Комплаенс ПД на сайте

01

Этап 1

Имитация проверки Роскомнадзором

внешний осмотр без взаимодействия с оператором: страницы, формы, документы, домен, хостинг, cookie, сверка с реестром. Затем по каждой зоне фиксируют разрыв и меру исправления

Этап 2. Двенадцать зон контроля комплаенса ПД на сайте

• 1
• эпизоды сбора ПД в формах и компонентах страниц

• 2
• ответственное лицо: домен, ресурс, оператор

• 3
• локализация баз с ПД граждан РФ

• 4
• внешние сервисы: поручение или иная модель

• 5
• договор с пользователями: соглашение, оферта, согласие

• 6
• фиксация юридически значимых действий

• 7
• мониторинг и аналитика поведения пользователей

• 8
• маркетинговые и информационные рассылки

• 9
• публикация ПД с согласия на распространение

• 10
• уведомления об обработке и о трансграничной передаче

• 11
• информирование о рекомендательных технологиях

• 12
• авторизация пользователей

Совет: осмотр, который оператор проводит сам раз в квартал, воспроизводит ту картину сайта, которую Роскомнадзор видит снаружи

Локализация и трансграничная передача

сбор ПД в БД на иностранном хостинге

сбор ПД иностранными метриками и сервисами (Google Analytics, reCAPTCHA)

ТПД не указана в политике и согласиях

Согласия и соглашения

нет согласия на прямой маркетинг и (или) рекламу

нет согласия на распространение ПД

нет информирования о метриках при входе на ресурс

согласие без отдельного волеизъявления

бездействие пользователя как условие согласия

Политика

нет ссылки на политику на страницах сбора ПД

веб-формы сбора ПД расходятся с политикой

не описаны сторонние метрики и сервисы

не описана обработка по целям и уничтожение ПД

не указан срок (условие) прекращения обработки

Уведомления, рекомендации и авторизация

не поданы уведомления об обработке и (или) ТПД

обработка расходится с поданными уведомлениями

избыточность собираемых ПД по отношению к целям

нет правил рекомендательных технологий (ст.13.56)

иностранные сервисы входа (ст.13.55)

• Критичность контроля
• высокая
• средняя
• умеренная

Ранжирование нарушений

• 1
• нет согласия на обработку

• 2
• нет политики обработки ПД

• 3
• форма шире политики

• 4
• ссылки на чужие формы сбора

• 5
• сбор ПД россиян на зарубежном хостинге

• 6
• в политике нет сведений о ТПД

• 7
• метрика не указана в политике

• 8
• нет или неверен срок обработки

• 9
• нет уведомления об обработке

Функции системы

поиск ресурсов, где собирают и распространяют ПД

проверка по жалобам и плану мероприятий

интеграция с формой обращений граждан

не менее 500 тыс. ресурсов в год и 15 тыс. в неделю по словам "согласие", "продам базу"

модуль доказательной базы

• Приоритет мониторинга
• банки, НПФ, МФО, платежные
• страховщики
• коллекторы
• соцсети
• связь

• интернет-магазины
• транспорт
• почта
• медицина
• образование
• ЖКХ и УК
• МФЦ
• органы власти

Следствие: система сверяет согласия и политики с полями форм и сведениями ЕГРЮЛ, поэтому расхождение документов с фактическим сбором видно без участия оператора

2024

итоги года

77% с признаками нарушений

около 6,5 тыс. требований о приведении сайта в соответствие, 258 протоколов

1 пол. 2025

полугодие

почти 27 тыс. проверок

признаки нарушений в 84% случаев, 8 тыс. требований, 208 протоколов

2026

14.08.2026

почти 160 тыс. ресурсов

охват удвоился против 80 тыс. годом ранее, признаки нарушений почти в 90% случаев

9 из 10

срабатываний верны

по словам Роскомнадзора, ошибается примерно каждое десятое, отдельной процедуры оспаривания машинной оценки нет

единицы %

злостных нарушителей

протокол Роскомнадзор называет крайней мерой при отсутствии отклика на требование

Отбор

Кого проверяют первыми

сферы, на которые больше всего жалуются граждане: финансовый сектор, интернет-магазины, образование, ЖКХ

по ТЗ 2021 года в выборку попадают сайты, собирающие или распространяющие ПД, сайты по жалобам и сайты из плана наблюдения

