РКН Аудит
A/B-тестировать cookie-баннер можно, если оба варианта дают действительный выбор, а эксперимент не запускает обработку, для которой ещё нет основания. Необязательные трекеры, работающие на согласии, держите выключенными до его получения. Само распределение посетителей и подсчёт показов тоже проверьте: идентификаторы, IP-адреса и журналы могут относиться к персональным данным. Сначала определите состав данных и основания, затем сравнивайте принятие, отказ и отзыв, а не только клики по кнопке «Принять».
Какие данные учесть до запуска A/B-теста?
Здесь разбираем проведение эксперимента: распределение по вариантам, измерение результата, доказательства выбора и завершение обработки. Макет и реализация разобраны отдельно: как оформить понятный выбор в баннере и как блокировать скрипты до согласия.
Начните с карты потоков данных для каждого варианта. По статье 3 152-ФЗ персональные данные — информация о прямо или косвенно определённом либо определяемом человеке. Название cookie «техническая» или «анонимная» ничего не решает: проверьте, с чем её значение можно сопоставить у вас и у получателя.
| Узел эксперимента | Что проверить | Решение до запуска |
|---|---|---|
| Распределение A/B | Случайный вариант, постоянный идентификатор, связь с аккаунтом | Убрать ненужную привязку к человеку |
| Подсчёт показов | Какие сведения уходят вместе с событием, что попадает в журналы | Определить основание до первого события |
| Фиксация выбора | Категории согласия, время, версия текста, ключ записи | Оставить необходимое для подтверждения выбора |
| Аналитика и инфраструктура | Скрипты, серверные отправки, хостинг, CDN, получатели и страны | Проверить весь маршрут, а не только браузер |
Для каждого потока запишите цель, данные, операции, получателя, основание и срок хранения. Статья 5 152-ФЗ требует заранее определённых целей и неизбыточного состава данных. Не добавляйте к варианту баннера телефон покупателя, если для сравнения он не нужен.
Основание определяют по статье 6 152-ФЗ. «Нужно маркетологу» и «так настроен сервис» — не самостоятельные основания. Даже техническая обработка персональных данных требует правового обоснования; согласие при этом нужно не во всех случаях.
Как сделать выбор действительным в обоих вариантах?
По частям 1 и 3 статьи 9 152-ФЗ согласие должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным, а доказать его получение обязан оператор. Согласие оформляют отдельно от иной информации и документов, которые подтверждает или подписывает человек.
Мы советуем оставить в A и B одинаковые цели, категории обработки и доступные решения. Меняйте способ объяснения или расположение элементов, а не объём согласия незаметно для посетителя.
Перед запуском проверьте:
- понятно, кто обрабатывает данные, какие данные и зачем;
- можно отказаться от необязательной обработки, а не только закрыть баннер;
- необязательные категории заранее не включены;
- закрытие баннера, прокрутка и отсутствие действий не включают трекеры;
- согласие не объединено одним действием с принятием оферты;
- посетителю доступен способ изменить выбор и отозвать согласие.
Если в одном варианте отказ спрятан, рост доли нажатий «Принять» не доказывает, что баннер стал лучше. Для обоих вариантов используйте одинаковую проверку доступности отказа.
Не превращайте обычный клик в сбор паспортных данных. Как выбрать подтверждаемую форму без лишних сведений, разобрано в инструкции по оформлению электронного согласия.
Как распределять посетителей и считать показы?
Разделите две задачи: показать вариант и отправить событие измерения. Для показа можно организовать случайный выбор A или B непосредственно на странице и держать результат в её памяти. Это позволяет обойтись без отдельного постоянного идентификатора эксперимента, но не отменяет проверки обработки на сервере сайта.
Если вариант должен сохраняться между посещениями, выясните, зачем нужна эта устойчивость и какие данные её обеспечивают. Случайный идентификатор не становится неперсональным только потому, что в нём нет имени. Хеширование тоже само по себе не доказывает невозможность связать запись с человеком.
