Как привести сайт в соответствие с требованиями Роскомнадзора по обработке персональных данных?

Здравствуйте, Дмитрий. Готова оказать вам профессиональную помощь. Пишите в чат в личные сообщения. Текущая редакция документа по вашей ссылке (https://www.gorko.ru/page/agreement) содержит общие положения пользовательского соглашения, но не заменяет собой Политику обработки персональных данных, которая теперь должна быть отдельным документом. Вот какие Я рекомендую внести дополнения:

Добавить раздел «Персональные данные», где указать, что отношения сторон в части ПДн регулируются отдельной Политикой конфиденциальности. Указать реквизиты оператора (наименование юрлица или ИП, ИНН).

Прописать порядок отзыва согласия пользователем.

Разделить согласие на использование сайта и согласие на обработку ПДн: убрать формулировки типа «Нажимая кнопку, вы соглашаетесь со всем».

Здравствуйте.

Дело в том, что в данном разделе юристы дают ответы на краткие вопросы. Для работы по документам и более крупным вопросам, требующим ознакомления с другими документами Вы можете обратиться в чат для получения персональной консультации.

Ну и надо также понимать, что написание ответов это тоже отдельный вид правовой помощи, который также может быть обговорен в рамках чата.

1. Подготовить изменения в www.gorko.ru/page/agreement/ (если требуется) 2. Составить «Политику использования персональных данных» 3. Дать перечень того что надо изменить на сайте чтобы выполнить требование РКН 4. Проконсультировать по внесению изменений описанных в рамках пункта 3 5. Написать ответы на три запроса РКН

 Здравствуйте

В принципе вам в требованиях все ваши проблемы роскомнадзор расписал.

Если вы их выполните- сам ответ на требования будет небольшой.

Правки документов- индивидуальный заказ у юриста в чате.

Но — по трансграничной передаче данных- лучше от нее просто отказаться полностью, так проблем меньше.

В остальном надо конечно все это смотреть, делать согласия, вопрос с реестром операторов перс. данных- тоже встает у них.

Просто изменение оферты сейчас вам ничего не дает, тут нужно именно делать положение по обработке перс данных- и реально его выполнять, в том числе и по защите- это техническая часть уже.

Здравствуйте!

1. Подготовить изменения в www.gorko.ru/page/agreement/ (если требуется)

 В целом, исходя из тех требований, что Вам направлены — наверняка потребуются лишь незначительные корректировки Пользовательского соглашения на сайте.

2. Составить «Политику использования персональных данных»

 Это возможно после более детального ознакомления с порядком получения Клиентом услуги на Вашем сайте.

Объективно говоря, исходя из того, что предварительно увидел на сайте — создавать необходимо не только Политику использования персональных данных, но и Согласие на обработку персональных данных, потому как иное основание для обработки персональных данных пользователей на сайте отсутствует (ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»).

3. Дать перечень того что надо изменить на сайте чтобы выполнить требование РКН

На сайте Вам будет необходимо, как минимум, дополнить политикой персональных данных (как верно указывает РКН, это требование ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»). И, если у Вас все же нет отдельного текста согласия на обработку ПД, с которым пользователь должен ознакомиться и согласиться — необходимо добавить текстовую версию и чек-бокс с галочкой о согласии с текстом данного согласия.

 4. Проконсультировать по внесению изменений описанных в рамках пункта 3

 РКН Вам указывает на то, что, используя Яндекс.Метрику и иные сервисы сбора ПД, у Вас нет оснований для такого сбора (ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»). Нет Политики обработки ПД и, если я верно понял, даже согласия на обработку ПД у клиентов не берется. Если все верно, то РКН справедливо указывает на прямую возможность привлечения к ответственности по ст. 13.11 КоАП РФ.

Иные вопросы, не понятные или требующие разъяснений в документах от РКН возможно разъяснить в рамках консультации в чате.

5. Написать ответы на три запроса РКН

 Это также отдельная услуга в чате, не для данного раздела сайта.

Уважаемый Дмитрий, здравствуйте! 

Во вложении три жалобы, которые РКН перенаправило Вам для устранения нарушений на Вашем сайте. У Вас сжатые сроки.

Отвечать по всем трем жалобам — нужно официально.

Роскомнадзор в своём запросе указывает на вполне конкретные нарушения, и они действительно имеют место.