• критичнее
• менее критично

• Локализация и ТПД
• база ПД на иностранном хостинге
• иностранные метрики и формы: Google Analytics, reCAPTCHA
• ТПД не указана в политике, согласиях и соглашениях

• Согласия и соглашения
• нет согласия на маркетинг и рекламу
• нет согласия на распространение
• нет информирования о метриках при входе
• согласие без отдельного волеизъявления
• бездействие пользователя как условие согласия

• Политика
• нет ссылки на политику на страницах сбора
• формы не совпадают с описанием в политике
• не описаны сторонние метрики, формы и сервисы
• нет описания по целям и порядка уничтожения
• нет или неверен срок прекращения обработки

• Уведомления, рекомендации, авторизация
• не поданы уведомления об обработке и ТПД
• обработка расходится с уведомлением
• избыточный сбор по отношению к целям
• нет ссылки на правила рекомендательных технологий
• иностранные сервисы авторизации (SSO)

Пример: требование Управления Роскомнадзора по ЮФО от 11.02.2025 по одному сайту: чекбокс ознакомления с политикой вместо согласия, Google Analytics как признак нарушения ч.5 ст.18, нет уведомления о трансграничной передаче, в политике нет категорий, сроков и порядка уничтожения по целям

• Блок взаимоотношений
• Способы взаимодействия
• Документы, которые оформляют отношения

• Функционал и контент ресурса
• просмотр страниц, чекбокс, пароль, ввод данных, онлайн-чат
• пользовательское соглашение (Terms of Use), политика конфиденциальности сайта (Online Privacy Policy), ссылка внизу сайта на политику обработки ПД компании (Data Processing Policy)

• Аналитика, маркетинг и рассылки
• всплывающее сообщение, чекбокс single opt-in, PIN-код или ссылка для double opt-in
• уведомление о файлах cookie (Cookie Notice), согласие на маркетинг и информационные рассылки (Marketing Consent)

• Отдельные бизнес-активности
• покупка, ввод данных, загрузка файлов
• публичная оферта или договор присоединения с уведомлением о конфиденциальности (Privacy Notice), согласие на обработку ПД (Personal Data Processing Consent)

Типы cookie по aboutcookies.com

• Critical: необходимые
• Functional: предпочтения
• Analytical: статистика
• Marketing: реклама и таргетинг

Social: соцсети

Ловушка: реестр по формам ввода покрывает только то, что вводит пользователь. Сведения из cookie и метрик и производные профили выпадают из документов и всплывают при осмотре страницы

Администратор домена

лицо, на имя которого зарегистрировано доменное имя для сетевой адресации

Владелец сайта

лицо, которое самостоятельно и по своему усмотрению определяет порядок использования сайта, в том числе размещения информации

Оператор ПД

лицо, которое организует или осуществляет обработку и определяет ее цели, состав ПД и действия с ними

Логика надзора и суда

администратор домена = владелец сайта = оператор ПД

пока не доказано обратное, а опровергать презумпцию приходится самому оператору

Чьи права выясняет надзор

• доменное имя
• дизайн и контент

• CMS и базы данных
• ИТ-инфраструктура

Практика: в деле о блокировке LinkedIn Мосгорсуд (33-38783/16, 10.11.2016) оставил в силе решение: за содержание сайта отвечает администратор домена, поскольку без его контроля ресурс использовать нельзя. Если оператором должен быть другой, права раскладывают договорами заранее

Ч.5 ст.18 152-ФЗ с 01.07.2025

при сборе ПД, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение ПД граждан РФ с использованием баз за рубежом не допускаются, кроме случаев пп.2, 3, 4, 8 ч.1 ст.6

• Вопрос
• Локализация нужна
• Не нужна

• Чьи ПД
• граждан РФ, база направлена на РФ
• иных лиц

• Источник ПД
• субъект, открытые источники, мониторинг поведения, правка в базе
• только другие базы

• Основание
• любое, кроме исключений
• пп.2, 3, 4, 8 ч.1 ст.6

• Где база
• за рубежом
• в России

Метрики

управления Роскомнадзора по ПФО, Курганской области и ЮФО считали Google Analytics нарушением ч.5 ст.18, центральный аппарат (04.08.2025) и Минцифры (12.05.2025) видят в нем ТПД

