Почему защита персональных данных на сайте — это не только политика конфиденциальности
Владелец сайта часто узнаёт о требованиях 152-ФЗ, когда сайт уже работает: разработчик подключил аналитику, дизайнер добавил форму обратной связи, юрист скачал типовую политику конфиденциальности. Всё выглядит в порядке, пока не встаёт вопрос ответственности.
Проблема в том, что политика конфиденциальности описывает одно, а сайт делает другое. Счётчики запускаются до согласия посетителя, данные уходят к иностранным сервисам, cookie-баннер не даёт равнозначного отказа. Роскомнадзор проверяет не текст документа, а фактическое поведение сайта — и несоответствие между ними создаёт риск штрафа.
Защита персональных данных на сайте начинается не с политики, а с понимания, какие данные собираются, куда они передаются и когда у посетителя спрашивают согласие. Это техническая фактура, которую нужно зафиксировать, прежде чем оценивать правовые риски.
Что проверяет Роскомнадзор: от cookie-баннера до трансграничной передачи
Роскомнадзор проверяет весь путь данных: от момента, когда посетитель открывает страницу, до момента, когда данные попадают к оператору или третьим лицам. Первый эпизод — это старт трекеров до согласия. Если Google Analytics, Яндекс.Метрика или другие счётчики загружаются при открытии страницы, до того как посетитель нажал «Принять», это может создавать риск по нормам КоАП о сборе данных без законных оснований.
Второй частый эпизод — передача данных за рубеж. Если сайт использует иностранные сервисы (аналитика, CDN, виджеты социальных сетей, авторизация через Google или иностранные соцсети), данные посетителя могут передаваться за пределы России. Трансграничная передача требует уведомления Роскомнадзора и соблюдения условий, установленных законом.
Третий блок — документы и интерфейсы. Cookie-баннер должен давать возможность отказаться от необязательных cookie без потери функциональности. Политика конфиденциальности должна содержать сведения об операторе, целях обработки, сроках хранения и правах субъекта. Веб-формы должны сопровождаться согласием на обработку персональных данных, если собираются данные, требующие такого согласия.
Проверка фиксирует все эти обстоятельства с чистой сессии — глазами нового посетителя, до любого клика и ввода данных. Снимки экрана, временные метки, дословные цитаты из документов и список сетевых запросов становятся основой для правовой квалификации.
Как узнать, что сайт делает на самом деле: проверка от первой секунды
Владелец сайта не всегда знает, какие данные собираются и куда они уходят. Разработчик подключил сервисы, дизайнер добавил кнопки, маркетолог настроил рекламу — каждый решал свою задачу, но общей картины нет. Проверка начинается с открытия сайта в режиме инкогнито, без авторизации и cookie.
Фиксируются все сетевые запросы браузера: к каким доменам обращается сайт, какие параметры передаются в URL, какие cookie устанавливаются и когда. Это технический сигнал, который показывает, какие сервисы получают данные до того, как посетитель что-то сделал. Если счётчик запустился до согласия — это эпизод. Если данные ушли к иностранному сервису — это обстоятельство, требующее дополнительной проверки.
Затем проверяется интерфейс: есть ли cookie-баннер, какие кнопки он предлагает, можно ли отказаться от всех необязательных cookie одним кликом. Если баннер требует листать список и снимать галочки, а кнопка «Принять всё» выделена ярче — это может создавать риск по требованиям к согласию.
Финальный этап — документы. Политика конфиденциальности, пользовательское соглашение, тексты согласий в формах сверяются с фактическим поведением сайта. Если в политике написано, что данные не передаются третьим лицам, а проверка показала запросы к внешним сервисам — это расхождение фиксируется как отдельный эпизод.
Что делать с результатами проверки: от фактуры к исправлениям
Отчёт содержит резюме с перечнем эпизодов, их серьёзностью и ориентировочным диапазоном санкций по нормам КоАП. Если эпизодов не найдено — это зафиксировано в резюме, и владелец сайта получает подтверждение, что на проверенных публичных страницах признаков нарушений нет.
Если эпизоды есть — каждый получает правовую квалификацию со ссылкой на норму закона, снимки экрана и рекомендацию, что исправить. Многие эпизоды решаются настройкой: перенести старт счётчика после согласия, добавить кнопку отказа в баннер, актуализировать текст политики. Это не требует переделки сайта, только правки кода или документа.
