Аудит сайта по 152-ФЗ
проверка обработки персональных данных

Проверка начинается не с интереса к компании, а с повода. Поводом может стать жалоба конкурента, бывшего сотрудника или посетителя, которому не понравился ответ на заявку. Кроме того, Роскомнадзор ведёт мониторинг сайтов без взаимодействия с компанией — то есть без запросов и без выезда. Размер компании на размер штрафа не влияет: суммы в статье 13.11 КоАП РФ установлены для юридических лиц безотносительно их оборота.

Политика есть почти у всех, и почти всегда это шаблон, описывающий обработку данных работников и контрагентов. Проверяется же обработка через сайт — формы, cookie, счётчики, резюме. Признак простой: откройте документ и посмотрите, встречаются ли в нём слова «сайт», «cookie», «пользователи сайта». Если документ старше двух-трёх лет и этих слов в нём нет, обработку через сайт он не описывает.

Программист сделает то, что написано в задании. Если задание составлено без юриста, на сайте появится галочка — но не появится доказательства того, что согласие получено от конкретного человека в конкретный момент. Закон требует именно доказуемости, и обязанность доказывать лежит на компании. Мы можем сделать обе части: и задание, и его выполнение.

Имя и адрес электронной почты человека, заполнившего форму, — персональные данные независимо от того, от чьего имени он пишет. Форму заполняет всегда человек, а не организация. Работа с юридическими лицами снимает вопросы потребительского законодательства, но не законодательства о персональных данных.

Важно, в каком году это было и менялось ли уведомление с тех пор. Как правило, оно подавалось один раз при регистрации, а обработка с тех пор изменилась: появился сайт с формами, счётчики, приём резюме. Если в записи нет пользователей сайта в категориях субъектов, нет цели обработки обращений, а трансграничная передача указана как отсутствующая при работающей зарубежной капче — сведения недостоверны. Это самостоятельный состав со штрафом до 300 000 рублей.

Это ситуация, когда данные посетителей уходят на серверы за пределами страны. Происходит она обычно незаметно: через зарубежную капчу на форме, счётчик аналитики, подключённые шрифты или пиксель социальной сети. Такая передача требует предварительного уведомления Роскомнадзора, о котором почти никто не помнит, а санкция составляет от 300 000 до 500 000 рублей.

Файлы cookie сохраняются в браузере посетителя, и часть из них позволяет его узнавать. Статистические cookie — счётчики аналитики, пиксели социальных сетей — Роскомнадзор нередко рассматривает как обработку персональных данных, особенно в связке с другими идентификаторами. Отсутствие информирования и согласия на их использование и есть нарушение.

Юридическая часть — от 10 до 15 рабочих дней. С технической настройкой силами нашего специалиста — от 15 до 20 рабочих дней. С аудитом внутренних документов оператора — от 30 до 40 рабочих дней. Если времени мало, работу можно разбить: первая очередь — отметка согласия у формы и фиксация согласий, это три-пять дней и закрывает самый дорогой из составов.

Стоимость зависит от выбранного варианта, количества форм на сайте и системы управления, на которой он сделан. Ориентир для сравнения простой: работа обходится дешевле минимального штрафа по одному составу, а составов при такой проверке выявляется обычно несколько и одновременно. Если сайт написан индивидуально, без стандартной CMS, срок и стоимость определяем после осмотра.

Это нормально, и услуга от этого не отменяется. В таком случае берётся базовый вариант, а техническая часть оформляется как сопровождение: наш специалист созванивается с вашим подрядчиком, объясняет задание и принимает результат по каждому пункту. Для вас это дешевле, а качество приёмки не страдает.

Именно так, и поэтому условия поручения обработки персональных данных включаются в договор отдельным разделом и подписываются вместе с ним — до получения любого доступа. Поручение по части 3 статьи 6 Федерального закона № 152-ФЗ содержит перечень действий, цели обработки и обязанность соблюдать конфиденциальность. Без этого работать с доступом нельзя: нарушение стало бы уже нашим.

Мы не заменяем штатного юриста, а закрываем узкий участок и передаём ему готовый результат: заключение с указанием норм и техническое задание. Ему не придётся разбираться в теме с нуля и составлять документы под сайт, а техническую часть мы при необходимости выполним сами.

Не игнорировать: срок ответа короткий, а само по себе поступление запроса означает, что сайт уже посмотрели. В этой ситуации порядок работы меняется — сначала готовим ответ на запрос, параллельно устраняя то, что можно устранить быстро. Напишите нам сразу, приложив сам запрос: от его формулировки и даты зависят и сроки, и приоритеты.

Нет. Решения принимает надзорный орган, и гарантировать чужое решение невозможно. Мы гарантируем устранение выявленных нарушений, подготовку документов, которые предъявляются при запросе, и приёмку технической части по каждому пункту задания. Обещание «штрафа не будет» — признак того, что вам продают не работу, а спокойствие.

Нет, это отдельная область. Защита от утечек, аттестация информационных систем и работа со средствами криптографической защиты в услугу не входят — при таком запросе мы привлекаем профильного подрядчика. Наша часть — соответствие обработки требованиям закона и документы, а не техническая защита инфраструктуры.

Помимо сайта у оператора должен быть внутренний комплект: приказы, положения, перечни обрабатываемых данных, формы согласий работников и кандидатов, журналы, договоры поручения обработки с подрядчиками — хостингом, бухгалтерией, сервисами рассылок. Перечень с указанием норм входит в заключение, так что объём вы увидите сами и решите, нужен ли следующий этап.

Особенность этой темы в том, что нарушение существует непрерывно, пока работает сайт: форма без отметки согласия собирает данные каждый день. Отложить вопрос не значит снизить риск — значит продлить период, в котором его могут зафиксировать. Если сейчас действительно не до этого, разумно закрыть хотя бы первую очередь: три-пять дней работы снимают самый дорогой состав.