Какие данные собирает туристический сайт и почему это важно
Туристический сайт обрабатывает персональные данные на каждом этапе: форма заявки запрашивает ФИО, телефон и email, система бронирования может попросить дату рождения и паспортные данные, аналитика фиксирует поведение посетителя. Каждое поле формы, каждый cookie-файл — это обработка персональных данных по смыслу 152-ФЗ.
Закон требует, чтобы оператор обрабатывал данные только с согласия субъекта или на другом законном основании, опубликовал политику обработки, обеспечил безопасность данных и в ряде случаев уведомил Роскомнадзор. Если данные уходят за рубеж — например, в зарубежную систему бронирования или на сервер иностранной аналитики, — это может потребовать отдельного уведомления регулятора и дополнительных гарантий.
Проблема в том, что владелец сайта не всегда знает, что именно происходит «под капотом»: какие скрипты запускаются при открытии страницы, куда уходят данные из форм, соответствует ли текст согласия тому, что сайт собирает на самом деле.
Что проверяет Роскомнадзор на туристическом сайте
Регулятор смотрит на три группы фактов: как сайт собирает данные, как их обрабатывает и передаёт, и как информирует посетителя. В первую группу входят веб-формы, cookie-баннер и трекеры аналитики. Во вторую — внешние сервисы, которые получают данные: системы бронирования, платёжные виджеты, CRM. В третью — политика обработки персональных данных, тексты согласий и реквизиты оператора.
Типичные риски для туристического сайта: аналитика или виджет бронирования запускаются до того, как посетитель дал согласие; cookie-баннер не позволяет отказаться от необязательных категорий; форма собирает паспортные данные, но согласие сформулировано общими словами; политика не упоминает зарубежные сервисы, которым сайт передаёт данные; нет уведомления Роскомнадзора о трансграничной передаче.
Каждое из этих обстоятельств может квалифицироваться как нарушение отдельной нормы закона. Отчёт показывает ориентировочный диапазон санкций по каждому выявленному эпизоду.
Как понять, уходят ли данные за рубеж
Данные могут уходить за рубеж незаметно: через зарубежный сервер аналитики, виджет бронирования, встроенную карту, систему онлайн-чата. Браузер посетителя отправляет запросы к этим сервисам автоматически, и в запросе могут оказаться IP-адрес, идентификаторы устройства, содержимое cookie.
Чтобы установить факт трансграничной передачи, нужно зафиксировать сетевой обмен браузера: к каким доменам идут запросы, в какой момент и какие данные они содержат. Если запросы идут к серверам за пределами России, а в них передаются данные, которые позволяют идентифицировать посетителя, возникает риск по требованиям 152-ФЗ о трансграничной передаче.
Проверка фиксирует этот обмен с чистой сессии — так, как его увидит новый посетитель, — и связывает каждый запрос с конкретным сервисом и страной.
Как проверить, правильно ли работает cookie-баннер и аналитика
Закон требует, чтобы посетитель мог отказаться от необязательных cookie так же легко, как принять их. Если баннер предлагает только кнопку «Согласен» или прячет настройку категорий в дополнительное меню, это создаёт риск. Если аналитика запускается до того, как посетитель нажал на баннер, данные обрабатываются без согласия.
Проверка открывает сайт без cookie и авторизации, фиксирует интерфейс баннера и момент старта каждого трекера. Отчёт показывает, какие скрипты и cookie появляются до взаимодействия с баннером, есть ли кнопка отказа и настройка категорий, соответствует ли поведение сайта тексту баннера.
Если в отчёте зафиксирован запуск трекера раньше согласия, это обстоятельство квалифицируется как обработка без законного основания — с указанием нормы и приоритета исправления.
Как проверить туристический сайт на соответствие 152-ФЗ
Dobrolex открывает ваш сайт с чистой сессии, фиксирует снимки экрана, сетевой обмен и тексты документов. Проверка устанавливает, какие данные собирает сайт, куда они уходят, в какой момент запускаются трекеры и соответствует ли политика реальной практике.