Для измерения используйте следующий порядок:
- Определите единицу учёта. Показ, сессия и уникальный посетитель — разные показатели. Без механизма распознавания повторных визитов не называйте показы уникальными людьми.
- Сократите событие. Рассмотрите счётчики по варианту и типу действия без истории посещений, полного адреса страницы с параметрами и привязки к аккаунту.
- Проверьте путь до агрегата. Итоговая таблица без имён не делает законным предшествующий сбор персональных данных. Получение и преобразование исходных событий тоже требуют основания.
- Не запускайте аналитику ради знаменателя. Если законный способ считать все показы до согласия не обоснован, не собирайте такие персональные события. По одним событиям после согласия, без общего счётчика показов, долю согласий среди всех показов не определить.
Пункт 9 части 1 статьи 6 152-ФЗ допускает статистическую и исследовательскую обработку при обязательном обезличивании, кроме целей статьи 15. Это не универсальное разрешение на любую аналитику. Прежде чем выбирать такое основание, разберите условия обезличивания данных для аналитики.
Какие метрики и технические проверки нужны?
Заранее запишите основную метрику, продолжительность и правило завершения теста. Если все необходимые счётчики получены правомерно, долю полного согласия можно считать как число таких согласий, делённое на число показов соответствующего варианта. Частичное согласие учитывайте отдельно. Зафиксируйте, как обрабатываете повторные показы, иначе знаменатели A и B окажутся несопоставимыми.
Дополнительно считайте отказ, отсутствие решения, ошибки сохранения выбора и последующие отзывы — только в пределах обоснованной обработки. Техническую корректность проверяйте отдельными сценариями, а не сбором подробной истории всех посетителей.
| Сценарий для A и B | Ожидаемый результат |
|---|---|
| Новое посещение, выбора нет | Зависимые от согласия трекеры не запускаются |
| Нажат отказ | Необязательная обработка не включается, повторная загрузка соблюдает выбор |
| Разрешена только часть целей | Работают только соответствующие разрешённые инструменты |
| Согласие отозвано | Новые события для отозванных целей не отправляются; запускается обработка отзыва |
| Настройки не загрузились или произошла ошибка | Система не подменяет отсутствие решения согласием |
Откройте сетевые запросы и хранилища браузера, затем отдельно проверьте серверные отправки и приём данных подрядчиком. Отсутствие новой cookie ещё не подтверждает отсутствие обработки. Проверьте также, не отправляется ли после согласия очередь событий, собранных ранее без основания.
Для доказательства согласия по части 3 статьи 9 152-ФЗ советуем сохранять версию баннера, версию текста, выбранные цели, время и минимальную связь с записью выбора. Архивируйте сами тексты и настройки: отметка «версия B» бесполезна, если её содержание перезаписывается. Один скриншот не подтверждает действие конкретного посетителя.
Что оформить с подрядчиком и на сайте?
Сначала определите роль аналитического сервиса. Если он обрабатывает данные по вашему поручению, применяются части 3–6 статьи 6 152-ФЗ: поручение допускается с согласия субъекта, если федеральный закон не предусматривает иного. Если сервис определяет собственные цели, одного названия «подрядчик» недостаточно — отдельно оцените основание передачи и его роль.
В поручении закрепите:
- перечень данных, операций и цели;
- конфиденциальность, безопасность и требования к защите;
- требования части 5 статьи 18 и статьи 18.1;
- предоставление оператору подтверждающих документов и информации по запросу;
- уведомление оператора об инцидентах, предусмотренных частью 3.1 статьи 21.
Оператор отвечает перед субъектом за действия обработчика; при поручении иностранному лицу закон предусматривает ответственность обоих. Согласуйте оперативный канал сообщения об инциденте, чтобы договорная переписка не поглотила срок уведомления РКН.
По статье 7 152-ФЗ оператор и другие получившие доступ лица обязаны не раскрывать персональные данные третьим лицам и не распространять их без согласия, если федеральный закон не предусматривает иного. Не выкладывайте персональные журналы эксперимента в общедоступную таблицу.
