Web-Sight Проверка сайта на требования Роскомнадзора

Трансграничная передача данных на сайте: Google Analytics, reCAPTCHA, Google Fonts

Обновлено

Трансграничная передача — это передача персональных данных на территорию другого государства его органу власти, иностранной компании или иностранному физическому лицу. На сайте она может начаться, как только страница подключает зарубежный сервис: браузер посетителя сам отправляет ему запрос, и сервис получает IP-адрес посетителя. Для зарубежной аналитики так считает управление Роскомнадзора по Дальневосточному федеральному округу, для шрифтов и капчи это толкование.

Что такое трансграничная передача

Трансграничная передача персональных данных — это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу (п. 11 ст. 3 152-ФЗ). С ней связаны две обязанности владельца сайта. Если данные посетителей попадают к зарубежной компании, владелец сайта заранее уведомляет Роскомнадзор (ч. 3 ст. 12 152-ФЗ). Данные из форм при сборе нельзя записывать и хранить в зарубежных базах (ч. 5 ст. 18 152-ФЗ).

Персональные данные закон определяет широко: любая информация, относящаяся к прямо или косвенно определённому или определяемому человеку (п. 1 ст. 3 152-ФЗ). Слов «cookie» и «IP-адрес» в законе нет; то, что они тоже персональные данные, выводится из этого определения. Для зарубежной аналитики этот вывод поддерживает практика. Управление Роскомнадзора по Дальневосточному федеральному округу в первом полугодии 2024 года проверило 107 сайтов и среди основных нарушений назвало обработку данных через «Google Аналитику» без согласия и «осуществление трансграничной передачи персональных данных пользователей сайта» (ч. 1 ст. 6, ч. 3 ст. 12 152-ФЗ). По шрифтам, капче и библиотекам прямой позиции Роскомнадзора не найдено.

Как сайт передаёт данные за рубеж без ведома владельца

Сам сайт может ничего никуда не отправлять. Запрос делает браузер посетителя: страница просит его загрузить шрифт, скрипт или окно капчи с чужого сервера, и этот сервер получает IP-адрес посетителя и сведения о его браузере. Обычно это происходит сразу при открытии страницы, до любого нажатия. Владелец часто об этом не знает: шрифт выбран в шаблоне, капча включена в конструкторе, счётчик поставил подрядчик.

Насколько это серьёзно, зависит от сервиса. Проверка web-sight.ru разделяет случаи так:

  • Форма отправляет заявку на зарубежный сервис (Google Forms, Typeform, Formspree и подобные). Это нарушение закона: данные при сборе записываются в зарубежную базу (ч. 5 ст. 18 152-ФЗ).
  • Зарубежная аналитика и реклама (Google Analytics, Google Ads, Meta Pixel, Microsoft Clarity, Hotjar) — нарушение по практике Роскомнадзора, позиция управления по ДФО приведена выше (ч. 3 ст. 12 152-ФЗ).
  • Капча (reCAPTCHA, hCaptcha, Cloudflare Turnstile) — риск: позиции Роскомнадзора именно по капче не найдено.
  • Шрифты и библиотеки с зарубежных серверов (Google Fonts, Adobe Fonts, Font Awesome, cdnjs, jsDelivr, unpkg) — риск. Вывод о трансграничной передаче здесь держится только на толковании: IP-адрес — персональные данные, сервер находится за рубежом.
  • Видео, карты и чаты (YouTube, Vimeo, Google Maps, Intercom, Tawk.to, Crisp) — тоже риск. Чат вдобавок получает переписку с посетителем.
  • Если сам сайт размещён на зарубежном хостинге и на нём есть формы, это риск по локализации (ч. 5 ст. 18 152-ФЗ).

Уведомление Роскомнадзора о трансграничной передаче

Владелец сайта как оператор персональных данных обязан уведомить Роскомнадзор о намерении передавать данные за рубеж до начала передачи. Уведомление направляется отдельно от уведомления об обработке персональных данных (ч. 3 ст. 12 152-ФЗ, с 01.03.2023). В уведомлении об обработке тоже есть строка о наличии или отсутствии трансграничной передачи (п. 10 ч. 3 ст. 22 152-ФЗ); как его подать, рассказывает статья про уведомление в Роскомнадзор.

Дальше всё зависит от страны. Роскомнадзор утверждает перечень государств, которые обеспечивают адекватную защиту персональных данных. С 26.07.2026 в него включают страны, чьё регулирование соответствует положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ч. 2 ст. 12 152-ФЗ в ред. 265-ФЗ). В страны из перечня данные можно передавать после отправки уведомления. В страны вне перечня передавать данные можно не раньше, чем истекут сроки, отведённые Роскомнадзору на рассмотрение: десять рабочих дней с поступления уведомления. По его итогам Роскомнадзор может запретить или ограничить передачу (ч. 8–11 ст. 12 152-ФЗ).

