МФО отправляют данные пользователей за границу ещё до их согласия. Чем это опасно людям и что грозит самим МФО

Человек заходит на сайт МФО в тяжёлый момент: нужны деньги. Он ещё ничего не нажал, не поставил ни одной галочки, а данные о его визите уже улетели в зарубежные сервисы. Мы прогнали через сканер сайты микрофинансовых организаций, и по нашим наблюдениям на доступных для проверки сайтах сектора это скорее правило, чем исключение.

Что мы увидели

Цифры по сайтам, открытым для автоматической проверки (часть сайтов закрыта бот-защитой, поэтому это срез доступных сайтов сектора, а не весь рынок): Проверен 81 сайт МФО. Из них:

1. Зарубежные трекеры стоят на 74 сайтах из 81 (это 91%), и на всех 74 они срабатывают ДО согласия посетителя. Данные уходят в зарубежные сервисы: аналитику и теги Google, reCAPTCHA, внешние шрифты.
2. У 28 сайтов из 81 (35%) нет корректно оформленного согласия на обработку данных (ст. 9 закона).
3. У 37 из 81 (46%) вообще нет cookie-баннера, а там, где он есть, у 59% нет кнопки «Отклонить»: отказаться технически нельзя.
4. Медиана соответствия по сектору 62 балла из 100. Это выше наших прошлых срезов по частным школам (55) и EdTech (50), но до спокойной зоны далеко.

Чем это опасно для пользователя

Сам факт, что человек открыл сайт МФО, уже чувствителен: это сигнал «интересуется займом». Когда такой сигнал уходит в зарубежные рекламные и аналитические сервисы ещё до согласия, человек этим уже не управляет. Из механизма вытекает несколько рисков:

• Профилирование и таргетинг: на основе визита формируется рекламный профиль, и предложения займов начинают преследовать по другим сайтам.
• Передача по цепочке: данные попадают к внешним сервисам-посредникам, и человек уже не знает, где в итоге окажется информация о его интересе к займу.
• Трансграничность: данные оказываются за рубежом, вне прямого контроля Роскомнадзора, и то, что ушло до согласия, вернуть назад уже нельзя.

Важно: мы фиксируем состояние публичных сайтов, а не доказанные утечки. Речь о механизме, когда данные уходят раньше согласия, и о рисках, которые он создаёт по умолчанию, без алармизма и обвинений в адрес конкретных компаний.

Какие санкции грозят самим МФО

Здесь всё предметно, это уже про деньги оператора.

• Трекеры, которые срабатывают до согласия, это обработка персональных данных без надлежащего согласия. За неё предусмотрен штраф по ч. 1 ст. 13.11 КоАП: для юридических лиц 150 000–300 000 ₽ (актуально 2026). Это общая норма для любого оператора, а не приговор конкретной компании.
• Cookie-баннер без кнопки «Отклонить» не спасает: согласие, от которого нельзя отказаться, не считается добровольным.
• Данные уходят за границу, а это трансграничная передача, для которой закон (ст. 12) требует отдельно уведомлять Роскомнадзор. Подала ли конкретная компания такое уведомление, по внешнему сайту увидеть нельзя, поэтому мы не называем имён и не вешаем ярлык нарушителя. Но тема давно не теоретическая: с февраля 2025 года Роскомнадзор рассылает операторам запросы именно по использованию зарубежной веб-аналитики.

Почему это касается не только МФО

Если так настроены даже сайты компаний под надзором ЦБ, почти наверняка так же настроен и обычный корпоративный сайт: аналитика и рекламные пиксели ставят «из коробки», и они стартуют при первой же загрузке страницы. Повод для претензии регулятору не нужно выдумывать: он проверяется прямо с открытого сайта, по одной жалобе посетителя.

Что снижает риск:

1. Аналитика и трекеры загружаются только ПОСЛЕ согласия, а не при открытии страницы.
2. Cookie-баннер с равноправными кнопками «Принять» и «Отклонить».
3. Отдельная непредзаполненная галочка согласия на формах со ссылкой на политику.
4. Понимание, каким сторонним сервисам уходят данные и где их серверы.

Как мы считали: сканер загружает сайт, рендерит его как браузер и прогоняет больше 30 проверок на соответствие 152-ФЗ; где данных не хватает, помечаем «проверить вручную», а не штрафуем выводом. Знаменатель у каждой цифры это число сайтов, где проверка применима; проверяли те сайты МФО, что открыты для автоматической проверки. Результат воспроизводим.

Проверить, что ваш сайт отправляет посетителю и сторонним сервисам ещё до согласия, можно бесплатно за минуту.