Антибот и закон о персональных данных
Антибот обрабатывает технические данные посетителей: IP-адрес, параметры браузера, поведение на странице. Разбираем, как это соотносится с законом о персональных данных и что владельцу сайта стоит сделать, чтобы спать спокойно. Это обзор, а не юридическая консультация.
Содержание
Коротко
- IP и cookie осторожнее считать персональными данными.
- Для антибота обычно подходит законный интерес оператора, а внешний сервис работает по поручению.
- С 1 сентября 2025 года согласие оформляется отдельно от других документов.
- Уведомление в Роскомнадзор нужно большинству сайтов с формами.
IP и cookie — это персональные данные?
По 152-ФЗ персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому человеку. IP-адрес и идентификатор в cookie сами по себе имени не называют, но вместе с другими данными могут помочь узнать человека. Единого ответа в законе нет, поэтому осторожный и распространённый подход — считать такие данные персональными и обращаться с ними соответственно.
Мы описываем общие требования для небольших сайтов. Формулировки закона и практика меняются, поэтому для своего случая сверяйтесь с текстом 152-ФЗ и при необходимости консультируйтесь с юристом.
На каком основании обрабатывать
Для антибота обычно подходят два основания из статьи 6 закона:
- Законный интерес оператора — защита сайта, форм и рекламы от злоупотреблений, если при этом не нарушаются права посетителей.
- Поручение обработки — если проверку делает внешний сервис, владелец сайта поручает ему обработку по договору. Так устроены отношения сайта и nbots: владелец сайта — оператор, nbots обрабатывает данные по его поручению и на его условиях.
Если на сайте есть формы, для данных из них — имени, телефона, почты — обычно нужно согласие посетителя.
Что изменилось с согласиями в 2025 году
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов и информации (часть 1 статьи 9, в редакции закона № 156-ФЗ). Галочка «принимаю пользовательское соглашение», внутри которого спрятано согласие, больше не подходит. Для форм на сайте это значит: отдельный текст согласия и отдельное действие посетителя.
Что написать в политике конфиденциальности
- Кто оператор
Название или имя, ИНН, контакты для обращений по персональным данным.
- Какие данные и зачем
Технические данные посетителей — IP-адрес, сведения о браузере, действия на странице — для защиты сайта и форм от автоматических действий и мошенничества.
- Кому поручена обработка
Укажите сервис защиты от ботов и что он обрабатывает данные по вашему поручению. В nbots в разделе «Подключение» есть готовый абзац для политики.
- Сроки и обезличивание
Сколько хранятся данные и что происходит потом — например, удаление через 30 дней и обезличивание адресов.
- Права посетителя
Как узнать о своих данных, попросить их удалить и куда писать.
Нужно ли уведомление в Роскомнадзор
Оператор персональных данных по общему правилу должен подать уведомление в Роскомнадзор до начала обработки (статья 22). Исключений немного, и после изменений 2022 года их стало меньше. Если сайт собирает заявки с именами и телефонами, уведомление, скорее всего, нужно. Его подают онлайн на сайте Роскомнадзора, а при изменениях — обновляют, например добавляют новые цели и способы обработки.
Сервисы за рубежом
Если данные посетителей уходят в зарубежные сервисы — аналитику, антиботы, CDN, — это трансграничная передача, о ней тоже нужно уведомлять Роскомнадзор. Кроме того, первичный сбор данных граждан России должен идти в базы данных на территории России. Серверы nbots находятся в России, а уведомления по умолчанию идут в российский мессенджер MAX.
Чем рискует сайт
С 2025 года штрафы за нарушения в работе с персональными данными заметно выросли, а за утечки появились крупные и оборотные штрафы. Поэтому полезно не только оформить документы, но и собирать минимум данных: антиботу не нужны имена и телефоны, а IP-адреса можно обезличивать — в nbots старые адреса автоматически обрезаются до подсети через сутки.
Частые вопросы
Нужно ли согласие посетителя на работу антибота?
Чаще всего обработку для защиты сайта обосновывают законным интересом оператора, а не согласием. Но об антиботе нужно написать в политике конфиденциальности. Для данных из форм согласие обычно нужно.
Нужен ли cookie-баннер?
Прямой обязанности показывать баннер в законе нет, но если сайт использует cookie для аналитики и рекламы, сообщить об этом и дать возможность отказаться — хорошая практика. Cookie, необходимые для защиты и работы сайта, обычно относят к обязательным.
Это юридическая консультация?
Нет. Это обзор требований для владельцев небольших сайтов. Для своего случая, особенно если вы обрабатываете много данных или специальные категории, проконсультируйтесь с юристом.
Нужно ли согласие на cookie Метрики?
Прямого ответа в законе нет, и подходы различаются. Осторожный вариант — сообщать об аналитике в баннере и политике и давать возможность отказаться от аналитических cookie.
Что такое поручение обработки?
Договор, по которому оператор поручает другому лицу обрабатывать данные от своего имени. Для этого нужен договор с условиями из части 3 статьи 6 закона — у сервисов он обычно входит в оферту.
Где подать уведомление в Роскомнадзор?
На портале персональных данных Роскомнадзора, в электронном виде. Там же подаются изменения сведений.
Нужно ли хранить данные в России?
Первичный сбор и запись данных граждан России должны идти в базы данных на территории России. Поэтому важно, где находятся серверы сервисов, которые вы подключаете к сайту.