Аудит приватности

Проверяет сайт на соответствие правилам о персональных данных в регионе, где он работает: GDPR и ePrivacy, UK GDPR, 152-ФЗ, CCPA/CPRA, LGPD и другие — трекеры, согласие, куки и обязательные документы.

• Все услуги

Законы о персональных данных стали одной из самых частых причин штрафов и жалоб на обычные сайты. Не потому, что владельцы собирают данные намеренно, а потому, что типичный сайт грузит десяток сторонних скриптов, ставит куки до того, как кто-то согласился, и ссылается на политику конфиденциальности, скопированную с чужого сайта несколько лет назад. Аудит приватности показывает, что сайт на самом деле делает с данными посетителей, и сравнивает это с тем, что требуют правила его региона.

Какие правила применяются

Первый шаг — определить, где работает сайт. Аудит смотрит на доменную зону, язык страниц, валюту и контактные данные, расположение сервера. На этом основании выбирается мерка:

• ЕС и ЕЭЗ — GDPR и Директива об электронной приватности: никаких аналитических и рекламных кук до согласия, отказаться должно быть так же просто, как согласиться, а политика называет каждого получателя данных;
• Великобритания — UK GDPR и PECR, те же принципы со своим регулятором;
• Россия — 152-ФЗ: уведомление Роскомнадзора, хранение данных граждан РФ на территории России, отдельное согласие на обработку и опубликованная политика обработки персональных данных;
• США — CCPA/CPRA в Калифорнии и аналогичные законы штатов: ссылка «Do Not Sell or Share My Personal Information», учёт сигнала Global Privacy Control, перечень категорий данных;
• Бразилия, Канада, Швейцария и другие — LGPD, PIPEDA, обновлённый FADP и их требования к уведомлениям и согласию.

Сайт, рассчитанный на несколько регионов, проверяется по каждому, и отчёт указывает, из какого закона взято каждое требование. Правило, которое к сайту не относится, не показывается как нарушение, так что отчёт не пугает вас чужим регулятором.

Что проверяется на страницах

Трекеры и третьи стороны. Сканер открывает страницы в настоящем браузере и записывает каждый запрос к внешнему сервису: аналитика, рекламные пиксели, чат-виджеты, видеоплееры, карты, шрифты, кнопки соцсетей. Для каждого видно, какая компания за ним стоит, в какой стране она обрабатывает данные и для чего обычно используется. Именно этому списку должна соответствовать политика конфиденциальности.

Согласие до отслеживания. Главный вопрос не в том, есть ли на сайте баннер о куки, а в том, что происходит до того, как посетитель на него нажал. Аудит фиксирует, какие куки ставятся и какие запросы уходят при самом первом визите, затем отказывается от согласия и проверяет снова. Если аналитика работает и после «Отклонить» или кнопки отказа нет вовсе, отчёт скажет об этом с доказательствами.

Куки. Каждая кука перечислена с доменом, сроком жизни и назначением: необходимая для работы, функциональная, аналитическая или рекламная. Отдельно отмечены куки со сроком в годы, сторонние куки и куки без флагов Secure и SameSite.

Формы и передача данных. Формы обратной связи, регистрации и оформления заказа проверяются на HTTPS-соединение, ссылку на политику и — там, где этого требует регион, — отдельную галочку согласия, не отмеченную заранее. Отправка данных на чужой домен или по незашифрованному соединению попадает в отчёт.

Обязательные документы. Аудит ищет политику конфиденциальности, политику использования куки, пользовательское соглашение, выходные данные (обязательны в Германии и Австрии) и заявление о доступности там, где действует Европейский акт о доступности. Проверяется, что на них есть ссылка с каждой страницы, они открываются без ошибок и написаны на языке сайта.

Что вы получаете

Отчёт даёт оценку соответствия по каждому применимому закону и список находок, упорядоченный по риску. В каждой находке указаны требование, страница, где обнаружена проблема, доказательство — запрос, кука, скриншот — и исправление: настроить режим согласия в аналитике, перенести скрипт за согласие, добавить недостающий раздел в политику. Список найденных трекеров и кук можно выгрузить и взять за основу таблицы кук в политике.

Важно знать

Аудит — это техническая проверка, а не юридическая консультация. Он показывает, что делает сайт и где это расходится с общепринятым прочтением правил, — ровно то, с чего нужно начинать юристу или ответственному за защиту данных. При регулярном мониторинге новый пиксель или сломанный после релиза баннер согласия будет замечен в течение суток, а не в жалобе регулятору.