Web-Sight Проверка сайта на требования Роскомнадзора

Политика обработки персональных данных для сайта: что в ней должно быть

Обновлено

Если сайт собирает персональные данные, например через форму заявки, владелец обязан опубликовать политику обработки персональных данных на страницах, где идёт сбор. В политике называют оператора, цели, данные, основания и сроки обработки, сервисы, которые получают данные, права посетителя и меры защиты.

Кто обязан публиковать политику и где

Оператор, который собирает персональные данные через сайт, обязан опубликовать на нём документ о своей политике обработки персональных данных и сведения о том, как он эти данные защищает. Публикуют их на тех страницах, через которые идёт сбор (ч. 2 ст. 18.1 152-ФЗ). Обязанность касается любого оператора, в том числе индивидуального предпринимателя. Имя и телефон из формы заявки относятся к персональным данным (п. 1 ст. 3 152-ФЗ).

Политика должна открываться у любого посетителя: без входа в личный кабинет и без ошибки «страница не найдена». Закон требует обеспечить к документу неограниченный доступ (ч. 2 ст. 18.1 152-ФЗ). Проще всего поставить ссылку в подвал каждой страницы и рядом с каждой формой.

За неопубликованную политику предусмотрен штраф: для ИП 10–20 тыс. ₽, для организаций 30–60 тыс. ₽ (ч. 3 ст. 13.11 КоАП). За неполную политику отдельного штрафа нет. Если Роскомнадзор находит такое нарушение при проверке, он выдаёт предписание устранить его в срок (п. 1 ч. 2 ст. 90 248-ФЗ).

Что должно быть в политике

Сама ч. 2 ст. 18.1 разделов политики не перечисляет. Ориентироваться можно на сведения, которые посетитель вправе получить об обработке своих данных (ч. 7 ст. 14 152-ФЗ), и на замечания управлений Роскомнадзора по итогам проверок сайтов. Получается такой состав:

  • Оператор: наименование организации или ФИО предпринимателя и место нахождения (п. 4 ч. 7 ст. 14 152-ФЗ). ИНН или ОГРН снимают вопрос, о ком речь. По ИНН ищут и запись в реестре операторов персональных данных.
  • Цели и основания. У каждой цели своё основание: для ответа на заявку это согласие посетителя, для исполнения договора — сам договор (п. 1 и п. 5 ч. 1 ст. 6, п. 2 ч. 7 ст. 14 152-ФЗ).
  • Перечень данных по каждой цели: всё, что спрашивают формы, и всё, что собирают счётчики (п. 5 ч. 7 ст. 14 152-ФЗ).
  • Действия и способы: сбор, запись, хранение, уничтожение и другие действия, с помощью компьютера или без него (п. 3 ч. 7 ст. 14 152-ФЗ).
  • Сроки: сколько хранятся данные и что с ними происходит потом (п. 6 ч. 7 ст. 14 152-ФЗ). По достижении цели данные уничтожают в срок до 30 дней. При отзыве согласия обработку прекращают, а данные, которые больше не нужны, уничтожают в тот же срок (ч. 4 и 5 ст. 21 152-ФЗ).
  • Кто ещё получает данные: сервисы, которые обрабатывают их по поручению владельца сайта, с наименованием и адресом (ч. 3 ст. 6, п. 9 ч. 7 ст. 14 152-ФЗ), и передача за рубеж, если она есть (п. 8 ч. 7 ст. 14 152-ФЗ). Когда возникает такая передача, разобрано в статье о трансграничной передаче.
  • Права посетителя: получить сведения об обработке, потребовать уточнить, заблокировать или уничтожить данные (ч. 1 ст. 14 152-ФЗ), отозвать согласие (ч. 2 ст. 9 152-ФЗ), обжаловать действия оператора в Роскомнадзоре или в суде (ст. 17 152-ФЗ). Рядом стоит указать адрес для запросов и срок ответа: 10 рабочих дней, продление не больше чем на 5 рабочих дней с объяснением причин (ч. 3 ст. 14, ч. 1 ст. 20 152-ФЗ).
  • Защита данных: какие меры приняты, например защищённое соединение и доступ к заявкам только по паролю. Эти сведения закон называет наравне с самой политикой (ч. 2 ст. 18.1 152-ФЗ).

Роскомнадзор в рекомендациях по составлению политики (31.07.2017) советует перечислить права и обязанности оператора и посетителя, указать наименование и местонахождение третьих лиц, которым передаются данные, в том числе за рубеж, и включить в политику порядок ответа на запросы вместе с формами запросов. Закон этого не требует, но по рекомендациям удобно проверить, всё ли есть в документе.

Политика не заменяет согласие. С 1 сентября 2025 года согласие на обработку оформляют отдельно от других документов (ч. 1 ст. 9 152-ФЗ). Требования к согласию в форме собраны в статье о согласии на сайте.

Счётчики, чаты и Яндекс Метрика

Управление Роскомнадзора по Орловской области указывало, что при Метрике или Google Analytics политика должна сообщать о самом факте их использования, перечне данных и целях (10.11.2022). Управление по Дальневосточному федеральному округу в первом полугодии 2024 года проверило 107 сайтов. Среди основных нарушений оно назвало политику без перечня данных, которые собирают Яндекс Метрика и Google Аналитика, и политику без сведений о внешних формах сбора (18.07.2024). Что считать внешней формой, управление не пояснило. Проверка Web-Sight относит к ним формы, которые работают на чужом сервисе, например квиз или виджет обратного звонка. Это позиции территориальных управлений. Прямо в законе таких требований нет, федеральное разъяснение Роскомнадзора не найдено.