Направленность на РФ

домен .ru, .рф, .su, русский интерфейс, услуги в РФ. Штраф Ookla 6 млн ₽ устоял в кассации (16-1536/2025): регистрация открыта. По Taobao апелляция 29.09.2026 (А40-325054/2025) отвергла и запрет регистрации при доступе из России

Выводы: не держать собранные в РФ ПД в зарубежных базах. Данные, полученные анализом ранее собранного в России массива, можно обрабатывать за рубежом

По мнению Роскомнадзора, поручение возникает, когда оператор способен сам провести обработку, включая доступ и хранение, но решил делегировать ее полностью или частично контрагенту-обработчику

Нужно поручение обработки

виртуальный хостинг

облачные сервисы SaaS, PaaS, IaaS

администрирование и поддержка

ИТ-безопасность

IaaS не всегда поручение: позиция RPPA

Без поручения: сервис оказывает услугу пользователю или оператору

• SSO: Яндекс ID, VK ID, Сбер ID, ЕСИА
• вход: LastPass, OneLogin

• формы: Google Forms, Яндекс Формы
• чаты: Chatra, Jivosite

• опросы: Typeform, Анкетолог
• оплата: Mastercard API, PayPal

• виджеты: VK, Яндекс
• медиа: YouTube, Vimeo
• защита: reCAPTCHA, Cloudflare

• аналитика: Google Analytics, Метрика
• карты: Google, Яндекс

• шрифты: Google Fonts
• почта: MailGun
• ЭП: SignNow, Диадок

• согласия: OneTrust
• отзывы: Foursquare, Yelp
• Search Console

Риск: иностранный сервис из любой группы означает ТПД и риск нелокализации. По позиции Роскомнадзора 14.08.2026 положение о ТПД включают и в пользовательское соглашение, и в политику

Политика конфиденциальности

рекомендации Роскомнадзора по содержанию

сведения об операторе

цели, категории и перечень ПД, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения (п.2 ч.1 ст.18.1)

правовые основания и меры по выполнению 152-ФЗ

способы связи с оператором

при наличии: передача третьим лицам и трансграничная передача

Согласие на обработку ПД

конкретное, предметное, информированное, сознательное, однозначное

сведения об операторе

цели, категории и перечень ПД, категории субъектов, способы, сроки, порядок уничтожения

способы связи, в том числе для отзыва согласия

ссылка на политику оператора

при наличии: передача третьим лицам и трансграничная передача

Обособление

не всякую обработку легализует договор, тогда согласие дают отдельным текстом, визуально и по смыслу обособленным, отдельным волеизъявлением

Browse-wrap

плашки "продолжая использовать сайт, вы соглашаетесь" мало: молчание не акцепт (п.2 ст.438 ГК), а Роскомнадзор устно (31.01.2024) требует перехода по ссылке на полный текст с записью в журнале

Посредник

сайт без статуса СМИ или соцсети с аудиторией свыше 500 тыс. в сутки (ст.10.6 149-ФЗ) не отвечает за чужой контент, пока не узнал о нарушении (18-П от 09.07.2013, А40-236948/2025)

1

Текст и условия

пользователь видит текст договора или согласия и описание условий

2

Клик "Подтверждаю"

click-wrap: договор или согласие заключают щелчком по клавише "я согласен" рядом с текстом

3

Запись в журнал

access_log фиксирует IP-адрес, дату и время, страницу и браузер пользователя

4

Хранение журнала

журнал защищают и хранят как доказательство юридически значимого действия

Что учесть при логировании

• 1
• требований к составу и сроку хранения логов нет, поэтому соблюдают минимизацию данных

• 2
• обеспечивают конфиденциальность, целостность и доступность журналов

• 3
• запись логов может быть сбором ПД, поэтому журналы лучше вести на локализованных в РФ ресурсах

Законопроект 2026 года

Код подтверждения не стал обязанностью

обсуждалось подтверждение значимых действий кодом по СМС и в мессенджере Max с 01.09.2026, но в принятый 26.06.2026 второй антифрод-пакет (210-ФЗ) норма не вошла

Учесть: простая веб-форма согласия без последующей идентификации пользователя дает среднюю степень вреда по приказу Роскомнадзора № 178

Роскомнадзор: если на сайте работают метрики, оператор должен

сообщить пользователю при входе на сайт о метрических программах и получить согласие на обработку ПД, собираемых ими

