Политика и мобильная версия сайта

Шаг 1. Определите, какие данные собирает мобильная версия сайта

Прежде чем размещать политику, установите полный перечень данных, которые сайт собирает на мобильном устройстве. Это не только формы обратной связи и личный кабинет. Мобильная версия нередко передаёт больше данных, чем десктоп: геолокацию, идентификаторы устройства, данные push-уведомлений.

Составьте реестр источников сбора:

• Формы регистрации, оформления заказа, подписки — имя, email, телефон, адрес доставки.
• Cookies и аналогичные технологии (LocalStorage, fingerprinting) — идентификаторы сессии, поведенческие данные.
• Сервисы аналитики — GA4, Яндекс.Метрика, передают IP и User-Agent.
• Пиксели ретаргетинга — Meta Pixel, VK Pixel — передают данные в зарубежные системы.
• Программы лояльности — карты, бонусные счета, история покупок.
• Push-уведомления — требуют отдельного согласия.

Отдельно проверьте, работает ли на мобильной версии сторонний виджет — онлайн-чат, форма обратного звонка, калькулятор. Каждый такой виджет обычно самостоятельно собирает данные и передаёт их оператору виджета. Это означает поручение обработки по п. 3 ст. 6 ФЗ-152 и необходимость договора с оператором виджета.

Шаг 2. Проверьте политику конфиденциальности на соответствие требованиям ч. 2 ст. 18.1 ФЗ-152

Политика конфиденциальности — публичный документ, который оператор обязан разместить на сайте. Требования к её содержанию установлены ч. 2 ст. 18.1 ФЗ-152. Отсутствие политики или её неполнота влечёт штраф по ч. 3 ст. 13.11 КоАП (30 000–60 000 ₽ для юрлица).

Проверьте, что политика содержит все обязательные разделы:

• Полное наименование оператора и его контактные данные.
• Цели обработки каждой категории данных — без размытых формулировок вроде «улучшение сервиса».
• Правовые основания для каждой цели (согласие, договор, законная обязанность — ст. 6 ФЗ-152).
• Перечень обрабатываемых данных с привязкой к цели.
• Порядок и сроки хранения — отдельно по каждой категории.
• Перечень третьих лиц, которым передаются данные: платёжные системы, службы доставки, маркетплейсы, сервисы аналитики.
• Трансграничная передача — если GA4, Meta Pixel или иной сервис передаёт данные за рубеж, это должно быть отражено.
• Права субъектов и порядок их реализации — срок ответа 10 рабочих дней (ст. 20 ФЗ-152).
• Раздел о cookies — отдельный блок с описанием видов и целей.

Для мобильной версии критично: ссылка на политику должна быть видима и кликабельна на экране с шириной 320–375 px. Если ссылка в футере обрезается или размещена 10-м шрифтом без отступа — это техническая недоступность документа, которую инспектор РКН может квалифицировать как нарушение ч. 3 ст. 13.11.

Шаг 3. Настройте баннер cookies на мобильной версии

Баннер согласия на cookies — не декоративный элемент. Он фиксирует волеизъявление субъекта до начала обработки его данных через cookies. Без баннера или при его неработоспособности на мобильных устройствах сбор cookies происходит без согласия — это нарушение ч. 1 ст. 6 и ст. 9 ФЗ-152.

Требования к баннеру на мобильной версии:

• Отображается при первом визите до прокрутки страницы и до загрузки аналитических скриптов.
• Текст читаем на экране 320 px без горизонтальной прокрутки.
• Кнопки «Принять» и «Отклонить» (или «Настроить») одинаково доступны — кнопка отклонения не должна быть меньше или скрыта.
• Содержит ссылку на раздел политики о cookies.
• Выбор пользователя сохраняется в cookies или LocalStorage и не запрашивается повторно при следующем визите.
• При отклонении — аналитические скрипты не загружаются. Это технически реализуется через Consent Mode v2 (GA4) или аналог.

Технически баннер реализуется через CMP (Consent Management Platform) — Cookiebot, OneTrust, отечественные аналоги — или через самостоятельно написанный скрипт. При использовании самописного решения проверьте, что оно действительно блокирует загрузку сторонних скриптов до согласия, а не просто показывает уведомление.

Как использовать GA4 и Meta Pixel без нарушения требований о трансграничной передаче?

GA4 (Google Analytics 4) и Meta Pixel передают данные на серверы в США и ЕС. По ст. 12 ФЗ-152 трансграничная передача ПДн в страны, не входящие в перечень стран с адекватной защитой, требует уведомления Роскомнадзора. Если уведомление не подано — нарушение ч. 10 ст. 13.11 КоАП (100 000–300 000 ₽).

Практический порядок действий для маркетолога:

• Проверьте, подано ли уведомление о трансграничной передаче в РКН через pd.rkn.gov.ru. Это обязанность юридической службы или DPO, но маркетолог — инициатор использования сервиса.
• Настройте GA4 в режиме серверного тегирования (server-side tagging) с сервером в РФ — это снижает объём данных, уходящих за рубеж.
• Активируйте Consent Mode v2: при отклонении cookies GA4 передаёт только агрегированные данные без идентификаторов пользователя.
• Для Meta Pixel — рассмотрите Conversions API с сервером в РФ как альтернативу или дополнение к клиентскому пикселю.
• Проверьте политику конфиденциальности: раздел о трансграничной передаче должен называть конкретные сервисы и страны-получатели.

Шаг 5. Оформите согласия на email-рассылки и push-уведомления

Email-рассылки и push-уведомления требуют отдельного согласия субъекта — независимо от того, что пользователь уже дал согласие на обработку данных при регистрации. С 01.09.2025 по ФЗ-156 согласие на обработку ПДн должно быть оформлено отдельным документом, не объединённым с офертой, политикой или пользовательским соглашением.

Для мобильной версии это означает:

• Форма подписки на рассылку — отдельный чекбокс с явной формулировкой цели («согласен получать маркетинговые рассылки»). Чекбокс не может быть предварительно отмечен.
• Push-уведомления — запрос разрешения через браузерное API происходит после явного информирования пользователя о том, что он будет получать.
• Программа лояльности — если вступление в программу сопровождается обработкой дополнительных категорий данных (история покупок, предпочтения), требуется отдельное согласие с перечнем этих данных.
• Отзыв согласия на рассылку — ссылка «Отписаться» в каждом письме и в личном кабинете мобильной версии. Срок исполнения отзыва — 10 рабочих дней по ст. 20 ФЗ-152.