Проверка сайта на соответствие 152 ФЗ в Балашихе: что видят чужие скрипты
В этой статье
- Почему сторонний JavaScript видит поля формы
- Записи сессий: самый недооценённый риск
- Что нужно закрыть в первую очередь
- Заявка, ушедшая в адресную строку
- Где физически лежат данные
- Как проходит аудит соответствия 152 ФЗ
- Можно ли оставить аналитику и не нарушать закон
- Нужна ли отдельная галочка, если под кнопкой уже есть надпись про согласие
- Сайт сделан на конструкторе, там всё уже настроено
- Посмотрим ваши скрипты
На типовом сайте застройщика, клиники или сервисного центра в Балашихе подключено от пяти до двенадцати внешних скриптов: аналитика, коллтрекинг, обратный звонок, онлайн-чат, карта, пиксели рекламных площадок, запись сессий, всплывающие акции. Все они выполняются в том же окне, что и форма заявки. Технически это значит, что содержимое полей доступно не только вам.
Почему сторонний JavaScript видит поля формы
Скрипт, подключённый на страницу, работает с той же моделью документа, что и ваша форма. Он способен прочитать значение любого поля, отследить нажатия клавиш и передать всё это на свой сервер. Речь не о злом умысле: так устроены сервисы записи сессий и часть систем аналитики, которые собирают «карту поведения» посетителя. Пока такой сервис не перечислен в политике и не покрыт согласием, передача данных третьему лицу происходит без ведома посетителя.
Записи сессий: самый недооценённый риск
Сервис «вебвизора» пишет видео действий посетителя. Если поля не помечены как чувствительные, в записи окажется телефон, введённый символ за символом. Такие записи хранятся месяцами на стороне сервиса и доступны всем сотрудникам, у кого есть доступ к кабинету, включая подрядчика по рекламе.
Что нужно закрыть в первую очередь
- маскировать поля с телефоном, почтой и адресом от записи сессий;
- убрать из целей аналитики передачу самих значений полей, оставив только факт отправки;
- перечислить в политике все сервисы, которым передаются данные, и цели передачи;
- вывести отдельную непредзаполненную галочку согласия со ссылкой на политику;
- удалить скрипты, которые давно не используются, но остались в шаблоне.
Последний пункт встречается чаще всего: подрядчик по рекламе сменился два года назад, а его пиксель до сих пор шлёт данные.
Заявка, ушедшая в адресную строку
Классическая ошибка старых сайтов, которую скрипты только усугубляют. Без атрибута method="post" введённое уходит в адресную строку: /zapis?name=Ольга&phone=89150000000. Этот адрес попадает в историю браузера, в логи сервера и в заголовок Referer, а вместе с ним данные уезжают на все внешние домены, подключённые к странице. Одна строка вёрстки превращает заявку в публичную ссылку.
Где физически лежат данные
Хранение данных россиян должно оставаться на серверах в России. Проверяется это по расположению площадки, а проверить нужно все:
- хостинг, где лежит сайт и его база;
- сервис рассылок с адресами подписчиков;
- форму из внешнего конструктора, вставленную на страницу;
- облачный диск с выгрузками заявок для обзвона.
У компаний из Балашихи чаще всего спотыкаются не на хостинге, а на сторонней форме, которую маркетолог поставил ради удобного конструктора.
Как проходит аудит соответствия 152 ФЗ
Снимаем список всех внешних запросов страницы, смотрим, что именно уходит в каждом, и сверяем с политикой. Отдаём отчёт: скрипт, домен, какие данные передаются, что делать. Правки вносим в рамках технической поддержки. Заодно уходит лишний вес страницы, что помогает оптимизации скорости: половина найденных скриптов обычно мертва.
Можно ли оставить аналитику и не нарушать закон
Да. Аналитика нужна для работы сайта, вопрос в объёме передаваемого. Достаточно фиксировать факт отправки формы и источник перехода, а не содержимое полей. Настройка целей без передачи значений занимает пару часов.
Нужна ли отдельная галочка, если под кнопкой уже есть надпись про согласие
Надпись «нажимая кнопку, вы соглашаетесь» слабее отдельного чекбокса: согласие должно быть активным действием посетителя. Поэтому мы ставим непредзаполненную галочку, а факт согласия фиксируем вместе с заявкой.
Сайт сделан на конструкторе, там всё уже настроено
Конструктор отвечает за свою платформу, но не за подключённые вами виджеты, не за площадку хранения выгрузок и не за состав вашей политики. Проверять всё равно нужно.
Посмотрим ваши скрипты
Позвоните по номеру +7 (901) 417-22-12: соберём список всех внешних сервисов на сайте и покажем, что каждый из них передаёт. Услуги и цены – в разделах услуги и цены.