Отчёт содержит описание каждого эпизода с признаками нарушения, снимки экрана с точным временем, правовую квалификацию со ссылкой на нормы и рекомендацию, что исправить. Если эпизодов не найдено, отчёт это подтверждает. Обстоятельства, которые требуют дополнительной проверки — например, сетевые запросы к внешним сервисам, — выделены отдельно.
Проверка не заменяет консультацию юриста, но даёт фактическую основу для принятия решений: вы увидите, что происходит на публичных страницах сайта, и сможете исправить риски до визита регулятора.
- Проверка с чистой сессии — так, как сайт видит новый посетитель
- Снимки экрана, цитаты из документов и фиксация сетевого обмена
- Правовая квалификация каждого эпизода с приоритетом исправления
- Отчёт в PDF — независимая фиксация состояния сайта на конкретную дату
Что проверить на туристическом сайте прямо сейчас
- 01Политика обработки персональных данных опубликована и доступна. Откройте главную страницу и страницу с формой заявки — ссылка на политику должна быть видна без прокрутки. Если политики нет или она ведёт на ошибку 404, это создаёт риск.
- 02Cookie-баннер позволяет отказаться от необязательных категорий. Откройте сайт в режиме инкогнито — баннер должен показать кнопку отказа или настройку категорий. Если есть только «Согласен» или «Принять всё», это может квалифицироваться как нарушение.
- 03Формы заявок содержат согласие на обработку персональных данных. Проверьте каждую форму на сайте: под полями должна быть галочка и текст согласия с указанием цели обработки, перечня данных и реквизитов оператора.
- 04Аналитика не запускается до взаимодействия с cookie-баннером. Откройте сайт в режиме инкогнито и посмотрите сетевые запросы в инструментах разработчика браузера (F12, вкладка Network). Если запросы к Google Analytics или Яндекс Метрике идут до нажатия на баннер, это риск.
- 05Политика упоминает все внешние сервисы, которые получают данные. Если на сайте стоит виджет бронирования, чат, карта или платёжная форма, политика должна называть эти сервисы и цель передачи данных. Проверьте раздел о передаче третьим лицам.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если туристический сайт собирает заявки?
В ряде случаев обработка персональных данных требует уведомления Роскомнадзора. Проверка анализирует, как именно сайт собирает и обрабатывает данные, и показывает в отчёте, требуется ли уведомление в вашем случае. Для точной квалификации обратитесь к юристу.
Как понять, нужно ли уведомление о трансграничной передаче?
Если данные посетителей передаются на серверы за пределами России — например, через зарубежную систему бронирования или аналитику, — может требоваться уведомление Роскомнадзора о трансграничной передаче. Проверка фиксирует сетевые запросы и показывает, в какие страны уходят данные.
Можно ли использовать Google Analytics на туристическом сайте?
Можно, но с условиями: посетитель должен дать согласие через cookie-баннер до запуска аналитики, политика должна упоминать Google как получателя данных, и может потребоваться уведомление Роскомнадзора о трансграничной передаче, если данные хранятся на серверах за пределами России.
Что будет, если на сайте нет политики обработки персональных данных?
Отсутствие опубликованной политики может квалифицироваться как нарушение требований 152-ФЗ. Это отдельный состав правонарушения со своей санкцией.
Как часто нужно проверять сайт на соответствие 152-ФЗ?
Проверяйте сайт после каждого изменения: добавили форму, подключили новый сервис, обновили cookie-баннер или политику. Также имеет смысл проводить плановую проверку раз в год или перед началом рекламной кампании, которая приведёт новых посетителей.
Покажет ли проверка, защищён ли сайт от утечки данных?
Проверка оценивает публичную часть сайта: наличие защищённого соединения, корректность согласий и документов. Серверная безопасность, защита баз данных и внутренние процессы не входят в осмотр — для этого нужен технический аудит инфраструктуры.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.