Письменного согласия посетителя на трансграничную передачу действующая редакция ст. 12 не требует. Такое требование встречается в разъяснениях, написанных до 1 марта 2023 года, когда статья была изложена иначе. Согласие на cookie и счётчики — отдельная тема, о ней статья про cookie-баннер.

Если при проверке Роскомнадзор выявит передачу данных за рубеж без уведомления, он выдаст предписание устранить нарушение в срок (п. 1 ч. 2 ст. 90 248-ФЗ; ч. 3 ст. 23.1 152-ФЗ).

Данные из форм — только в базах в России

Строже всего закон относится к данным, которые посетитель вводит сам. С 1 июля 2025 года при сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за рубежом не допускаются, кроме нескольких случаев, перечисленных в законе (ч. 5 ст. 18 152-ФЗ в ред. 23-ФЗ). Уведомление Роскомнадзора о трансграничной передаче в число этих случаев не входит, поэтому запрет оно не снимает.

Поэтому заявка не должна попадать сначала в Google Forms, Typeform или в базу сайта на зарубежном хостинге. Риск есть и после отправки: если заявки с именем и телефоном пересылаются на почту Gmail или в Google-таблицы, данные попадают к зарубежной компании (ч. 3 ст. 12, ч. 5 ст. 18 152-ФЗ). За невыполнение обязанности по локализации при сборе данных предусмотрен штраф: для организаций 1–6 млн ₽, ИП отвечают как организации (ч. 8 ст. 13.11 КоАП). За первое нарушение, выявленное при контроле, штраф могут заменить предупреждением (ст. 4.1.1 КоАП).

Чем заменить зарубежные сервисы

Большинство таких сервисов заменяется российскими или переносится на собственный сервер сайта:

  • Google Analytics — Яндекс Метрика. Это сервис ООО «ЯНДЕКС», трансграничной передачи при нём нет. Но и для Метрики управления Роскомнадзора требуют согласия посетителя и описания в политике: подробнее в статьях про cookie-баннер и про политику для сайта.
  • reCAPTCHA — Yandex SmartCaptcha.
  • Google Fonts — файлы шрифтов на своём сервере. Шрифт с открытой лицензией можно скачать и подключить со своего домена. Так сделан и web-sight.ru: шрифты лежат на его сервере, и до согласия посетителя сайт не обращается ни к одному стороннему сервису.
  • Библиотеки с cdnjs, jsDelivr, unpkg — копии на своём сервере.
  • Google Maps — Яндекс Карты.
  • Google Forms, Typeform — собственная форма сайта или конструктор, который хранит заявки в России.

После замены политику нужно сверить с сайтом. Если в ней остались Google Analytics или передача за рубеж, их убирают. Если какой-то зарубежный сервис остаётся, его описывают в политике и подают уведомление по ст. 12.

Как это находит автоматическая проверка

Сканер web-sight.ru открывает сайт как обычный посетитель, в чистом браузере без cookie и с сервера в России. Доступы к админке ему не нужны. Он записывает все запросы, которые страница делает до любого нажатия, в том числе после прокрутки, и отдельно — после «Принять» в cookie-баннере. Кроме главной, он смотрит документы, контакты и до восьми других страниц, в первую очередь с формами.

Каждый адрес сверяется со словарём известных сервисов: шрифты, капчи, аналитика, CDN, видео, карты, чаты. Для остальных страна определяется по IP-адресу через базу DB-IP Lite. У этого способа есть пределы, и проверка их учитывает:

  • страна по IP приблизительна, поэтому одна она даёт только «риск», не «нарушение»;
  • сети доставки контента вроде Cloudflare и Fastly отвечают с серверов в разных странах, и для них сканер опирается только на словарь;
  • формы сканер не отправляет, адрес отправки он видит в коде формы. Куда заявки уходят с сервера сайта (в CRM, на почту, в таблицы), снаружи не видно. Это проверяют вручную.

Бесплатная проверка на главной показывает, сколько нарушений и рисков нашлось в каждом из восьми разделов, в том числе в «Зарубежных сервисах». В полном отчёте — таблица «адрес → сервис → страна», страница, где сервис найден, и чем его заменить на вашей платформе. Чтобы узнать, уходят ли данные посетителей вашего сайта за рубеж, достаточно ввести его адрес на главной.

Источники