Зарубежные сервисы на сайте: как поставить входной контроль на новые теги и виджеты

Зарубежные трекеры редко появляются на сайте по решению руководства. Обычно это итог мелких задач: подрядчик по контекстной рекламе добавил тег, разработчик подключил внешнюю карту, отдел продаж попросил онлайн-чат. После каждой такой задачи IP-адрес, идентификатор браузера или почта посетителя могут уходить на серверы за пределами России. Осенью 2026 года тема по-прежнему острая. В 152-ФЗ уточнили критерии стран для передачи, а уведомлять Роскомнадзор нужно, как и раньше, до её начала.

Разовая проверка показывает, что работает на сайте сегодня. Но через месяц маркетинг запустит новую кампанию, и картина снова изменится. Поэтому полезнее думать не о чистке, а о входном контроле: ни один зарубежный сервис не попадает на сайт без короткой и понятной процедуры.

Маркетолог и разработчик обсуждают новые подключения на сайте

Откуда на сайте берутся зарубежные получатели данных

Основной вход — менеджер тегов. Доступ к нему часто есть у нескольких агентств, и каждое публикует свои скрипты без согласования с владельцем сайта. Второй источник — готовые виджеты конструкторов и шаблоны подрядчиков, в которых уже зашиты Google Analytics, DoubleClick или Hotjar. Третий — наследство: сервис давно не используют, а код на страницах остался и продолжает слать запросы.

С точки зрения закона договор с сервисом и намерения команды вторичны. Важно одно: покинули ли данные посетителя территорию России. Отдельный риск — трекеры, которые срабатывают при открытии страницы, раньше выбора на cookie-баннере. Такую обработку могут счесть обработкой без законного основания, а это ч. 1 ст. 13.11 КоАП и штраф для юрлиц от 150 до 300 тыс. ₽. Как оценивать именно счётчики, мы показали в разборе рисков веб-аналитики по 152-ФЗ.

Типичная ошибка — проверять текст баннера вместо реального поведения страницы. Вторая — формулировка в политике вроде «данные могут передаваться третьим лицам» без названий сервисов и целей. У проверяющего к такому тексту появятся вопросы, а команда при этом уверена, что всё оформлено.

Входной контроль: как допускать новый сервис

Процедура должна быть такой же привычной, как проверка кода перед выкладкой. Если она занимает неделю, её будут обходить. Поэтому достаточно короткого маршрута с понятным ответственным на каждом шаге.

1. Оформить заявку: какой сервис, кто инициатор, зачем он нужен и на каких страницах будет работать.
2. Открыть тестовую страницу в чистой сессии и посмотреть во вкладке Network инструментов разработчика, на какие домены уходят запросы.
3. Настроить запуск сервиса только после согласия посетителя в соответствующей категории баннера.
4. Добавить сервис и цель передачи в политику обработки персональных данных и в текст согласия.
5. Передать ответственному за персональные данные сведения для уведомления Роскомнадзора до старта передачи.
6. После публикации повторить запись сетевого обмена уже на рабочем сайте.

Где процесс обычно ломается

Чаще всего процедуру нарушают из-за сроков: кампания стартует завтра, и тег публикуют в обход. Ещё одно слабое место — подрядчики с правом публикации в менеджере тегов. Помогает простое правило: агентство готовит изменения, а выкладывает их сотрудник компании после проверки. Политика тоже устаревает. Новые сервисы в неё не попадают, а отключённые годами в ней висят. Какие запросы смотреть и как читать запись сетевого обмена, мы описали в материале Dobrolex о том, как проверить передачу персональных данных за рубеж.

Команда сверяет список подключённых сервисов перед запуском кампании

Как объяснить задачу руководителю и подрядчику

Руководителю лучше говорить о деньгах и ответственности, а не о статьях закона. Один тег от агентства может создать риск санкций, а процедура допуска занимает немного времени. Главное — назвать владельца решения: человека, который подтверждает, что сервис нужен бизнесу и оформлен. Как распределить эту ответственность между маркетингом, разработкой и юристом, мы уже разбирали в посте о ролях команды.

Подрядчику требования удобнее зафиксировать в техническом задании. Это перечень доменов, на которые будут уходить запросы, запуск только после согласия и запрет публиковать скрипты без подтверждения от заказчика. Такие условия не мешают работе агентства. Зато в споре всегда понятно, кто и когда добавил сервис.

Зарубежный сервис на сайте — это решение о передаче данных посетителей, и у этого решения должен быть конкретный владелец.

Важно понимать пределы технической проверки. Запись сетевого обмена на публичных страницах — это технический сигнал, а не доказательство. Закрытые разделы, серверную часть и внутренние процессы так не увидеть. Правовую оценку и уведомление регулятора всё равно готовит юрист, но с фактами разговор с ним заметно короче.

Руководитель маркетинга объясняет директору порядок подключения сервисов

Трансграничная передача на сайте почти всегда складывается из рабочих решений, которые никто не согласовывал. Поэтому и управлять ею нужно через процесс, а не через разовые проверки. Нужны понятный маршрут для нового сервиса, человек, который за него отвечает, и повторная проверка после каждой публикации. Тогда документы и уведомления соответствуют тому, что сайт делает на самом деле.