Я пишу на Хабре, в основном, про старое железо и игры, но периодически появляются статьи по моей основной специализации — интернет‑рекламе и аналитике.
Август для меня традиционно пора проведения аудитов сайтов и кабинетов контекстной рекламы Яндекс.Директ. Поток писем и звонков с вопросами идет волнами.
Что интересно, до сих пор довольно большая часть корпоративных сайтов все еще не соответствуют требованиям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». А подавляющая доля тех, кто работает с контекстной рекламой, не знает о том, что Яндекс включает новые опции и инструменты автоматически, и сильно удивляются, почему проседает поток лидов.
Давайте обсудим, на что нужно обратить внимание.
Что должно быть сделано для соответствия закону о персональных данных
Если вы обрабатываете персональные данные с помощью форм обратной связи, ваша организация должна быть зарегистрирована в Роскомнадзоре в качестве оператора персональных данных.
Кроме того, сейчас на любом сайте, обрабатывающем данные пользователей (формы обратной связи, чаты и прочее) или работающим с рекламой, должны быть оформлены следующие документы:
Политика конфиденциальности. Чёткое объяснение, какие данные собирает сайт, зачем, на каком основании и как долго хранит. Обязательно указывать информацию о передаче данных третьим лицам и о правах пользователя (удаление, исправление, отзыв согласия).
Пользовательское соглашение. Документ, который определяет условия использования сайта: права и обязанности сторон, ограничения ответственности, правила доступа к контенту. Особенно важен для сервисов, площадок с личными кабинетами и форумов.
Согласие на обработку персональных данных. Отдельный текст, который пользователь должен принять осознанно — через чекбокс, активное действие или настройку в форме. Обязателен при оформлении заявок, регистраций и подписок.
Политика использования cookie. Если сайт устанавливает cookies, пользователь должен быть проинформирован и дать согласие на их использование.
Реквизиты владельца сайта. Юридическое лицо или ИП должны разместить полные реквизиты: название, ИНН, ОГРН, адрес. Для физлиц — минимум контактную информацию и правообладателя контента.
Правила продажи товаров и оказания услуг. Для интернет‑магазинов и сервисов необходимо расписать условия покупки, оплаты, доставки, возврата и гарантии.
Информация о возвратах. Отдельный раздел или документ, который рассказывает, как вернуть товар, в какие сроки, кто оплачивает пересылку.
Лицензионные соглашения. Если сайт продает или предоставляет доступ к программному обеспечению, онлайн‑курсам, подпискам — без лицензионного соглашения использование продукта становится юридически уязвимым.
Уведомления об авторских правах. Контентные проекты, блоги, новостные порталы обязаны указывать авторство и политику использования материалов, чтобы предотвратить нарушения и споры.
Замечу отдельно. На многих сайтах стоят инструменты от Google. Использование Google Analytics, Google Tag Manager, reCaptcha и пикселей иностранных соцсетей на сайтах в России фактически нарушает закон.
Из‑за поправок к закону о персональных данных (152-ФЗ) запрещен сбор и отправка данных пользователей напрямую на зарубежные серверы без соблюдения строгих правил трансграничной передачи. Сервис отправляет данные в Google за границу, что грозит владельцам сайтов штрафами.
В любом случае, при использовании GA и других зарубежных инструментов нужно:
Уведомить пользователя о сборе и обработке его персональных данных с помощью этих сервисов;
Получить согласие на такую обработку;
Подать в Роскомнадзор уведомление о намерении передавать персональные данные за границу.
Штрафы за обработку персональных данных без согласия:
Физлица 10 000 — 15 000 рублей (при повторном нарушении 15 000 — 30 000 рублей);
Должностные лица 100 000 — 300 000 рублей (повторно 300 000 — 500 000 рублей);
Юридические лица 300 000 — 700 000 рублей (повторно 1 — 1,5 миллиона рублей).
За утечку информации действуют повышенные оборотные и фиксированные штрафы (до сотен тысяч и миллионов рублей для должностных и юридических лиц в зависимости от объема скомпрометированных записей), а при повторных нарушениях штраф может исчисляться процентом от общей годовой выручки компании.
Обязательная идентификация в ЕСИА с 1 сентября 2026
Возможно, вы получали письма от регистраторов доменов, в которых указано требование пройти обязательную идентификацию физического/юридического лица или индивидуального предпринимателя до 1 сентября 2026 года.
Последние 4 недели меня постоянно спрашивают, не розыгрыш ли это. Нет. Отсутствие идентификации не позволит осуществлять манипуляции с вашими доменами.
Зарегистрировать новый домен, продлить существующий, изменить DNS‑серверы или сменить администратора можно будет только после подтверждения через ЕСИА.
Чтобы избежать уловок мошенников, не переходите по ссылкам в письмах, а пройдите идентификацию непосредственно в вашем кабинете регистратора доменов через госуслуги. Для юридических лиц понадобится электронная подпись предприятия (часто эту процедуру выполняет бухгалтерия).
Яндекс автоматически включает новые опции и инструменты
Если вы используете контекстную рекламу, и заметили ощутимую просадку по звонкам/письмам из форм, то обращаю внимание, что сейчас Яндекс автоматически включает новые опции и инструменты.
Например:
Включение автотаргета в рекламных кампаниях Рекламной сети Яндекса. Это означает, что основная часть трафика будет приходить по одному Яндексу известным настройкам.
Включение объявлений от нейросети.
Это означает, что вы не будете контролировать содержимое объявлений. Может не только привести к снижению эффективности, но и потере репутации.
Попросите ответственного сотрудника или вашего подрядчика проверить, какие автоматические изменения были внесены Яндексом в вашу рекламу. Все то, что вы не можете контролировать, лучше отключить.
Буду благодарен за указание на неточности в комментариях.