Пиксель Meta и TikTok на сайте передаёт персональные данные за рубеж
На сайте стоит пиксель Meta или TikTok. Технически это трансграничная передача персональных данных по 152-ФЗ. Рассказываем, когда нужно уведомить Роскомнадзор и что делать, если реклама у площадки в России уже не работает.
На сайте стоит пиксель Meta или TikTok. Это скрипт, который при каждом заходе посетителя отправляет данные о нём на сервер за границей. По 152-ФЗ такая отправка считается трансграничной передачей персональных данных, и уведомить Роскомнадзор нужно заранее, до начала передачи.
Какие данные уходят через пиксель
Пиксель — код, который сайт подгружает с домена рекламной площадки при открытии страницы. Он фиксирует IP-адрес посетителя, идентификатор браузера, адрес страницы и событие, например добавление товара в корзину. При оформлении заказа некоторые пиксели передают ещё и хеш email или телефона. Все эти сведения уходят на сервер Meta или TikTok за пределами России.
Реклама у Meta в России недоступна. Компанию признали экстремистской организацией и запретили её деятельность в стране. Но код пикселя от этого сам не исчезает. Если его когда-то поставили на сайт и не убрали, он продолжает грузиться и отправлять данные о каждом посетителе, хотя рекламный кабинет компания давно не использует.
Чем трансграничная передача отличается от обычной обработки
Статья 12 152-ФЗ определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства иностранному лицу. Отправка данных браузера на сервер за пределами России подпадает под это определение, даже если компания давно не пользуется рекламным кабинетом площадки.
С 1 марта 2023 года, после поправок в 152-ФЗ, оператор обязан подать в Роскомнадзор уведомление о трансграничной передаче. Уведомление подают до начала передачи данных, а не после того, как компания уже отправляла их за рубеж. Это отдельный документ. Он не совпадает с уведомлением, которое регистрирует компанию как оператора персональных данных в общем реестре Роскомнадзора.
Если страна получателя есть в перечне Роскомнадзора со странами, которые обеспечивают адекватную защиту прав субъектов персональных данных, уведомление короче. Если страны в перечне нет или компания передаёт данные специальных категорий, форма расширенная. Нужно указать цель передачи, категории данных, правовое основание и получателя. Роскомнадзор вправе рассмотреть уведомление и через суд ограничить или запретить передачу.
Нужно ли уведомлять РКН? — пройти тест
Что делать оператору
- Проверить код сайта. Найти все скрипты, которые загружаются с зарубежных доменов. Это не только Meta Pixel и TikTok Pixel, но и другие рекламные и аналитические теги.
- Выяснить, какие данные передаёт каждый скрипт. Посмотреть документацию площадки или исходящие запросы браузера при открытии сайта.
- Подать уведомление о трансграничной передаче в Роскомнадзор, если пиксель активен и его используют для рекламы или аналитики.
- Удалить скрипт, если пикселем больше не пользуются. Код без пользы для бизнеса продолжает создавать юридическую обязанность и риск при проверке.
- Обновить политику обработки персональных данных и согласие на сайте. Указать в них зарубежных получателей данных и цель передачи.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
показывает, какие скрипты на самом деле загружает сайт и куда они отправляют данные посетителей. Часть тегов ставят маркетологи и агентства без ведома юриста или ИТ-отдела.Частые вопросы
Нужно ли уведомлять Роскомнадзор, если реклама у Meta и TikTok в России сейчас не работает?
Да, если скрипт пикселя продолжает грузиться на сайте и отправлять данные о посетителях. Обязанность уведомить привязана к факту передачи данных за рубеж. Рекламный кабинет при этом может не использоваться вовсе.
Чем уведомление о трансграничной передаче отличается от обычного уведомления об обработке персональных данных?
Обычное уведомление регистрирует компанию как оператора в реестре Роскомнадзора и касается обработки данных внутри России. Уведомление о трансграничной передаче касается только отправки данных за границу. Его подают до начала передачи.
Что будет, если не подать уведомление?
Роскомнадзор вправе через суд ограничить или запретить трансграничную передачу. За нарушение порядка обработки персональных данных компанию привлекают к административной ответственности.
помогает прикинуть масштаб риска для конкретной компании.Как понять, какие пиксели вообще стоят на сайте?
Проверить исходный код страниц и вкладку сетевых запросов в браузере при открытии сайта. Если сайт делали агентство или подрядчик, запросить у них список установленных тегов и целей их использования.
Дальше выгрузите список скриптов на сайте, отметьте те, что уходят на зарубежные домены, и подайте уведомление в Роскомнадзор до следующего обновления рекламных настроек.