Обстоятельства, требующие дополнительной проверки, — это сигналы, которые нужно уточнить с разработчиком или юристом. Например, запрос к внешнему сервису может быть техническим (загрузка шрифта) или правовым (передача идентификатора посетителя). Отчёт фиксирует факт запроса, но окончательная квалификация требует анализа контракта с сервисом и настроек интеграции.
Проверьте сайт на базовые риски по 152-ФЗ
- 01Откройте сайт в режиме инкогнито. Проверьте, появляется ли cookie-баннер и можно ли одним кликом отказаться от всех необязательных cookie. Если баннер требует листать список или кнопка отказа менее заметна, чем кнопка согласия — это риск.
- 02Проверьте политику конфиденциальности. Убедитесь, что в документе указаны ИНН и ОГРН оператора, цели обработки, сроки хранения и права субъекта. Если политика скачана из интернета и не адаптирована под ваш сайт — она создаёт риск расхождения с практикой.
- 03Проверьте веб-формы на наличие согласий. Если форма собирает имя, телефон, email или другие данные — рядом должен быть чекбокс или ссылка на согласие на обработку персональных данных. Отсутствие согласия создаёт риск по нормам КоАП.
- 04Узнайте, какие внешние сервисы подключены. Спросите у разработчика, какие счётчики, виджеты, CDN и сервисы авторизации используются на сайте. Если среди них есть иностранные — уточните, передаются ли им персональные данные и уведомлён ли Роскомнадзор.
- 05Проверьте момент старта аналитики. Откройте консоль браузера (F12 → вкладка Network) и перезагрузите главную страницу. Если запросы к Google Analytics, Яндекс.Метрике или другим счётчикам идут до того, как вы приняли cookie — это риск старта трекеров без согласия.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если на сайте только форма обратной связи?
Обязанность уведомлять зависит от категории данных, целей обработки и того, передаются ли данные третьим лицам. Если форма собирает только имя и email для ответа на вопрос, уведомление может не требоваться. Если данные передаются CRM или рассылочному сервису — ситуация меняется. Проверка собирает фактуру, отчёт показывает применимые нормы.
Можно ли использовать Google Analytics, если данные уходят за границу?
Использовать можно, но трансграничная передача персональных данных требует соблюдения условий закона и уведомления Роскомнадзора до начала передачи. Проверка выявляет запросы к иностранным сервисам и фиксирует их как обстоятельства для дополнительной проверки.
Что будет, если cookie-баннер не даёт равнозначного отказа?
Если баннер требует принять все cookie или вручную снимать галочки, а кнопка отказа менее заметна, это может создавать риск по требованиям к согласию на обработку персональных данных. Проверка фиксирует интерфейс и реакцию сайта на отказ со снимками экрана.
Защита персональных данных на сайте — это только про формы или про аналитику тоже?
Про всё, что собирает данные посетителя: формы, счётчики, cookie, авторизацию, виджеты. Даже если вы не видите ввода данных, браузер может передавать IP-адрес, идентификаторы устройства и поведенческие данные сторонним сервисам. Проверка фиксирует все запросы с первой секунды.
Если проверка ничего не нашла, значит, сайт полностью соответствует закону?
Нет. Проверка охватывает только публичные страницы без входа в аккаунт. Если эпизодов не найдено — это значит, что на осмотренных страницах признаков нарушений нет. Закрытые разделы, серверная часть и внутренние процессы не проверяются, поэтому гарантии полного соответствия дать нельзя.
Сколько стоит исправить нарушения, если проверка их выявит?
Зависит от характера эпизодов. Многие исправляются настройкой: перенести старт счётчика, добавить кнопку в баннер, обновить текст политики — это часы работы разработчика. Серьёзные эпизоды (трансграничная передача без уведомления, отсутствие согласий) требуют юридического сопровождения. Тариф с планом действий даёт конкретные шаги для каждого риска.
Можно ли использовать отчёт как доказательство соответствия для проверяющих?
Отчёт фиксирует установленные обстоятельства с датой, временем и снимками экрана. Это документ, который показывает, что сайт проверен и эпизоды устранены или отсутствуют. Но заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор — это внутренний инструмент для управления рисками.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.