Какие данные собирает сайт: как узнать

Коротко: данные, которые собирает сайт, видны в трёх местах: в политике конфиденциальности и cookie-политике, в сетевых запросах браузера и в полях, которые сайт сам просит заполнить. Все три проверки делаются обычным браузером и занимают 10–15 минут. Заявленный сбор и фактический проверяются по отдельности.

Что сайт обещает в политике конфиденциальности?

Первый источник правды — документы самого сайта: политика конфиденциальности и, если есть, отдельная cookie-политика. Ссылки на них обычно стоят в подвале каждой страницы. В политике перечисляется состав собираемых данных, цели обработки и получатели. В cookie-политике — имена файлов cookie, их назначение и сроки хранения.

Что искать в тексте:

• перечень сторонних сервисов: системы аналитики, рекламные площадки, виджеты чатов и соцсетей. Каждый такой сервис получает данные с сайта;
• цели обработки: аналитика, реклама, поддержка, рассылки. Цель должна соответствовать типу данных;
• имена cookie и сроки: добросовестная cookie-политика называет конкретные идентификаторы (например _ga или _ym_uid) и срок их жизни;
• передача третьим лицам и за пределы страны: куда и кому уходят данные.

Отдельно посмотрите, обновляется ли документ: страница политики без версии и порядка изменений затрудняет проверку того, что именно сайт обещал в момент вашего визита. Если политика ссылается на приложения и регламенты, откройте и их: состав данных нередко расписан там, а не в основном тексте.

Политика — это заявление сайта. Она отвечает на вопрос «что сайт собирает по его собственным словам», но не гарантирует, что на странице не стоит ничего сверх списка. Фактический сбор показывает второй способ.

Что показывают сетевые запросы в DevTools?

Инструменты разработчика открываются клавишей F12 в любом браузере на движке Chromium (Chrome, Edge, Яндекс Браузер). Две вкладки дают полную картину. Удобный приём: перед проверкой откройте сайт в режиме инкогнито, чтобы старые cookie и localStorage от предыдущих визитов не смешивались с записями текущей сессии.

Вкладка Network: откройте её и перезагрузите страницу. В списке появятся все запросы, которые страница отправила, включая запросы к системам аналитики и рекламы. Смотрите на две вещи. Первая — домены получателей: строки с доменами вроде mc.yandex.ru, google-analytics.com, top-fwz1.mail.ru означают, что на сайте стоят соответствующие счётчики. Вторая — содержимое запросов: клик по строке открывает параметры, и в них видно, какие поля уходят с каждой страницей: адрес страницы, источник перехода, идентификаторы.

Вкладка Application: слева разделы Cookies и Local Storage. В Cookies — все файлы, которые сайт записал в браузер, с доменом, сроком действия и содержимым. В Local Storage — ключи и значения, которые сайт положил в локальное хранилище браузера. Имена вида _ym_uid, _ga, uid — это идентификаторы посетителя: именно по ним сервисы отличают одного человека от другого между визитами.

Сравнение двух списков — политики и запросов — самый показательный шаг проверки. Домен, который виден в Network, но не упомянут в политике, — повод задать вопрос владельцу сайта.

Какие данные сайт запрашивает сам?

Третий источник не требует инструментов: посмотрите, что сайт просит у вас напрямую. Формы — главный канал: регистрации, заказы, подписки, обратный звонок. Телефон, адрес электронной почты, имя, дата рождения — это персональные данные, и их сбор не зависит от того, стоят ли на сайте трекеры. Объём запрашиваемого — сам по себе показатель: форма, которая просит телефон и дату рождения ради подписки на рассылку, собирает больше, чем задача требует.

Сюда же относятся: вход через соцсети (сайт получает профиль из аккаунта), запросы разрешений браузера — геолокация, уведомления, доступ к камере — и всплывающие окна с просьбой указать город или сегмент. Каждое такое разрешение открывает сайту доступ к новым данным о вас. Форму имеет смысл пройти до конца один раз и посмотреть, что сайт делает после отправки: подтверждение по SMS, письмо на почту, звонок — всё это каналы, по которым данные продолжают использоваться после того, как вы нажали кнопку.

Как распознать избыточный сбор?

Признаки, по которым виден сбор сверх необходимого:

• домены счётчиков в Network, которых нет в политике и cookie-политике;
• десятки рекламных доменов на одной странице — данные о визите уходят сразу нескольким площадкам;
• скрытые поля форм, которые заполняются без ведома посетителя и уходят вместе с отправкой;
• сбор характеристик браузера и устройства в комбинациях, по которым посетителя можно отличить без записи идентификаторов (отпечаток браузера). Косвенный намёк — запросы, которые передают длинные списки свойств экрана, шрифтов и плагинов.

Ни один признак по отдельности не означает нарушение, но вместе они показывают, что объём собираемого заметно шире, чем сайт декларирует. Проверку стоит повторить на ключевых страницах: главная, каталог, карточка товара, корзина, форма заказа. Набор счётщиков часто различается от страницы к странице, а политика описывает сайт целиком.

Что делать, если это ваш сайт?

Та же проверка в обратную сторону — аудит собственного сайта. Три шага. Минимизация: оставьте сбор, который нужен для конкретных решений, остальное отключите. Сверка: список доменов из Network должен совпадать со списком в политике; если не совпадает — обновите документ или уберите сервис. Замена тяжёлых счётчиков: если аналитика требует cookie-баннера и согласий, посмотрите на варианты, которые работают без записи идентификаторов в браузер.

ДэйРика — аналитика без cookie: счётчик весит около 1 КБ, ставится одной строкой и не записывает файлы cookie в браузер посетителя. Продукт автоматически собирает 13 событий (клики, формы, загрузки, оплаты), строит воронки, считает выручку и передаёт конверсии в Яндекс Директ и VK Рекламу. Данные хранятся в России.

Похожие статьи

Механики DevTools (вкладки Network и Application) — документация Chrome DevTools. Перечень cookie отдельных сервисов — справки соответствующих сервисов, например справка Яндекс Метрики.