Яндекс Метрика и персональные данные: когда нужно согласие посетителя

Откройте свой сайт и пока не нажимайте «Принять cookie». Разработчик уже видит ваш визит в Метрике? Если вы рассчитывали получать согласие до запуска аналитики, стоит проверить настройки. Попросите разработчика проверить, когда счётчик начинает передавать данные.

Если Метрика обрабатывает персональные данные, владельцу сайта нужно основание из статьи 6 152-ФЗ. Вы можете получать согласие посетителя. Для работы без него потребуется другое подходящее основание. Чтобы выбрать его, выясните, какие сведения вы передаёте и зачем.

Я не собираю имена. Откуда здесь персональные данные?

Для начала загляните в список cookie Метрики. Яндекс указывает, что _ym_uid помогает различать посетителей, а _ym_d хранит дату первого визита. Вы можете не знать имени человека, но узнавать его браузер при следующих посещениях.

Достаточно ли этого, чтобы считать сведения персональными? В статье 3 152-ФЗ критерий такой: данные относятся к человеку, которого можно определить прямо или косвенно. Поэтому специалисту нужен состав сведений в вашей настройке. Особенно если вы связываете визиты с заявками или клиентами в CRM.

Есть и более очевидный случай. Допустим, после отправки заявки сайт открывает страницу /thanks?email=anna@example.com. Если передать адрес этой страницы в аналитику, туда попадёт и email. Проверьте URL, параметры событий и данные из форм. Яндекс описывает ограничения на передачу идентифицирующих сведений в правилах конфиденциальности.

Значит, мне достаточно добавить галочку?

Сначала определите основание обработки. В статье 6 перечислены разные основания, включая согласие. Например, для исполнения заказа закон позволяет обрабатывать необходимые данные покупателя. Из этого не следует, что вы можете использовать те же сведения для любой аналитики и рекламы.

Если для аналитики вы выбрали согласие, настройте запуск соответствующей обработки после выбора посетителя. Рядом дайте понятный текст: какие сведения вы хотите собирать и зачем. По статье 9 оператор должен уметь доказать получение согласия. Скриншот сегодняшнего баннера ещё не показывает, что выбрал конкретный посетитель месяц назад.

За что могут оштрафовать владельца сайта?

За обработку без законного основания или вопреки цели сбора, если установят состав по ч. 1 ст. 13.11 КоАП. Для юридического лица предусмотрено от 150 до 300 тыс. ₽. Текст статьи КоАП.

Сумма «до 700 тысяч за отсутствие галочки» относится к другой норме. Часть 2 той же статьи предусматривает ответственность за нарушения в случаях, когда закон требует письменное согласие. Применять её к любому сайту с Метрикой нельзя. Для оценки нужны обстоятельства обработки и основание, на которое ссылается владелец.

Что попросить у разработчика, если я не понимаю код?

Передайте ему две страницы: главную и страницу с заявкой. Попросите проверить их в чистом профиле браузера и прислать результат:

1. Какие данные сайт отправил до выбора посетителя.
2. Что произошло после отказа от аналитики, перехода на другую страницу и обновления.
3. Что сайт начал передавать после согласия.

Для каждой проверки нужны название сервиса и состав переданных полей. Ответ «баннер отображается» не позволяет проверить сбор. Если основанием служит согласие, разработчик должен показать, что до него и после отказа соответствующая обработка не начинается.

Отправьте вымышленную заявку. Затем попросите проверить, не ушли ли её поля в URL, события и запись Вебвизора. Реальные телефоны клиентов для такого теста не нужны.

Метрику проверили. Что ещё нужно оформить?

Сверьте результат с политикой обработки данных: описали ли вы аналитику, её цели и получателей? Если получаете согласие, сохраните его текст и способ подтверждения. Попросите разработчика указать дату проверки и страницы, которые он проверял. При следующем обновлении сайта вы сможете сравнить настройки.

Уточните и обязанность уведомить Роскомнадзор по статье 22. Если вы уже подали уведомление, проверьте, соответствует ли оно вашей обработке. Отдельно разбирать эту обязанность приходится даже владельцам небольших сайтов.

С чего начать на regpdn.ru?

Передайте адрес сайта на проверку и укажите, что используете Метрику. В regpdn.ru специалисты проверяют сайт и готовят политику и согласия под вашу обработку. Результаты технического теста помогут им учесть реальные настройки.

Изменения в счётчике и баннере внесёт ваш разработчик. После этого повторите проверку: посетитель отказался, а сайт соблюдает его выбор. По такому результату можно принять работу.