Аудит сайта по 152-ФЗ: как проверить самому
- что именно проверять на сайте: пять блоков от карты данных до подрядчиков
- какие требования закон пишет для политики, согласий и уведомления Роскомнадзора
- какие штрафы за эти нарушения предусмотрены в КоАП — без страшилок, с реквизитами частей
- что спросить у хостера и подрядчика про хранение данных и договор поручения
У небольшой компании сайт, как правило, собирает данные о людях: форма «оставьте заявку» записывает имя и телефон, счётчик аналитики считает посещения, подписка собирает адреса электронной почты. Всё это — обработка персональных данных, и отвечает за неё владелец сайта: в 152-ФЗ он называется оператором. Слово «аудит» звучит как дорогая услуга, но большая часть проверки делается своими силами.
Порядок такой: карта данных, политика, согласия, уведомление Роскомнадзора, хранение и подрядчики. Это не самодеятельность: внутренний аудит соответствия — одна из мер самого оператора в 152-ФЗ. В итоге получается список правок: что отдать разработчику, что спросить у хостера, что поручить юристу.
Правовую оценку статья не заменяет: технические признаки вы проверите сами, а выводы «нарушено — не нарушено» делает юрист.
С чего начать: карта данных сайта
Аудит начинается не с документов, а с описания того, что сайт реально собирает. Выпишите все формы и их поля, счётчики и файлы cookie, подписки, а для каждой заявки — куда она попадает: почта, CRM (система учёта клиентов), мессенджер, таблица. Отметьте, кто видит эти данные.
Счётчики и cookie — тоже часть карты. Запишите, какие сервисы аналитики стоят на сайте, что они собирают и как это описано в политике. Без карты проверять «соответствие 152-ФЗ» не получится: закон предъявляет требования к конкретным данным и конкретным действиям с ними; «сайт вообще» тут ни при чём.
| Блок | Что проверить | Опора |
|---|---|---|
| Карта данных | формы, поля, счётчики, файлы cookie, пути заявок | ст. 18, 22 152-ФЗ |
| Политика | опубликована, доступна, совпадает с картой данных | меры оператора, 152-ФЗ |
| Согласия | кто даёт, как фиксируется факт и версия текста | ст. 9 |
| Уведомление РКН | подано или подходит исключение | ст. 22 |
| Хранение и подрядчики | базы в России, поручение по договору | ч. 5 ст. 18, ст. 6 |
Политика обработки: что обязан публиковать сайт
Оператор, собирающий данные через интернет, обязан опубликовать в сети документ о политике обработки и сведения о требованиях к защите данных, обеспечив доступ к ним, — так требует норма 152-ФЗ о мерах оператора. На практике это страница «Политика обработки персональных данных», на которую ведёт ссылка из формы или подвала.
Сверьте текст политики с картой данных: цели обработки, категории данных и категории людей в документе должны совпадать с тем, что реально собирает сайт. Шаблон из интернета почти всегда описывает чужой набор данных — как черновик годится, но наполнение подтверждает юрист. Отсутствие опубликованной политики — штраф от 10 до 20 тысяч рублей для ИП и от 30 до 60 тысяч для юридических лиц (ч. 3 ст. 13.11 КоАП).
Разделение тут простое: юрист готовит и подтверждает тексты, разработчик размещает их и включает технические элементы согласия. В описании сайтов и кабинетов Deskforge тот же порядок: технические признаки и юридические тексты идут раздельно.
Согласия: кто их даёт и как подтвердить
Согласие на обработку данных даёт сам человек — свободно, своей волей и в своём интересе; оно должно быть конкретным, информированным и сознательным (ст. 9 152-ФЗ). Поэтому уведомление — например, сообщение о файлах cookie — согласием не называют: согласие человек выражает отдельно, своим действием.
Подтверждать получение согласия — обязанность оператора (ч. 3 ст. 9 152-ФЗ). Для сайта это значит сохранять, кто, когда и с каким текстом согласился. Практичный минимум — записать дату и версию текста согласия вместе с отправленной формой. Предустановленную «галочку» лучше не использовать. Закон требует конкретное и сознательное согласие; молчаливого недостаточно.
Штраф за обработку без письменного согласия, когда оно требуется, или с нарушением требований к составу такого согласия — от 300 до 700 тысяч рублей для юридических лиц (ч. 2 ст. 13.11 КоАП). Когда согласие не требуется, потому что основание другое — например, исполнение договора, — определяет юрист.
Уведомление Роскомнадзора: когда оно нужно
До начала обработки данных оператор уведомляет Роскомнадзор (ст. 22 152-ФЗ); уведомление подаётся в электронном виде или на бумаге. Сведения из него попадают в реестр операторов, открытый для всех (ч. 4 ст. 22), — по реестру можно проверить, есть ли в нём ваша компания.
Для простых сайтов часто подходит исключение: данные получены в связи с заключением договора, не распространяются, не передаются третьим лицам без согласия и используются только для исполнения этого договора (п. 2 ч. 2 ст. 22 152-ФЗ).
Заявка на услугу похожа на такой случай, но условия строгие, и вывод делает юрист. Сомневаетесь — подайте уведомление: для оператора оно бесплатно (ч. 5 ст. 22 152-ФЗ). Неуведомление или просрочка — штраф от 100 до 300 тысяч рублей для юридических лиц (ч. 10 ст. 13.11 КоАП).
Где хранятся данные и кто их трогает
При сборе данных граждан России через интернет оператор обязан записывать, хранить и уточнять их в базах на территории страны (ч. 5 ст. 18 152-ФЗ). У нормы есть узкие исключения — применимость к вашему случаю оценивает юрист. Это вопрос к хостеру и сервисам: где физически лежит база заявок, почтовый ящик, CRM. Хранение не в России — штраф от одного до шести миллионов рублей для юридических лиц (ч. 8 ст. 13.11 КоАП).
Подрядчик, который работает с данными клиентов, действует по поручению: с согласия человека и по договору, где перечислены состав данных, действия, цели и требования к защите (ч. 3 ст. 6 152-ФЗ). Ответственность перед человеком при этом остаётся на операторе (ч. 5 ст. 6) — «отдать задачу вместе с ответственностью» закон не позволяет.
Найденные правки соберите в один документ: что изменить на сайте, что спросить у хостера, что передать юристу. Как описать техническую задачу подрядчику, разбирали в статье «Техническое задание на автоматизацию».
Вопросы и ответы
Нужен ли аудит, если на сайте только форма заявки?
Форма уже собирает персональные данные, так что требования закона действуют. Минимум: опубликованная политика, зафиксированный факт согласия и решение об уведомлении Роскомнадзора. Обычно пять блоков занимают часы, не недели.
Можно взять шаблон политики из интернета?
Как черновик — да, но сверяйте его с картой данных своего сайта: цели и категории данных должны совпадать с реальными. Итоговый текст подтверждает юрист.
Что делать с подпиской на рассылку?
Для писем берите отдельное согласие и опишите в политике порядок отзыва: закон позволяет человеку отозвать согласие (ч. 2 ст. 9 152-ФЗ). Технически обеспечьте отписку по одной ссылке.