Какими иностранными сервисами нельзя пользоваться и какие уведомления необходимы по закону на сайте? Что проверяет РКН?

Какие иностранные сервисы под прицелом РКН

РКН обращает внимание на сервисы, которые напрямую или автоматически отправляют персональные данные российских пользователей на серверы за границей.

Вот распространённые примеры:

• Аналитика: Google Analytics, Google Tag Manager, Meta Pixel, Hotjar.
• Формы и сбор данных: Google Forms, Typeform, Jotform.
• Коммуникации и чат‑боты: виджеты WhatsApp, Telegram (если настроены на прямую передачу за рубеж), Tawk.to, Zendesk.
• CRM и SaaS: HubSpot, Salesforce, Notion, Zoho CRM.
• Другие инструменты: reCAPTCHA, Google Maps (если встроены через iframe), зарубежные CDN (Cloudflare, Amazon Web Services).

Какие уведомления нужны

Есть два ключевых уведомления, которые нужно подать в РКН:

1. Уведомление о намерении обрабатывать персональные данные.

   Любой оператор (компания, ИП, даже самозанятый, если собирает данные) до начала обработки должен подать в РКН уведомление, где описывает:

   • цели обработки;
   • способы обработки;
   • меры безопасности;
   • используемые системы.
2. Уведомление о трансграничной передаче данных.

   Его подают отдельно, если после первичной локализации в РФ вы планируете передавать данные в иностранный сервис. В уведомлении нужно указать:

   • данные оператора;
   • номер предыдущего уведомления об обработке;
   • данные ответственного лица;
   • правовое основание и цель передачи;
   • категории данных и субъектов;
   • список стран‑получателей;
   • дату оценки того, как принимающая сторона обеспечивает конфиденциальность.

Совет: если в деятельности появились новые потоки (например, вы добавили интеграцию с новой зарубежной CRM), к существующему уведомлению о трансграничной передаче нужно подать дополнение.

Что именно проверяет РКН

Ведомство использует как ручной, так и автоматизированный мониторинг (боты сканируют сайты, анализируют код, сетевые запросы). Вот на что смотрят:

• Наличие и содержание «Политики обработки персональных данных». Документ должен быть доступен по прямой ссылке без регистрации, а его содержание — реально отражать процессы на сайте.
• Согласия в формах. Под каждой формой (регистрации, заявки) должен быть чекбокс для согласия. Важное нарушение: предзаполненный чекбокс (атрибут checked в HTML) — такое согласие не считается полученным.
• Cookie‑баннер. Бот проверяет, появляется ли баннер, есть ли в нём упоминание cookies и явная кнопка «Отклонить», а также не загружаются ли аналитические cookies до получения согласия.
• Зарубежные трекеры и сервисы. Краулер ищет в коде и сетевых запросах обращения к иностранным сервисам.
• Локализацию серверов. По IP‑адресу домена и DNS‑записям определяют, где физически расположены серверы. Хранение первичной базы данных россиян за пределами РФ — нарушение.
• Сверку с реестром операторов. Если организация собирает данные, но не подала уведомление и не числится в реестре операторов на pd.rkn.gov.ru — это фиксируется как нарушение.
• Совпадение документов. РКН сверяет, что написано в уведомлении, с реальной обработкой на сайте. Например, если в уведомлении указана одна цель, а в Политике на сайте — другая, или в Политике не отражены реально используемые иностранные сервисы.

Практический совет

Перед проверкой рекомендуем провести внутренний аудит:

• выписать все сторонние скрипты на сайте;
• оценить, куда уходят данные;
• сверить это с тем, что зафиксировано в уведомлении в РКН.

Если есть сомнения по конкретному инструменту — лучше проконсультироваться с юристом, специализирующимся на 152‑ФЗ.