Какие действия на сайте создают угрозы безопасности персональных данных
Угроза безопасности персональных данных — это техническое действие или настройка сайта, которые приводят к обработке данных без законного основания, без согласия субъекта или с нарушением требований закона. Это не абстрактная уязвимость, а конкретный эпизод: трекер стартовал до согласия, данные ушли иностранному сервису, форма собирает контакты без политики конфиденциальности.
Закон требует, чтобы у любой обработки персональных данных было законное основание — чаще всего это согласие посетителя. Если трекер аналитики или рекламная система запускаются в момент открытия страницы, до того как человек увидел баннер и дал согласие, это создаёт риск квалификации как обработка без основания.
Другая частая угроза — передача данных за рубеж. Если сайт использует виджеты, авторизацию или аналитику иностранных сервисов, данные посетителей могут уходить на серверы за пределами России. Это требует уведомления Роскомнадзора и согласия субъекта, а отсутствие уведомления или согласия становится самостоятельным нарушением.
Как технически возникают угрозы: трекеры, cookie и веб-формы
Трекеры аналитики и рекламы встраиваются в код страницы через скрипты. Если скрипт запускается сразу при загрузке, браузер отправляет запросы к серверам аналитической системы и передаёт идентификаторы устройства, IP-адрес, данные о действиях посетителя. Всё это происходит до того, как человек увидит cookie-баннер и примет решение.
Cookie-баннер сам по себе не останавливает трекеры — это всего лишь информационное окно. Чтобы баннер работал по закону, нужна техническая реализация: скрипты должны ждать согласия, должна быть кнопка отказа, равнозначная кнопке согласия, и возможность выбрать категории cookie. Если этого нет, баннер создаёт иллюзию соответствия, а риск остаётся.
Веб-формы собирают имя, телефон, email — классические персональные данные. Если рядом с формой нет ссылки на политику конфиденциальности, чекбокса с согласием на обработку или текста оферты, сбор данных происходит без законного основания. Это прямой риск нарушения, и его легко зафиксировать.
Как проверить сайт на угрозы безопасности персональных данных
Проверка начинается с чистой сессии браузера — как если бы сайт открыл новый посетитель, который никогда не был на нём раньше и ничего не знает о cookie. В этот момент фиксируются все сетевые запросы: к каким доменам обращается браузер, какие данные передаёт, какие скрипты запускаются и когда именно.
Проверка записывает снимки экрана: как выглядит cookie-баннер, есть ли в нём кнопка отказа, какие формы видны на странице, где находится политика конфиденциальности. Каждый снимок помечается временем фиксации, чтобы можно было сопоставить момент открытия страницы, показ баннера и старт трекеров.
Результат — заключение с перечнем эпизодов. Каждый эпизод описывает конкретное действие сайта, которое создаёт риск: какой трекер стартовал до согласия, какой домен получил данные, какая форма не имеет политики. К каждому эпизоду прилагается снимок экрана, цитата из кода или документа, правовая квалификация и рекомендация по исправлению.
Что делать, если обнаружены угрозы: приоритет исправлений
Первый шаг — остановить обработку данных без согласия. Если трекеры запускаются до баннера, нужно изменить код сайта так, чтобы скрипты ждали действия пользователя. Если баннер не даёт выбора, добавить равнозначную кнопку отказа и настройку категорий.
Второй — проверить, уходят ли данные за рубеж, и если да, подать уведомление Роскомнадзору о трансграничной передаче или заменить иностранные сервисы на российские аналоги. Это особенно важно для авторизации через иностранные соцсети и облачной аналитики.
Третий — опубликовать или обновить политику обработки персональных данных, добавить согласия к формам, проверить оферту и реквизиты оператора. Заключение указывает очерёдность исправлений по серьёзности риска, чтобы вы могли начать с главного.
Проверьте сайт на угрозы безопасности персональных данных
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли cookie-баннер сразу и есть ли в нём кнопка отказа, равнозначная кнопке согласия.
- 02Проверьте консоль браузера (F12 → Network). Запишите, какие домены получают запросы в первые секунды после открытия страницы — до того, как вы нажали на баннер.
- 03Найдите веб-формы на главной и посадочных страницах. Убедитесь, что рядом с каждой формой есть ссылка на политику конфиденциальности и чекбокс с согласием на обработку данных.
- 04Откройте политику конфиденциальности. Проверьте, указаны ли в ней реквизиты оператора, цели обработки, сроки хранения и права субъектов персональных данных.
- 05Посмотрите, есть ли на сайте авторизация через иностранные сервисы. Если используются кнопки входа через Google, иностранные соцсети или другие зарубежные платформы, это может потребовать уведомления Роскомнадзора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что такое угрозы безопасности персональных данных на сайте?
Это технические действия, которые обрабатывают персональные данные без законного основания: трекеры, запущенные до согласия, передача данных за рубеж без уведомления, формы без политики конфиденциальности.
Как понять, что трекеры запускаются до согласия?
Откройте сайт в режиме инкогнито, откройте консоль браузера (F12 → Network) и посмотрите, какие запросы уходят до того, как вы нажали на cookie-баннер. Если видите запросы к доменам аналитики — трекер стартовал раньше согласия.
Достаточно ли установить cookie-баннер, чтобы соответствовать закону?
Нет, баннер должен не только информировать, но и технически блокировать запуск трекеров до согласия. Также нужна равнозначная кнопка отказа и возможность выбрать категории cookie.
Какой штраф грозит за обработку данных без согласия?
Санкции зависят от состава нарушения и указываются в правовой квалификации каждого эпизода. Например, за обработку без законного основания диапазон санкций для юридических лиц составляет несколько сотен тысяч рублей, за передачу за рубеж без уведомления — выше.
Можно ли проверить сайт самостоятельно или нужен юрист?
Технические признаки угроз можно увидеть в консоли браузера и на скриншотах страниц. Проверка сайта даёт заключение с фактами, снимками и правовой квалификацией — это позволяет понять риски без предварительной консультации.
Что делать, если данные уходят иностранным сервисам?
Сначала убедитесь, что это действительно персональные данные и что сервис находится за рубежом. Затем либо подайте уведомление Роскомнадзору о трансграничной передаче, либо замените сервис на российский аналог.
Если в проверке не найдено нарушений, значит ли это, что сайт полностью соответствует закону?
Нет, проверка охватывает только публичные страницы и действия браузера. Закрытые разделы, серверная часть и внутренние процессы не проверяются, поэтому отсутствие эпизодов означает, что на осмотренных страницах признаков нарушений нет.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.