Соответствие закону о персональных данных целиком снаружи не проверяется: половина требований — про то, что происходит с данными после отправки формы. Но часть видна прямо в коде страницы, и эту часть стоит проверить хотя бы потому, что именно её первой смотрят при обращении и при проверке.
Мы взяли четыре машинных признака и прогнали по выборке сайтов Екатеринбурга.
Четыре признака, видимых снаружи
Ссылка на политику обработки персональных данных и живой ли адрес. Публикация документа — прямая обязанность оператора, и она проверяется двумя запросами: есть ли ссылка на странице и отвечает ли она кодом 200. Кому документ вообще нужен и почему у предпринимателя ответ иной, чем у организации, разбирали отдельно.
Отметка согласия у форм, которые просят контакт. Считаются только формы с полем телефона или почты: поиск по сайту и подписка — другой разговор. Признак грубый: машина видит наличие поля-отметки, но не читает, что рядом с ним написано.
Баннер про cookie. Отдельного требования показывать баннер в законе нет, и об этом честнее сказать сразу. Он появляется там, где через cookie собираются данные, по которым человека можно узнать.
Реквизиты владельца. ИНН или ОГРН на странице или на контактах — то, по чему обратившийся понимает, с кем имеет дело.
Что показала выборка
Разобрано 64 адреса из 75. Почему не все — в границах замера ниже, и причина там наша, а не сайтов.
| Признак | Сколько адресов |
|---|---|
| Ссылка на политику есть | 57 |
| Ссылки нет | 7 |
| Ссылка есть, страница по ней не открывается | 4 |
| Виден баннер про cookie | 35 |
| Реквизиты нашлись | 26 |
| Ни одного замечания по всем четырём признакам | 6 |
Замечаний на адрес: одно у 27, два у 21, три у десяти. Чисто по машинным признакам — у шестерых из 64.
Формы: 61 из 199
Форм, где просят телефон или почту, в прогнанной выборке 199 на 51 адресе. Без единого поля-отметки — 61 форма на 21 адресе. Ещё у тринадцати адресов таких форм нет вовсе: контакт там дают телефоном и мессенджером.
Читать это как «21 нарушитель» нельзя, и вот почему. Отметка — не единственный способ получить согласие: встречается формулировка под кнопкой «нажимая, вы соглашаетесь», и вопрос о её достаточности решается не разметкой. Зато обратное верно железно: если поля-отметки нет, а контакт просят, разбираться придётся. Что именно чаще всего сделано не так — четыре типичных места.
Худший случай — ссылка в никуда
Четыре адреса выборки ссылаются на политику, а страница по ссылке не открывается. Это хуже, чем отсутствие ссылки: со стороны выглядит как соблюдение, а фактически документ недоступен никому — ни человеку, ни проверяющему.
Причина обычно техническая: страницу перенесли, сменили адрес раздела, включили её в общий редирект. Проверяется одной командой:
curl -sI https://ваш-сайт.ru/privacy/ | head -1
Как проверить свой сайт за минуту
# ссылка на политику в коде главной
curl -s https://ваш-сайт.ru/ | grep -oiE '<a[^>]+href="[^"]*"[^>]*>[^<]*(политик|персональн)[^<]*'
# формы, где просят контакт
curl -s https://ваш-сайт.ru/ | grep -oiE '<input[^>]+(type="(tel|email)"|name="[^"]*(phone|mail)[^"]*)'
# поля-отметки на той же странице
curl -s https://ваш-сайт.ru/ | grep -c 'type="checkbox"'
Готовый ответ по всем четырём признакам сразу даёт наша правовая проверка. Она же напоминает главное: это не юридическое заключение, а чтение разметки.
Чего машина не видит
Содержание политики — самое важное и самое непроверяемое снаружи. Документ может быть скачан из генератора и не описывать ваши цели обработки.
Дальше идёт всё, что за пределами страницы: подано ли уведомление в Роскомнадзор, где физически лежит база, передаются ли данные за границу, сколько они хранятся. Ни один из этих вопросов не решается разметкой.
И порядок самой проверки — кто, когда и что запрашивает — устроен иначе, чем кажется; разбирали отдельно.
Наши цифры
Свой сайт мы прогнали той же проверкой: политика на месте и открывается, баннер про cookie есть, форм с контактом на главной нет — форма живёт на странице контактов. Одно замечание машина всё-таки выдала: ИНН не найден. Он у нас на странице правовой информации, а проверка смотрит только главную и контакты. Замечание справедливое по форме и ложное по сути — ровно тот случай, ради которого в ответе стоит оговорка «проверьте глазами».
Границы замера
Из 75 адресов выборки разобрано 64. Один не ответил вовремя, а десять — кириллические, и на них споткнулась наша собственная проверка: адрес уходил в запрос без преобразования в punycode, и человек видел «Страница не открылась» там, где сайт работает. Дефект наш, он записан и чинится; в замер эти адреса не попали, и доли по ним могут отличаться.
Проверялась одна страница — главная. Формы на внутренних страницах и политика, размещённая только в подвале каталога, в счёт не вошли. И главное: все четыре признака машинные. Наличие отметки не означает законного согласия, а её отсутствие не означает нарушения — означает, что надо смотреть.
Коротко
Снаружи проверяются четыре вещи: ссылка на политику, её работоспособность, отметка согласия у форм с контактом и реквизиты. По выборке чисто по всем четырём — у шестерых адресов из 64, ссылка в никуда — у четверых, а формы, просящие контакт без поля-отметки, нашлись у 21. Всё остальное в законе о персональных данных — про то, что происходит после отправки формы, и разметкой это не проверяется.