЗ
Проверка начинается с чистой сессии — сайт открывается так, как его видит новый посетитель, который ещё ни на что не согласился. Фиксируется момент загрузки страницы, появление cookie-баннера, запуск трекеров и аналитики относительно этого баннера.
Записываются сетевые запросы браузера: к каким внешним сервисам обращается сайт, какие данные могут быть переданы, находятся ли эти сервисы за рубежом. Это технический сигнал — он не доказывает факт передачи, но показывает, где возникает риск для правовой оценки.
Осматриваются веб-формы на публичных страницах: какие данные запрашиваются, есть ли текст согласия, как оно сформулировано. Проверяется наличие и содержание политики конфиденциальности, корректность реквизитов оператора персональных данных, доступность механизма отзыва согласия.
Каждый зафиксированный эпизод сопровождается снимком экрана и временной меткой. Это основа для правовой квалификации: какая норма закона применяется, насколько серьёзен риск, что нужно исправить.
Как результат проверки связан с нормами закона
Заключение содержит не просто список найденных элементов, а правовую квалификацию каждого эпизода. Например, если трекер Google Analytics запустился до того, как посетитель нажал кнопку в cookie-баннере, это может квалифицироваться как обработка без законного основания.
Если данные отправляются иностранному сервису, а уведомление Роскомнадзора о трансграничной передаче не подано, это создаёт отдельный риск. Отсутствие равнозначной возможности отказа в баннере, неполная политика, отсутствие реквизитов оператора — каждый факт связывается с конкретной нормой.
В резюме отчёта указывается серьёзность эпизодов и ориентировочный диапазон санкций из КоАП. Это не прогноз решения суда, а ориентир для понимания масштаба риска и приоритетов в работе над исправлениями.
Что делать с результатами тест-драйва
Базовый отчёт даёт фактуру: вы видите, какие эпизоды зафиксированы, как они квалифицируются, какие нормы затронуты. Это основа для постановки задачи разработчикам или подрядчикам, которые обслуживают сайт.
План действий — следующий уровень: к каждому риску прилагается решение для кода, настроек системы аналитики и текстов документов. Вы получаете очерёдность исправлений, можете делегировать задачу с конкретным техническим заданием.
Если нужна помощь юриста — третий вариант включает подготовку документов под ваш сайт, сопровождение правок и итоговую проверку после исправлений. Это путь от фиксации рисков до подтверждения, что сайт приведён в порядок.
- Базовый отчёт — для самостоятельной работы с командой разработки
- План действий — когда нужны готовые решения и приоритеты
- Сопровождение юриста — для подготовки документов и контроля исправлений
Ограничения проверки: что остаётся за кадром
Проверка охватывает только публичные страницы сайта — те, что доступны без входа в аккаунт. Закрытые разделы личного кабинета, формы, требующие авторизации, серверная обработка данных остаются за пределами осмотра.
Сетевой обмен браузера фиксируется как технический сигнал для дополнительной проверки, а не как установленный факт передачи данных. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Если эпизодов с признаками нарушений не найдено, это значит: на осмотренных публичных страницах риски не выявлены. Это не гарантия полного соответствия закону — внутренние процессы, серверная часть и закрытые разделы требуют отдельной проверки.
Проверьте сайт самостоятельно: первичные признаки рисков
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли cookie-баннер сразу, есть ли в нём кнопка отказа, равнозначна ли она кнопке согласия по размеру и расположению
- 02Проверьте политику конфиденциальности. Убедитесь, что она опубликована, содержит реквизиты вашей компании (ИНН, ОГРН, адрес), описывает цели сбора данных и сроки хранения
- 03Посмотрите на формы обратной связи. Проверьте, есть ли текст согласия на обработку персональных данных, оформлен ли он отдельной галочкой, можно ли отправить форму без согласия
- 04Уточните, куда уходят данные. Если используете Google Analytics, зарубежные рекламные пиксели или другие иностранные сервисы, узнайте, подано ли уведомление в Роскомнадзор о трансграничной передаче
- 05Проверьте момент запуска аналитики. Если есть cookie-баннер, убедитесь, что трекеры не запускаются до того, как посетитель нажал кнопку согласия — это требует технической проверки или помощи разработчиков
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем тест-драйв сайта по 152-ФЗ отличается от консультации юриста?
Консультация даёт общие рекомендации, тест-драйв фиксирует факты: что именно происходит на вашем сайте в момент загрузки, какие данные собираются, куда уходят запросы. Заключение строится на снимках экрана и цитатах, каждый эпизод связан с нормой закона.
Можно ли использовать отчёт как доказательство соответствия закону?
Нет, отчёт не заменяет консультацию юриста и не является официальным подтверждением. Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет, но закрытые разделы и серверная часть не проверяются.
Что делать, если в отчёте нашли риски?
Базовый отчёт покажет эпизоды и правовую квалификацию — этого достаточно для постановки задачи разработчикам. План действий даёт готовые решения и очерёдность исправлений. Тариф с юристом включает подготовку документов и сопровождение правок.
Проверяются ли закрытые разделы сайта и личный кабинет?
Нет, проверка охватывает только публичные страницы без входа в аккаунт. Формы и процессы, требующие авторизации, остаются за пределами осмотра.
Как понять, что данные уходят за рубеж?
Проверка фиксирует сетевые запросы к иностранным сервисам как технический сигнал. Правовая квалификация укажет, создаёт ли это риск и требуется ли уведомление Роскомнадзора о трансграничной передаче.
Сколько времени занимает проверка?
Проверка выполняется автоматически после указания адреса сайта. Результат приходит в виде PDF-заключения, сроки зависят от тарифа и объёма сайта.
Нужен ли доступ к коду или серверу для проверки?
Нет, проверка выполняется удалённо, как осмотр сайта глазами обычного посетителя. Доступ к коду или серверу не требуется.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.