По Условиям использования Яндекс Метрики владелец сайта считается оператором данных посетителей, а ООО «ЯНДЕКС» обрабатывает их по его поручению (п. 5.4 Условий Метрики). Поэтому в политике сайта с Метрикой стоит назвать ООО «ЯНДЕКС» и его адрес: 119021, Москва, ул. Льва Толстого, д. 16 (п. 9 ч. 7 ст. 14 152-ФЗ). Те же Условия обязывают сообщить посетителям, что сбор данных можно запретить расширением «Блокировщик Яндекс.Метрики» (п. 5.8 Условий Метрики). Это обязанность по договору с Яндексом, а не по закону.

Если в Метрике включён Вебвизор, то есть запись действий посетителя на странице, его стоит описать отдельным пунктом. Онлайн-чаты и коллтрекинг собирают телефоны и переписку, их тоже называют в политике. Как получить согласие на работу счётчиков, рассказано в статье о cookie-баннере.

Типичные ошибки, которые находит сканер

Сканер Web-Sight открывает сайт как посетитель, находит политику и сверяет её с формами и сервисами, которые загрузились при проверке. Находки он делит на нарушения и риски. Нарушение видно однозначно и следует из закона или позиции управлений Роскомнадзора. Риск означает, что признак нужно подтвердить вручную или что требование основано на толковании.

  • Политики нет, хотя на сайте есть форма с персональными данными или счётчик. Бывает, что ссылка спрятана в разделе «Документы» среди бланков: сканер открывает и его. Нарушение (закон).
  • Политика есть, но на странице с формой ссылки на неё нет, или ссылка ведёт на ошибку 404 либо на вход в личный кабинет. Нарушение (закон).
  • Оператор не назван: в тексте нет ни наименования организации, ни ФИО предпринимателя, ни ИНН или ОГРН. Нарушение (закон).
  • Счётчик, рекламный пиксель или коллтрекинг загрузился, а в политике его нет. То же с внешней формой. Нарушение по практике Роскомнадзора.
  • Метрика в политике названа, ООО «ЯНДЕКС» или «Блокировщик Яндекс.Метрики» не названы. Если ООО «ЯНДЕКС» упомянуто только в согласии к форме, этого мало: согласие дают те, кто отправил заявку, а Метрика собирает данные всех посетителей. Риск.
  • Политика утверждает то, чего на сайте нет: «трансграничная передача не осуществляется» при Google Analytics, «данные не передаются третьим лицам» при Метрике и онлайн-чате, «cookie не являются персональными данными». Риск.
  • Не названы сервисы, которые получают данные посетителей, кроме счётчиков: карты, видео, кнопки соцсетей, капча, подсказки адресов. Риск.
  • Нет раздела о правах посетителя или не сказано, куда направлять запросы. Риск.
  • Телефон, почта или имя из формы не перечислены среди собираемых данных. Риск.
  • Нет раздела о мерах защиты или не упомянут онлайн-чат. Риск.

«Политика конфиденциальности» или «политика обработки персональных данных»

В законе документ назван описательно: «документ, определяющий его политику в отношении обработки персональных данных» (ч. 2 ст. 18.1 152-ФЗ). На многих сайтах его называют «политикой конфиденциальности», и сканер находит политику по ссылке с любым из этих названий. Замечания управлений Роскомнадзора, приведённые выше, касаются содержания: перечня данных, счётчиков, внешних форм. Название из закона точнее говорит посетителю, о чём документ.

Как проверить свою политику

  1. Откройте каждую страницу, где есть форма, и найдите ссылку на политику. Документ должен открываться без входа и без ошибки.
  2. Найдите в политике оператора: наименование или ФИО предпринимателя, ИНН или ОГРН, место нахождения, почту для обращений.
  3. Выпишите поля всех форм сайта и сверьте их с перечнем данных в политике.
  4. Составьте список подключённых сервисов: счётчики, пиксели рекламных кабинетов, чат, коллтрекинг, виджеты форм. Он есть в настройках конструктора или у разработчика. Каждый сервис должен быть назван в политике, при Метрике вместе с ООО «ЯНДЕКС» и «Блокировщиком Яндекс.Метрики».
  5. Проверьте сроки хранения, права посетителя, адрес для запросов, срок ответа и раздел о защите данных.
  6. Найдите в тексте фразы «данные не передаются третьим лицам», «трансграничная передача не осуществляется», «cookie не являются персональными данными» и проверьте, правда ли это для вашего сайта.
  7. Убедитесь, что согласие на обработку оформлено отдельным документом, а не абзацем политики.

Сложнее всего с четвёртым шагом. Часть сервисов видна только в сетевых запросах браузера, а некоторые сайты загружают счётчики лишь после того, как посетитель прокрутил страницу. Бесплатная проверка на главной странице делает эту сверку автоматически, включая счётчики, которые ждут прокрутки. Краткий отчёт покажет по каждому из восьми разделов, есть ли нарушения и риски и сколько их.

Источники