указать, какие именно программы используются

включить в политику конфиденциальности сведения о метрических программах

Ссылки на политику мало: условия согласия описывают в отдельном файле или разделе, а согласие обособляют от иных документов

Пример описания cookie в политике

• Тип
• Владелец
• Цель
• Срок
• Как отключить

• Технические
• оператор
• работа сайта, безопасность, вход
• удаляются через месяц после визита
• в настройках браузера, вход станет неудобнее

• Аналитика
• Google Analytics
• статистика посещений и улучшение сайта
• до закрытия браузера или до 24 месяцев
• на странице отказа от отслеживания Google

Нюансы: технические cookie без идентификации посетителя Роскомнадзор устно (27.08.2025) к ПД не относит, метрические относит. На дне открытых дверей 14.08.2026 вход на сайт после информирования назван согласием, письменные разъяснения требуют активного действия, поэтому безопаснее кнопка. Анонимизация IP в Google Analytics не спасает: cookie и данные устройства уходят открыто

• Кто
• Что выявлено
• Исход

• Роскомнадзор, Тюмень, ХМАО и ЯНАО, 24.07.2026
• метрика без основания и информирования, нет срока в договоре с пользователем, дефекты политики, нет уведомления
• привести обработку в соответствие

• Роскомнадзор по ЦФО, 19.08.2026
• метрические программы без основания, избыточный и неустановленный срок в политике
• прекратить обработку с нарушением

• Прокурор, музей-заповедник, 10.06.2026
• Метрика без предупреждения о cookie и согласия (ч.1), политика не охватывает метрические данные (ч.3)
• два предупреждения директору (5-361/2026, 5-362/2026)

• Прокурор, учреждение, 16.06-31.08.2026
• те же нарушения на сайте учреждения
• 150 тыс. ₽ отменено, при новом рассмотрении предупреждение по просьбе (5-349/2026)

Вывод: все позиции видны снаружи: политика, договор с пользователем, счетчики и реестр операторов. Самопроверку сайта ведут по полному составу требований, а не только по интерфейсу

• Double opt-in
• согласие дважды: отметка в форме и подтверждение по ссылке из письма

• Single opt-in
• согласие один раз: отметка в пустом чекбоксе "Согласен на обработку ПД"

• Silent opt-in
• отметка уже стоит и ее не сняли, или кнопка "Отправить" с оговоркой о согласии

• Silent opt-out
• предустановленное несогласие: отметка "Не согласен" уже стоит

• Soft opt-out
• отказ через отрицание: "Не согласен" или двойное "Не согласен с отказом"

• Hard opt-out
• согласие вшито в новые условия и считается данным, если не прислан отказ

Практика: по словам Роскомнадзора 14.08.2026 крупные операторы чаще всего нарушают ч.1 ст.15 152-ФЗ именно на почтовых рассылках. Отписка от рассылки отзывом согласия не является, это разные элементы интерфейса. Отдельно соблюдают регулирование массовых и автоматических вызовов

Узнаете эти формулы?

нажимая "Отказаться", "Сбросить звонок", "Выйти" или "Закрыть", вы соглашаетесь на обработку ваших данных...

используя банкомат так, что он считывает параметры вашего лица, вы соглашаетесь...

не ответив на три звонка поддержки банка, вы соглашаетесь...

удаляя или скачивая приложение банка, вы соглашаетесь...

оплачивая покупки картой банка, вы соглашаетесь...

отзывая согласие, вы соглашаетесь...

Шутка с долей правды

Согласие одним "спасибо"

Поддержка банка сообщает клиенту, что согласия на биометрию он не давал. Клиент отвечает "Спасибо", ассистент присылает жест "окей", а мелким шрифтом на жесте: нажав "Спасибо", вы соглашаетесь

согласие должно быть среди прочего конкретным, информированным, сознательным и однозначным (ч.1 ст.9)

отказ не должен быть сложнее согласия

• Крестика нет, галочка согласия уже стоит
• Чтобы закрыть окно, нужно снять галочку и нажать "Продолжить"

Вывод: предустановленная галочка - пассивное согласие (silent opt-in): оно не конкретное и не однозначное, а отказ сложнее согласия. Такие окна в своих продуктах лучше не делать

Сервис Роскомнадзора

pd.rkn.gov.ru/soglasiya: рекомендации по подготовке согласия на распространение

Образец согласия RPPA

rppa.ru/_media/analitika/srpd.docx

Размещенные на этой странице персональные данные распространяются с разрешения субъекта для цели [...]. Субъектом установлены следующие условия и запреты на обработку таких данных любыми лицами: [...]

