Аудит сайта на соответствие 152-ФЗ о персональных данных

Любому сайту, где пользователь может оставить свои данные. Согласно ст. 3 152-ФЗ, вы становитесь оператором персональных данных, если обрабатываете информацию о конкретном человеке. Даже простая форма обратной связи (имя + телефон) подпадает под это определение.

Аудит обязателен для:

• Интернет-магазинов и сервисов — сбор данных при заказе и оплате;
• Медицинских и образовательных организаций — работа со специальными категориями данных ( ст. 10 152-ФЗ );
• Любого бизнеса с CRM и подрядчиками — передача данных третьим лицам требует оформления поручения ( ст. 6 ч. 3 152-ФЗ ).

Роскомнадзор проверяет все сайты — не только крупные платформы.

Ответственность регулируется ст. 13.11 КоАП РФ. Для юридических лиц самые частые санкции:

• 300 000 – 500 000 ₽ — за повторное нарушение требований к составу Политики или несогласованную передачу данных (ч. 2 ст. 13.11 КоАП РФ);
• 30 000 – 60 000 ₽ — за отсутствие или неполную Политику конфиденциальности (ч. 3 ст. 13.11 КоАП РФ);
• 100 000 – 300 000 ₽ — за неуведомление Роскомнадзора о начале обработки (ч. 1 ст. 13.11 КоАП РФ);
• 1 – 6 млн ₽ — за нарушение локализации баз данных на территории РФ (ч. 8 ст. 13.11 КоАП РФ);
• 6 – 18 млн ₽ — за повторное нарушение локализации данных (ч. 9 ст. 13.11 КоАП РФ).

За утечку данных: от 3 до 15 млн ₽ (ч. 1¹ ст. 13.11 КоАП РФ) и до 3% годовой выручки при повторном нарушении (ч. 1² ст. 13.11 КоАП РФ).

В первую очередь РКН смотрит на публичную часть сайта и автоматически сканирует на соответствие:

• Политику конфиденциальности — наличие, актуальность и отражение реальных процессов (ст. 18.1 ч. 2 152-ФЗ);
• Согласия в формах — требуется явное действие пользователя, чекбокс не должен быть предустановлен (ст. 9 152-ФЗ);
• Cookie-баннер — уведомление о сборе данных и разделение на категории (ст. 12.1 Закона «Об информации»);
• Трансграничные скрипты — использование зарубежных сервисов (аналитика, CRM, облака);
• Контакты оператора — email для обращений субъектов ПДн (ст. 22.1 152-ФЗ).

Нет, это одна из самых частых ошибок. Шаблон «для галочки» не защитит от штрафа.

Политика должна соответствовать ст. 18.1 152-ФЗ и:

• Быть написана под ваш сайт — отражать реальные цели, типы данных, сроки хранения и передачу третьим лицам;
• Совпадать с уведомлением в Роскомнадзор и формами согласий;
• Быть доступна на всех страницах сайта, где есть сбор данных (ссылка в подвале).

Расхождения между документами и реальными процессами — прямое основание для штрафа по ч. 2 ст. 13.11 КоАП РФ.

Да, в большинстве случаев. По ст. 22 ч. 1 152-ФЗ оператор обязан уведомить РКН о начале обработки персональных данных до её фактического начала.

Исключения предусмотрены ст. 22 ч. 2 152-ФЗ (например, обработка данных для исполнения договора с субъектом), но на практике лучше подать уведомление, чтобы избежать рисков.

Штраф за отсутствие уведомления — от 100 000 до 300 000 ₽ для организаций (ч. 1 ст. 13.11 КоАП РФ).

Закон не устанавливает точной периодичности, но ст. 18.1 ч. 1 п. 5 152-ФЗ требует внутреннего контроля на регулярной основе.

Рекомендуемая практика:

• Полный аудит — минимум раз в год;
• Экспресс-проверка — после любого изменения: запуск нового продукта, смена CRM, хостинга, редизайн, появление новых форм сбора данных.

Роскомнадзор при проверке запрашивает документы, подтверждающие проведение внутреннего контроля — их отсутствие нарушает ст. 18.1 152-ФЗ.

Локализация — требование хранить базы данных с персональными данными российских граждан на серверах, физически находящихся в России (ст. 18 ч. 5 152-ФЗ).

Нарушение — использование:

• Зарубежного хостинга или облачных сервисов (AWS, Google Cloud);
• Аналитики, которая отправляет данные за границу (Google Analytics);
• Зарубежных CRM и трекеров.

Штрафы за нарушение локализации — одни из самых высоких: от 1 до 6 млн ₽ (ч. 8 ст. 13.11 КоАП РФ) и от 6 до 18 млн ₽ за повторное нарушение (ч. 9 ст. 13.11 КоАП РФ).