Часть 2 статьи 18.1 требует доступной политики и сведений о реализуемых требованиях к защите, в том числе на страницах сбора. Обновите их под фактическую обработку. Для оператора-юрлица проверьте назначение ответственного и локальные акты с целями, составом данных, сроками и порядком уничтожения. Включите эксперимент во внутренний контроль, оценку возможного вреда и ознакомление работников.
Предусмотрите предоставление посетителю информации по его просьбе — часть 1 статьи 18. Если получаете персональные данные от другого лица, проверьте также предварительное информирование по части 3 и исключения части 4.
Что меняют зарубежный сервис и сведения в РКН?
Локализация и трансграничная передача — отдельные проверки. Сначала установите, где находятся базы, что записывается при сборе и кто получает доступ.
Часть 5 статьи 18 152-ФЗ при сборе данных граждан РФ не допускает запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием зарубежных баз, кроме предусмотренных этой частью исключений. Согласие само по себе запрет не отменяет. Не считайте наличие копии в России достаточной проверкой архитектуры; отдельно изучите требования к расположению баз и серверов.
Если есть трансграничная передача, по статье 12 152-ФЗ до её начала направляют отдельное уведомление РКН. До подачи получите сведения о получателе, защите и прекращении обработки, а для стран вне перечня обеспечивающих адекватную защиту — также о правовом регулировании. Проведите оценку конфиденциальности и безопасности.
Для стран из перечня передача допускается после направления уведомления до соответствующего решения РКН. Для остальных передавать данные до истечения срока рассмотрения нельзя: он составляет 10 рабочих дней с даты поступления уведомления и приостанавливается, если РКН запросил сведения. Исключение — передача, необходимая для защиты жизни, здоровья или иных жизненно важных интересов субъекта либо других лиц (ч. 9–11 ст. 12). На запрос РКН оператор отвечает за 10 рабочих дней; срок можно продлить максимум на 5 рабочих дней, направив мотивированное уведомление (ч. 6 ст. 12). Учитывайте решения о запрете или ограничении передачи: часть 14 предусматривает и уничтожение ранее переданных данных иностранным получателем.
Обычное уведомление оператора проверьте отдельно. По статье 22 152-ФЗ его подают до начала обработки, кроме установленных исключений. Наличие записи можно бесплатно проверить по ИНН, но содержание сведений нужно сверить с экспериментом самостоятельно.
Если уведомляемые сведения изменились, оператор сообщает изменения не позднее 15-го числа следующего месяца — часть 7 статьи 22. Проверьте цели, категории данных, основания, операции, базы и трансграничную передачу; поможет порядок заполнения уведомления РКН. При прекращении обработки уведомляют за 10 рабочих дней с даты прекращения. Окончание одного теста не означает, что оператор прекратил всю обработку.
Как хранить журналы и обрабатывать отказ или отзыв?
Разделите статистику, подтверждения согласий и технические журналы. Для каждого набора определите цель, основание, доступ и условие удаления. Статья 5 152-ФЗ не позволяет хранить идентифицируемые данные дольше, чем требуют цели, если иной срок не установлен законом или соответствующим договором.
По статье 19 152-ФЗ оператор обязан защищать данные. Настройте доступ по рабочим задачам, регистрацию действий, обнаружение несанкционированного доступа и контроль защиты. Учтите выгрузки, резервные копии и экземпляры у подрядчика, а не только основную таблицу.
При отказе не запускайте зависимую от согласия обработку. При отзыве советуем сразу прекращать новые аналитические отправки, параллельно выполняя процедуру прекращения обработки и уничтожения. Удаление cookie в браузере не уничтожает серверные данные.
