Сайт может передавать сведения ещё до отправки формы. Сторонний счётчик, чат, пиксель и SDK приложения иногда получают адрес устройства, идентификатор, URL, событие заказа и содержимое полей. Поэтому проверка начинается с наблюдения сетевых запросов и настроек, а не с текста баннера. Одинаковое слово cookie охватывает технически и юридически разные операции.
Как понять, что именно собирается
По статье 3 Закона № 152-ФЗ оценивают, относятся ли сведения к определённому или определяемому человеку. Для этого учитывают связку идентификаторов и реальные возможности сопоставления у получателя. Само отсутствие ФИО не делает профиль обезличенным. Вместе с тем утверждение «любой cookie всегда персональные данные» слишком широко: необходимо исследовать назначение, содержание, связываемость и участников обработки.
Для каждого элемента составляют запись: когда он запускается, какие сведения получает, на чью цель работает, куда направляет данные, как долго хранит идентификатор, что происходит при отказе и удалении. Проверяют первое открытие, отказ, согласие только на одну цель, повторный визит и отзыв. Это инструкция для разрешённой проверки своего сайта; доступ к чужой инфраструктуре из неё не следует.
Необходимая сессия авторизации и рекламный профиль требуют разных оснований. Если оператор опирается на договор, он объясняет необходимость конкретной операции для услуги самому пользователю. Для прямого рекламного контакта нужны предварительное согласие и немедленное прекращение по требованию. Если используется согласие на аналитику, необязательная аналитическая передача должна соответствовать выбранному человеком объёму с момента запуска. Красивый баннер, который ничего не меняет в отправке данных, не доказывает исполнение. Статьи 3, 5, 6, 9, 15.
Что должен понимать пользователь
Рядом с формой объясните, кто получает данные и зачем; предоставьте доступ к политике. Уберите поля, не нужные для заявленной задачи. Запрос обратного звонка не следует одновременно объявлять бессрочным разрешением на любые рекламные предложения. Согласие, когда оно является основанием, с 01.09.2025 оформляется отдельно от оферты и иной подтверждаемой информации. Его содержание и факт получения должны восстанавливаться по журналу. Правило не устанавливает единственного дизайна интерфейса, но требует самостоятельного и понятного волеизъявления. Отдельное согласие.
В чате человек может сам прислать паспорт, диагноз или сведения о ребёнке. Это не даёт компании неограниченного права их использовать. Ограничьте ввод объяснением, настройте доступ и удаление избыточных вложений; для необходимой специальной категории проверьте статью 10. Передача содержимого чата в генеративный AI — новая операция: выясните цели поставщика, обучение на запросах, место обработки, поручение и возможность удаления. Настройка «не обучать» не решает локализацию и законность предоставления сама по себе.
Мобильное разрешение операционной системы на камеру или геолокацию подтверждает техническое разрешение приложения, но не автоматически все юридические условия обработки. Укажите назначение, включайте доступ по необходимости, проверьте фоновые сборы и сторонние SDK. Получение контактов адресной книги затрагивает также людей, которые не устанавливали приложение; необходимы их собственные основания, а не только согласие владельца телефона.
Доказательства и исправление
Сохраните версии интерфейса и текстов, перечень скриптов, настройки запусков, результаты проверки и журнал событий согласия с контролем доступа. Сам журнал также содержит сведения и требует срока хранения. При обнаружении лишней передачи отключите соответствующий поток, определите уже переданное, запросите у получателя прекращение и подтверждение исполнения. Если установлены признаки инцидента по статье 21, применяйте специальную процедуру, а не просто обновляйте политику. В ответ на жалобу объясняйте конкретные операции и их основание; субъекту доступны РКН и суд.
Практика и сильное возражение
В деле LinkedIn исследовались пользовательское соглашение, политика cookies, регистрация и синхронизация почты и устройств, открывающая сведения о третьих лицах. Мосгорсуд подтвердил нарушение в установленных обстоятельствах. Дело показывает, что содержание реальных потоков важнее одного названия файла; оно не вводит универсальной конструкции баннера и не разрешает вопрос каждого современного SDK. Дело № 33-38783/16.
Прямой акт ВС, устанавливающий единое правило для всех технических cookies, аналитики и рекламных пикселей, в просмотренных источниках не выявлен. Сильное возражение разработчика — передаются только несвязываемые технические значения. Оно заслуживает технической проверки, включая получателя и его другие базы. Пока связываемость и география неизвестны, нельзя объявить поток соответствующим закону. Локализация и иностранные сервисы, инцидент.