Управлением в целях предупреждения, выявления и пресечения нарушения обязательных требований, установленных законодательством Российской Федерации в области персональных данных, проведен анализ интернет-ресурса https:// (далее – Сайт), по результатам которого установлено следующее.
1. На Сайте выявлен факт использования метрической программы Яндекс метрика, функционал которой позволяет определить уникального посетителя Сайта, 2 формировать сведения о его предпочтениях и поведении на Сайте, что является обработкой персональных данных и допускается в случаях, установленных ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон).
В ходе осмотра Сайта выявлено отсутствие правовых оснований обработки персональных данных, собираемых посредством метрической программы (метрических программ) яндекс метрика, в соответствии с ч. 1 ст. 6 Закона, а равно информирование при входе на Сайт об обработке персональных данных с использованием метрической программы (метрических программ) Яндекс метрика.
На сайте используются внешние формы сбора Яндекс https://fotms.yandex.ru....
Сбор и последующая обработка персональных данных допускается в случаях, предусмотренных ч. 1 ст. 6, в частности:
для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона);
для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона).
2. Согласно п. 5 ч. 1 ст. 6 Закона, заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.
В соответствии с ч. 4 ст. 21 Закона в случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом или другими федеральными законами.
В договоре, заключаемом с пользователем Сайта – субъектом персональных данных, отсутствует срок, что не соответствует требованиям ч. 4 ст. 21 Закона, а равно принципам обработки персональных данных, предусмотренным ст. 5 Закона.
3. Согласно п. 2 ч. 1 ст. 18 Закона одной из мер является издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
Вместе с этим документ, определяющий политику Оператора в отношении обработки персональных данных https:// , не соответствует требованиям п. 2 ч. 1 ст. 18 Закона, в частности не содержат для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения.
4. Согласно ч. 1 ст. 22 Закона оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 22 Закона.
Вместе с этим по состоянию на 24.07.2026 уведомление Оператора, предусмотренное ч. 1 ст. 22 Закона, в Управление не поступало.
На основании изложенного, руководствуясь п. 61 Положения о федеральном государственном контроле (надзоре) за обработкой персональных данных, утвержденного постановлением Правительства Российской Федерации от 29.06.2021 № 1046, п. 1 ч. 3 ст. 23 Закона требуем привести деятельность по обработке персональных данных с использованием Сайта в соответствие с вышеуказанными требованиями законодательства Российской Федерации в области персональных данных, а именно: ч. 1 ст. 6, п. 5 ч. 1 ст. 6, п. 2 ч. 1 ст. 18, ч. 1 ст. 22.
Ответ на указанный запрос-требование с приложением подтверждающих документов можно по адресу электронной почты: rsockanc72@rkn.gov.ru.
Одновременно разъясняем, в случае непредставления или несвоевременного представления в государственный орган сведений, представление которых предусмотрено законом и необходимо для осуществления этим органом его законной деятельности, а равно представление в государственный орган таких сведений в неполном объеме или в искаженном виде, предусмотрена административная ответственность в соответствии со статьей 19.7 Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ).
Одновременно разъясняем, что за нарушение требований законодательства Российской Федерации в области персональных данных предусмотрена административная ответственность по ст. 13.11 КоАП РФ.
Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования уполномоченного органа по защите прав субъектов персональных данных образует состав административного правонарушения в соответствии с ч. 5 ст. 13.11 КоАП РФ.