Дисклеймер рядом с опубликованными ПД по ч.10 ст.10.1 152-ФЗ, не позднее трех рабочих дней после получения согласия

Спорно: согласие по ст.10.1 - частный случай согласия по п.1 ч.1 ст.6, распространять можно и по иным основаниям: АС Московского округа 30.03.2023, ВС отказал в передаче жалобы 21.07.2023 (А40-139096/2022), письмо Роскомнадзора от 15.05.2024 № 08-166301. Устные позиции 2025-2026 годов строже

+

Обработка ПД, ст.22

С 01.09.2022 уведомлять нужно и в прежних исключениях

ПД работников и соискателей по ТК РФ

ПД для заключения и исполнения договора с субъектом

ПД членов общественных объединений и религиозных организаций

ПД, распространяемые с согласия субъекта

только ФИО или обработка для пропуска на территорию

ПД в ИСПД, поименованных в федеральных законах

Трансграничная передача, ч.3 ст.12

Отдельное уведомление о намерении до начала ТПД

подают отдельно от уведомления по ст.22 и указывают его реквизиты

кто вел ТПД до 01.03.2023, направил уведомление и сведения о правовых основаниях по ст.6

письменное согласие субъекта для этого не нужно, деятельность на время рассмотрения не приостанавливают

Роскомнадзор вправе за 10 рабочих дней запретить или ограничить передачу

в страны вне перечня адекватных передавать до истечения срока рассмотрения нельзя

Практика: при дистанционном осмотре сайта Роскомнадзор сверяет его с реестром операторов, и отсутствие уведомления становится отдельным пунктом требования наравне с дефектами сайта

Что регулируется

Рекомендательные технологии

информационные технологии предоставления информации на основе сбора, систематизации и анализа сведений о предпочтениях пользователей, находящихся в России

Кого касается

владельцев сайтов, приложений, систем и программ - граждан РФ и российских юрлиц, выдающих информацию по предпочтениям пользователей в России

Не распространяется

на операторов ГИС, госорганы и органы местного самоуправления, а также на выдачу по заданным пользователем параметрам и фильтрам

Правила применения

процессы и методы сбора и анализа сведений о предпочтениях, способы их осуществления, виды и источники сведений

русский язык, доступ без оплаты, регистрации и идентификации, текст ничем не перекрыт

Уведомление о применении

на всех страницах, включая персональные: "На информационном ресурсе применяются рекомендательные технологии"

ссылка на отдельную страницу с дословно заданным текстом о сборе и анализе предпочтений

Запрет: нельзя применять технологии, нарушающие права или выдающие информацию с нарушением закона. С 07.07.2026 действует ст.13.56 КоАП, ЮЛ 500-700 тыс. ₽, повторно 1-1,4 млн ₽, за неисполнение требования до 2,8 млн ₽

• 1
• Номер мобильного телефона

оператор связи может быть нероссийским: прямого запрета в законе нет

• 2
• ЕСИА

вход через портал госуслуг

• 3
• ЕБС

вход через единую биометрическую систему

• 4
• Иная система входа

владелец - гражданин РФ без иного гражданства или российское юрлицо: собственный вход, VK ID, Яндекс ID

Кого касается

Российские владельцы ресурсов с доступом для авторизованных

критерий - нахождение пользователя в России, а не гражданство, иностранные ресурсы иностранных владельцев вне нормы. Понятие авторизации закон не раскрывает, поэтому проверяют регистрацию и повторные входы

Запрещено

иностранные сервисы входа: Apple ID, Google Sign-In, вход через Telegram

Допустимо

иностранная почта как идентификатор и канал доставки кода. Ввод почты при регистрации Роскомнадзор авторизацией не считает (письмо от 11.06.2026)

Законопроект

поправка о праве Правительства установить случаи входа по почте в российской доменной зоне в закон не вошла

С 07.07.2026: за нарушение правил авторизации юрлицам грозит штраф от 500 до 700 тыс. ₽ (ст.13.55 КоАП, 199-ФЗ от 26.06.2026)