Трансграничная передача данных: Google Fonts, reCAPTCHA и YouTube на вашем сайте

Статья 12 152-ФЗ требует уведомить Роскомнадзор о трансграничной передаче до её начала и раскрыть её в политике. Передачей считается любая ситуация, когда персональные данные становятся доступны иностранному лицу. Отдельного «экспорта базы» для этого не нужно.

Как это происходит незаметно

Когда браузер посетителя загружает файл со стороннего сервера, он сам отправляет туда IP-адрес, данные о браузере и адрес страницы, с которой пришёл запрос. Никакого кода с вашей стороны для этого не требуется — достаточно подключить внешний ресурс.

• fonts.googleapis.com и fonts.gstatic.com — шрифты Google
• google.com/recaptcha и gstatic.com — капча
• maps.googleapis.com — карты
• youtube.com/embed — встроенное видео (ставит ещё и cookies)
• google-analytics.com, googletagmanager.com — аналитика и диспетчер тегов
• connect.facebook.net — пиксель Meta
• hotjar, amplitude, intercom, mailchimp, stripe — почти любой зарубежный сервис

Что нужно сделать

1. Составить честный список: какие внешние сервисы реально подключены на сайте. Проверка на этой странице делает это автоматически — по фактическим сетевым запросам, а не по вашей памяти.
2. Решить по каждому: нужен ли он. Шрифты и карты обычно проще заменить, чем описывать.
3. То, что остаётся, перечислить в политике: сервис, цель, страна обработки.
4. Подать в Роскомнадзор сведения о трансграничной передаче — до её начала, а не после.
5. Загрузку всего, что не является технически необходимым, поставить после согласия в баннере.

Что можно просто убрать

Шрифты Google

Скачиваются один раз и кладутся на ваш сервер. Подключаются через @font-face локально. Заодно страница начинает грузиться быстрее — внешний запрос исчезает.

Встроенные видео YouTube

Заменяются превью-картинкой с кнопкой: настоящий плеер подключается только после клика. Плюс вариант youtube-nocookie.com, но он лишь уменьшает cookies, а не отменяет передачу.

reCAPTCHA

Заменяется российскими решениями или простой защитой формы на своей стороне: скрытое поле-ловушка, ограничение частоты отправок, проверка времени заполнения.

Google Analytics

Если уже стоит Яндекс.Метрика, второй счётчик обычно дублирует данные. Отключение GA убирает самую чувствительную часть трансграничной передачи одним движением.

Как это выглядит в проверке

Мы открываем сайт в браузере и записываем все обращения к внешним хостам. Каждый известный сервис помечается страной обработки, и отдельно указывается, сработал он до согласия или после. Если зарубежный сервис сработал до согласия, это сразу два нарушения: обработка без согласия и передача за границу без основания.

Дальше остаётся сверить получившийся список с политикой. В наших проверках расхождение находится почти всегда: сервисы подключали в разное время разные люди, а документ писали один раз.