Сроки оператора установлены статьёй 21 152-ФЗ:
| Ситуация | Действие и срок |
|---|---|
| Цель достигнута | Прекратить обработку и уничтожить данные не позднее 30 дней с даты достижения цели, с учётом исключений части 4 |
| Получен отзыв | Прекратить обработку не позднее 30 дней с даты поступления отзыва; если сохранение данных больше не требуется для целей обработки — в тот же срок уничтожить их, с учётом исключений части 5 |
| Получено требование прекратить обработку | Прекратить за 10 рабочих дней с даты получения, кроме случаев части 5.1; продление максимум на 5 рабочих дней — с мотивированным уведомлением субъекту |
| При обращении или запросе выявлена неправомерная обработка | Блокировать относящиеся к субъекту данные с момента обращения или получения запроса на период проверки — часть 1 |
| При обращении или запросе выявлены неточные данные | Блокировать на период проверки, если это не нарушает права и законные интересы; уточнить за 7 рабочих дней со дня представления подтверждающих сведений и снять блокирование — части 1–2 |
| Уничтожить в установленный срок невозможно | Блокировать и обеспечить уничтожение не позднее 6 месяцев, если федеральный закон не устанавливает иной срок — часть 6 |
Отзыв не отменяет другое применимое законное основание. Зафиксируйте, какие данные и для какой цели действительно нужно сохранить, а не продолжайте всю аналитику по умолчанию. Разницу между обращениями объясняет порядок обработки отзыва и требования о прекращении. Уничтожение подтверждают по требованиям Роскомнадзора — часть 7 статьи 21.
Что делать при нарушении или утечке данных эксперимента?
Если обнаружили запуск трекера без необходимого основания, остановите проблемную отправку и установите, какие данные успели получить вы и подрядчик. По части 3 статьи 21 152-ФЗ оператор обязан прекратить неправомерную обработку за 3 рабочих дня с даты выявления. Если обеспечить правомерность невозможно — уничтожить данные за 10 рабочих дней с той же даты. Это предельные сроки, а не причина оставлять неисправный эксперимент работающим.
Об устранении нарушения или уничтожении уведомляют субъекта либо представителя; РКН — также, если соответствующее обращение или запрос поступили через него.
Отдельно оцените признаки инцидента по части 3.1: неправомерная или случайная передача, предоставление, распространение либо доступ, повлекшие нарушение прав субъектов. При установлении такого факта оператор уведомляет РКН:
| Срок | Содержание уведомления |
|---|---|
| 24 часа с момента выявления | Инцидент, предполагаемые причины и вред, принятые меры, сведения об уполномоченном на взаимодействие лице |
| 72 часа с момента выявления | Результаты внутреннего расследования, сведения о лицах, действия которых стали причиной, при наличии |
Оба срока считают от выявления инцидента оператором, РКН или иным заинтересованным лицом. Вторые 72 часа не отсчитывают от первого уведомления. Не ждите завершения расследования для сообщения предполагаемых причин.
Заранее назначьте исполнителей: кто отключает интеграцию, сохраняет необходимые следы, связывается с подрядчиком и готовит уведомления. Для компьютерных инцидентов учтите также взаимодействие с ГосСОПКА, включая информирование в установленном порядке, — часть 12 статьи 19.
Как принять решение о запуске и завершении теста?
Сначала проверьте публичную часть. Для этого доступна бесплатная первичная проверка страниц сайта в пределах бесплатной квоты. РКН ОК ищет видимые признаки нарушений. Он не отправляет формы, не подаёт уведомления за оператора, не проверяет CRM, внутренние журналы согласий или исполнение уничтожения. Такая проверка не гарантирует соответствие всей организации 152-ФЗ и не заменяет испытание каждого варианта.
Перед запуском соберите короткий паспорт эксперимента:
- гипотеза, варианты, единица учёта, метрики и правило завершения;
- карта данных, основания, получатели и сроки хранения;
- архив текстов и протокол проверки принятия, отказа и отзыва;
- ответственные за обработку обращений и инциденты;
- способ остановить эксперимент без включения необязательных скриптов.
При завершении сначала исключите варианты с некорректной обработкой, затем сравните результат остальных. Оформите итог: какой вариант выбран, на каких правомерно полученных показателях основан вывод, какие журналы уничтожаются, что сохраняется на отдельном основании и кто проверит исполнение.