Использование на сайте метрических программ — top.mail.ru, LiveInternet, Google Analytics — подразумевает сбор данных о поведении посетителей: IP-адрес, cookie-файлы, информация об устройстве, истории переходов.

Роскомнадзор и суды последовательно квалифицируют такие данные как персональные данные, поскольку в совокупности они позволяют определить конкретного пользователя. Это прямо следует из п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.1) персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;

www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/

Любая обработка персональных данных допускается исключительно при наличии хотя бы одного из оснований, перечисленных в ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/

В Вашем случае наиболее применимым основанием является согласие субъекта персональных данных — п. 1 ч. 1 ст. 6 Закона № 152-ФЗ.

Основания, на которые ссылается Роскомнадзор в своём запросе (п. 5 ч. 1 ст. 6 — исполнение договора, п. 2 ч. 1 ст. 6 — выполнение возложенных законом функций), к аналитическим метрическим сервисам не применимы, поскольку сбор данных о поведении пользователей на сайте не является ни исполнением договора с посетителем, ни выполнением государственных функций.

Отсутствие отдельного чекбокса для получения согласия на обработку персональных данных — это самостоятельное нарушение.

Согласие должно быть конкретным, информированным и сознательным, что прямо закреплено в ст. 9 Закона № 152-ФЗ.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. 

www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/

Простое уведомление о факте использования cookie-файлов без механизма активного волеизъявления пользователя таким согласием не является.

Исправлять, безусловно, надо.

На сайте необходимо разместить баннер или отдельную форму с чекбоксом, через которую пользователь даёт осознанное согласие на обработку персональных данных до начала работы метрических скриптов.

Также требуется опубликовать Политику обработки персональных данных с указанием перечня собираемых данных, целей обработки, перечня третьих лиц, которым передаются данные и порядок отзыва согласия.

Что касается последствий — приведу пример из практики.

В деле № А70-21190/2025, рассмотренном Арбитражным судом Тюменской области (решение от 26.11.2025), общество ООО «ЛУКОЙЛ-АЭРО-ВОСТОК» использовало на своём сайте метрическую программу «Яндекс Метрика» без предупреждения о сборе cookie-файлов и без механизма получения согласия пользователей.

Возбудили дело по ст. 13.11 КоАП РФ.

Однако суд учёл, что общество устранило нарушения до возбуждения дела — добавило предупреждение о cookie, внедрило механизм согласия, обновило сведения в Реестре операторов и опубликовало политику обработки персональных данных.

Так же в нарушение требований ч. 7 ст. 22 Закона сведения об ООО «ЛУКОЙЛ-АЭРОВосток» в Реестре операторов, осуществляющих обработку персональных данных, не соответствуют сведениям, содержащимся на сайте. В частности, ООО «ЛУКОЙЛ-АЭРО-Восток» не указаны все категории субъектов персональных данных, собираемые посредством сайта (пользователи/посетители сайта), категории персональных данных (cookie файлы). По результатам проверки заместителем Тюменского транспортного прокурора 30.09.2025 в отношении ответчика возбуждено дело об административном правонарушении по признакам ч. 1 ст. 13.11 КоАП РФ — нарушение законодательства Российской Федерации в области персональных данных. Постановление о возбуждении дела об административном правонарушении вынесено в отсутствие законного представителя Общества — генерального директора Бояркина В.Н., надлежащим образом извещённого о совершении данного процессуального действия, с соблюдением требований к порядку и срокам его вынесения, установленными главой 28 КоАП РФ. 

Учитывая, что ответчик впервые совершил административное правонарушение, отвечающее признакам ч.2 ст.3.4 КоАП РФ, а также устранение выявленных нарушений, арбитражный суд полагает возможным назначить ответчику административное наказание в виде предупреждения.

kad.arbitr.ru/Card/f6cec771-9cb6-4c61-beb6-5964e9d07a82

Поскольку правонарушение было совершено впервые и не повлекло причинения вреда, суд применил ч. 2 ст. 3.4 КоАП РФ и назначил наказание в виде предупреждения вместо штрафа.

Таким образом, своевременное устранение нарушений до рассмотрения дела существенно снижает риски и позволяет рассчитывать на предупреждение вместо штрафа по  ст. 13.11 КоАП РФ

С уважением Дарья

Уважаемый Дмитрий.

