Даже небольшой сайт компании может попасть под требования законодательства о персональных данных. Достаточно формы обратной связи, заявки на консультацию, регистрации, заказа или подписки, где посетитель оставляет имя, телефон, электронную почту или другие сведения.
При этом проблема часто заключается не в намеренном нарушении закона, а в обычных недочётах: забыли разместить нужный документ, неправильно оформили форму или не уведомили Роскомнадзор.
Разберём основные нарушения, на которые владельцам сайтов стоит обратить внимание в первую очередь.
1. На сайте нет политики обработки персональных данных
Если через сайт собираются персональные данные пользователей, оператор обязан обеспечить доступ к документу, определяющему политику обработки персональных данных. Для сайтов такой документ должен быть опубликован в интернете и доступен пользователям.
Типичная ошибка — форма заявки на сайте есть, а политики конфиденциальности или политики обработки персональных данных нет вовсе.
За невыполнение обязанности по публикации политики предусмотрена административная ответственность. Для юридических лиц штраф по ч. 3 ст. 13.11 КоАП РФ составляет от 30 000 до 60 000 рублей.
2. Персональные данные собираются без правильно оформленного согласия
Имя, телефон, e-mail и другие данные пользователя нельзя собирать просто потому, что на сайте есть форма.
Когда обработка осуществляется на основании согласия, оно должно быть конкретным, информированным, сознательным и однозначным. Кроме того, с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов и информации, которые подтверждает пользователь.
Поэтому формулировки вроде:
«Нажимая кнопку, вы соглашаетесь со всем сразу»
могут создавать дополнительные юридические риски, особенно если в одном тексте объединены согласие на обработку данных, правила сервиса, рекламные рассылки и другие условия.
3. Компания не уведомила Роскомнадзор об обработке персональных данных
Это одно из нарушений, которое сейчас особенно важно проверить.
По общему правилу оператор должен до начала обработки персональных данных уведомить Роскомнадзор, если его случай не относится к предусмотренным законом исключениям.
С 30 мая 2025 года за невыполнение или несвоевременное выполнение этой обязанности предусмотрены отдельные штрафы.
Для юридических лиц штраф может составить от 100 000 до 300 000 рублей, для должностных лиц — от 30 000 до 50 000 рублей.
Поэтому наличие красивой политики на сайте ещё не означает, что компания полностью выполнила требования закона.
4. В формах сайта собирается слишком много информации
Сайт должен собирать только те персональные данные, которые действительно необходимы для заявленной цели.
Например, если посетителю нужно просто заказать обратный звонок, стоит задуматься, действительно ли компании дополнительно нужны его дата рождения, адрес проживания или другие сведения.
Закон требует, чтобы обработка персональных данных соответствовала заявленным целям. Обработка данных, несовместимая с целями их сбора, также может повлечь административную ответственность.
5. Документы на сайте не соответствуют тому, что происходит на самом деле
Ещё одна распространённая проблема — политика персональных данных была скачана из интернета несколько лет назад и больше никогда не обновлялась.
В документе может быть указана одна информация, а фактически сайт использует совершенно другие формы, сервисы аналитики, CRM, виджеты и способы передачи данных.
Политика и внутренние документы оператора должны соответствовать реальным процессам обработки персональных данных. Закон также требует определить цели обработки, категории данных, сроки хранения и порядок их уничтожения.
Поэтому шаблонный документ сам по себе проблему не решает.
6. Пользовательские данные передаются сторонним сервисам без должного оформления
На современных сайтах обычно установлены:
- системы аналитики;
- CRM;
- формы обратной связи;
- онлайн-чаты;
- сервисы рассылок;
- виджеты;
- системы онлайн-записи;
- рекламные инструменты.
Некоторые из них получают информацию о посетителях сайта.
Поэтому владельцу сайта важно понимать, какие именно данные собираются, куда они передаются и на каком основании происходит такая обработка.
Если на сайте появилось новое программное обеспечение или сервис, документы по персональным данным также стоит пересмотреть.
7. Не соблюдаются требования к безопасности персональных данных
Ответственность владельца сайта не заканчивается размещением документов.
Оператор должен применять правовые, организационные и технические меры для защиты персональных данных. Это прямо предусмотрено законодательством.
Особенно серьёзные последствия могут возникнуть при утечке данных. Размер ответственности зависит от характера нарушения, количества затронутых пользователей и категории персональных данных. В действующей редакции ст. 13.11 КоАП РФ для крупных утечек предусмотрены многомиллионные штрафы.
Что проверить владельцу сайта прямо сейчас
Откройте свой сайт и ответьте на несколько вопросов:
✓ Есть ли доступная политика обработки персональных данных?
✓ Правильно ли оформлены согласия около форм заявки?
✓ Соответствуют ли документы реальным формам и сервисам сайта?
✓ Не собираете ли вы лишние данные?
✓ Подано ли необходимое уведомление в Роскомнадзор?
✓ Понятно ли, какие сторонние сервисы получают данные посетителей?
✓ Актуальны ли документы с учётом последних изменений законодательства?
Если хотя бы на один вопрос сложно ответить уверенно — сайт стоит проверить подробнее.
Лучше найти нарушение раньше, чем Роскомнадзор
Многие недочёты можно обнаружить и исправить заранее.
Проверьте свой сайт с помощью сервиса АУДИТИК.РУ
Сервис поможет выявить потенциальные нарушения и слабые места на сайте, чтобы вы могли своевременно исправить недочёты и снизить риск претензий и штрафов. Не ждите проверки — проверьте сайт заранее.