Введение
Юридическая компания из Владивостока подошла к вопросам защиты персональных данных с особым вниманием: оформили политику конфиденциальности, вывели её в футер сайта, добавили отдельный документ согласия, привели формы в порядок. Однако… это не спасает от риска серьёзного нарушения закона.
Суть ситуации
- Формы на сайте собирают: имя, email, номер телефона.
- Политика конфиденциальности оформлена корректно.
- На всех формах — чекбоксы и ссылки на согласие.
- НО: внутри сайта работают Google Analytics, Google Tag Manager, reCAPTCHA.
- Эти сервисы автоматически передают данные за рубеж (в США), включая IP, действия на сайте, и — потенциально — введённые в формы персональные данные.
Что говорит закон (актуально на июнь 2025)
- ФЗ-152, ст. 6, 12 и 18.1: любая передача ПДн за рубеж требует получения отдельного согласия.
- Постановление Правительства РФ № 1046 от 2024 года: при трансграничной передаче необходимо не только согласие, но и предварительная проверка страны получателя.
- Объяснение Роскомнадзора (май 2025): IP-адрес + поведение пользователя = персональные данные.
- С 1 июля 2025 действует требование предоставления сведений о трансграничной передаче по запросу.
Что считается нарушением
- Наличие активных скриптов Google без согласия на трансграничную передачу.
- Отсутствие в согласии упоминания конкретных получателей (например, Google Inc.) и стран (США).
- Использование аналитики без «разрыва» IP и без оповещения пользователя о передаче.
Ответственность (по новым штрафам)
- КоАП РФ, ст. 13.11, ч. 8.2: передача ПДн без надлежащего согласия — до 2 000 000 руб.
- Ч. 3 той же статьи: обработка без уведомления РКН — до 500 000 руб.
- Нарушение правил хранения ПДн на территории РФ — ещё до 1 000 000 руб.
Основное заблуждение
«Если всё красиво оформлено на сайте, значит всё законно.»
Это не так. Нарушения могут происходить на уровне скриптов и API — без явного взаимодействия пользователя.
Что делать
- Внести в форму согласия отдельный блок про трансграничную передачу с указанием Google и США.
- Заменить Google Analytics на локальные альтернативы (например, Яндекс.Метрика в режиме локальной обработки).
- При необходимости использовать Google — внедрить механизм получения отдельного согласия и активировать скрипты только после него.
- Настроить обрезку IP-адресов и блокировку сбора при отказе от cookies.