По приложенным запросам Роскомнадзора проблема не сводится к одной Политике обработки персональных данных. Необходимо одновременно привести в соответствие документы, фактическую работу сайта, используемые сервисы и сведения в Реестре операторов персональных данных.

Я бы обратила внимание на следующие моменты.

Во-первых, действующая редакция Пользовательского соглашения требует переработки. Сейчас согласие на обработку персональных данных включено непосредственно в раздел 9 Соглашения, а также предусмотрено, что пользователь дает его путем присоединения к Соглашению. По действующей редакции ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ согласие на обработку персональных данных должно оформляться отдельно от иных документов и информации, которые подтверждает пользователь. Поэтому одного раздела 9 Пользовательского соглашения недостаточно. При этом отдельное согласие требуется не для любой обработки: если конкретные данные объективно необходимы для заключения или исполнения договора с пользователем, основанием может выступать п. 5 ч. 1 ст. 6 Закона № 152-ФЗ. То есть сначала необходимо разделить все процессы обработки по целям и правовым основаниям, а уже затем определять, где требуется согласие.

Во-вторых, необходимо разместить отдельную публично доступную Политику в отношении обработки персональных данных. Это прямо предусмотрено ч. 2 ст. 18.1 Закона № 152-ФЗ. Роскомнадзор в двух запросах отдельно указывает, что такого доступного документа на сайте не обнаружено.   Простая ссылка в Пользовательском соглашении на некую «Политику конфиденциальности» проблему не решает, если документ фактически отсутствует либо не содержит всей информации о реально осуществляемой обработке.

В-третьих, необходимо отдельно проверить все формы сайта. Из первого запроса следует, что Роскомнадзор рассматривает вопрос об отсутствии надлежащего волеизъявления пользователей при передаче контактных данных через формы и последующей передаче данных ресторанам.  Здесь я не стала бы автоматически устанавливать «согласие на распространение»: передача данных конкретному ресторану и распространение персональных данных неопределенному кругу лиц — юридически разные операции. Необходимо установить фактическую схему передачи данных и определить надлежащее основание именно для нее.

Отдельный блок нарушений связан с метрическими сервисами. В запросах прямо указаны Яндекс.Метрика, top.mail.ru, LiveInternet и Google Analytics. Роскомнадзор требует определить правовое основание обработки cookie, IP-адресов и иных технических идентификаторов. При использовании необязательной аналитики наиболее безопасный вариант — не запускать соответствующие скрипты до получения надлежащего согласия пользователя. По Google Analytics дополнительно возникает вопрос трансграничной передачи по ст. 12 Закона № 152-ФЗ и соблюдения требований к локализации персональных данных. До урегулирования этих вопросов использование Google Analytics я бы рекомендовала приостановить. 

Кроме того, Московское управление Роскомнадзора выявило отдельное нарушение Федерального закона от 27.07.2006 № 149-ФЗ: авторизация пользователей, находящихся в России, через Google не соответствует требованиям ч. 10 ст. 8 данного закона. Этот механизм также необходимо менять. 

Наконец, необходимо актуализировать уведомление Роскомнадзора по ст. 22 Закона № 152-ФЗ: категории субъектов — посетители сайта, фактически собираемые данные, цели обработки, метрические программы, сведения о трансграничной передаче и местах нахождения баз данных. Самарское управление прямо указало на несоответствие сведений в Реестре фактической обработке. 

По срокам: в запросах установлен срок 10 рабочих дней именно с даты их получения организацией. Поэтому сначала необходимо установить документально подтвержденную дату получения каждого из трех запросов. Непредставление информации в установленный срок создает дополнительный риск ответственности по ст. 19.7 КоАП РФ, а нарушения законодательства о персональных данных — по ст. 13.11 КоАП РФ.

Вывод:

Здесь необходима комплексная работа: провести аудит фактических потоков данных на сайте, переработать Пользовательское соглашение, подготовить отдельные согласия там, где они действительно необходимы, Политику обработки персональных данных, настроить формы и метрические сервисы, проверить передачу данных третьим лицам и за рубеж, актуализировать уведомления Роскомнадзора и после устранения нарушений подготовить три мотивированных ответа с подтверждающими документами.

По объему это уже не краткая консультация в общем разделе. Можете написать мне в чат: последовательно разберем каждый запрос Роскомнадзора и сформируем необходимый комплект изменений и ответов. Имею более 5 лет практического опыта работы с персональными данными и цифровым правом.