Как проверить соблюдение правил обработки персональных данных на сайте

Роскомнадзор не предупреждает заранее. Проверка может начаться после жалобы одного пользователя — и если на сайте не окажется нужных документов или форма собирает данные без чек-бокса, штраф придёт быстро.

Большинство владельцев сайтов узнают о проблемах только после того, как они становятся проблемами. Аудит позволяет найти нарушения раньше проверяющих.

Ниже — пошаговый разбор того, что и как проверять, чтобы привести сайт в порядок по требованиям 152-ФЗ.

Любой сайт с формой обратной связи, регистрацией или подпиской — оператор персональных данных. Это статус, который возникает автоматически, как только на сайте появляется хотя бы одно поле, куда пользователь вводит своё имя или email.

Статус оператора означает обязанности: вести обработку персональных данных по закону, публиковать политику конфиденциальности, получать согласие пользователей, уведомлять регулятора при определённых условиях. Аудит — это способ убедиться, что все эти обязанности выполнены.

Проверять стоит не только перед ожидаемой проверкой. Сайт меняется: появляются новые формы, подключаются аналитические сервисы, обновляется CRM. Каждое такое изменение может создать новое нарушение, о котором владелец даже не догадывается.

С 2024 года санкции за нарушения в сфере персональных данных существенно выросли. Подробнее об ответственности и штрафах за нарушение можно прочитать в отдельном материале, здесь — основные цифры.

Ручная проверка требует времени и знания того, что именно искать. Автоматизированный аудит позволяет быстро получить общую картину — особенно полезно, если сайт большой или на нём много страниц с формами.

Сервис проверки защиты и обработки персональных данных сканирует сайт и находит типичные нарушения: отсутствующие документы, формы без согласия, небезопасное соединение.

Автоматический аудит находит очевидные проблемы. Но некоторые вещи требуют ручной проверки: например, всплывающие формы, которые появляются только при определённом поведении пользователя, или формы, встроенные через сторонние виджеты.

Если сервис не нашёл нарушений — это хороший знак, но не повод останавливаться. Стоит дополнить автоматическую проверку ручной ревизией по чек-листу ниже.

Внутренний аудит удобно разбить на три блока: формы и согласия, документы, внешние сервисы. Проверять лучше последовательно — так проще не пропустить детали.

Начать стоит с инвентаризации форм. Нужно пройти по всему сайту и найти все места, где пользователь может ввести личные данные: форма заявки, контакты, регистрация, корзина, подписка, чат.

Подробнее о том, что должно быть в тексте под формой и как правильно оформить согласие на обработку персональных данных для форм на сайте, разобрано в отдельном материале.

Частая ситуация: политика есть, но написана три года назад по шаблону. С тех пор сайт подключил новую CRM, добавил виджет обратного звонка, начал передавать данные в сервис email-рассылки. Ни одного из этих изменений в политике нет.

При проверке нужно сравнить текст документа с тем, что реально происходит с данными пользователей. Несоответствие — такое же нарушение, как отсутствие документа.

Проверочные вопросы: совпадают ли цели обработки с реальными? Указаны ли все третьи лица, которым передаются данные? Актуальны ли сроки хранения? Соответствует ли оператор — тот, кто указан в политике, — тому, кто реально владеет сайтом?

Google Analytics, Яндекс.Метрика, пиксели социальных сетей — все эти инструменты устанавливают cookie и собирают данные о поведении пользователей. Это тоже обработка персональных данных.

О том, как законно использовать аналитические файлы cookie, нужно позаботиться отдельно: разместить уведомление, получить согласие на аналитику, отразить использование сервисов в политике конфиденциальности.

При аудите стоит проверить: есть ли на сайте баннер с запросом согласия на cookie? Корректно ли описаны все используемые сервисы в политике? Есть ли возможность отказаться от необязательных cookie?

Закон требует, чтобы документы об обработке персональных данных были доступны любому посетителю сайта — без регистрации и без лишних кликов.

Полноценное согласие — не просто галочка. Это юридически значимое действие, которое должно быть информированным. Пользователь должен понимать, кто собирает его данные, зачем, какие именно и что с ними будет происходить.

Операторы персональных данных обязаны уведомить Роскомнадзор о начале обработки. Исключения есть, но они касаются узкого круга случаев — например, обработки данных исключительно сотрудников организации.

При аудите нужно проверить: подано ли уведомление, актуальны ли в нём сведения (адрес, виды данных, цели обработки, используемые системы). Если сайт сменил владельца или CRM — уведомление нужно обновить.

Реестр операторов ведётся Роскомнадзором в открытом доступе. Проверить, есть ли организация в реестре, можно на сайте регулятора.

Документы — это половина аудита. Вторая половина — технические условия, при которых данные передаются и хранятся безопасно.

Форма обратной связи на сайте без HTTPS передаёт данные в открытом виде. Любой, кто находится в той же сети, теоретически может их перехватить. Это нарушение требований к защите персональных данных.

SSL-сертификат обеспечивает шифрование соединения. Его наличие проверяется просто: адрес сайта должен начинаться с https://, а браузер — не показывать предупреждение о небезопасном соединении.

Отдельно стоит проверить отсутствие mixed content — ситуации, когда основная страница загружается по HTTPS, но часть ресурсов (изображения, скрипты) подключается по HTTP. Это снижает уровень защиты даже при наличии сертификата.

152-ФЗ требует, чтобы первичная запись персональных данных российских граждан происходила в базах данных на территории России. Это правило распространяется и на зарубежные CRM, облачные сервисы и email-платформы.

На практике: если сайт передаёт данные из форм напрямую в иностранный сервис — например, в американскую CRM — без предварительной записи в российскую базу, это нарушение. Нужно либо найти российский аналог, либо настроить дублирование записей.

При аудите стоит составить список всех внешних сервисов, которые получают данные пользователей, и для каждого уточнить: где физически хранятся данные и есть ли серверы в России.

Разовый аудит решает текущие проблемы. Но сайт не стоит на месте — добавляются страницы, меняются подрядчики, обновляется функциональность. Регулярная проверка не даёт накапливаться новым нарушениям.

Оптимальная частота зависит от интенсивности изменений на сайте. Если сайт обновляется редко — достаточно проверки раз в полгода. Если регулярно появляются новые разделы, формы, подключаются сервисы — лучше проверять ежеквартально.

Помимо плановых проверок, аудит стоит проводить при любом значимом изменении: переезде сайта на новый хостинг, смене CMS, подключении нового сервиса рассылки, добавлении формы на посадочную страницу.

Удобно вести простой список: что проверялось, когда, какие нарушения нашли, когда исправили. Это помогает и при внутреннем контроле, и при возможной проверке Роскомнадзора — как свидетельство того, что оператор добросовестно следит за соответствием требованиям.

Технические настройки и документы не защищают от человеческого фактора. Менеджер, который пересылает базу клиентов через личную почту, или разработчик, выгружающий данные на публичный Google Диск для тестирования, — типичные источники утечек.

Минимальные организационные меры: сотрудники, которые работают с персональными данными, должны знать, что нельзя передавать их по незащищённым каналам, хранить на личных устройствах и использовать в целях, не предусмотренных политикой.

Отдельного регламента не требуется — достаточно краткой инструкции и понимания базовых правил. Но наличие такого документа тоже будет плюсом при проверке.

Краткий список того, что должно быть в порядке. Если хотя бы один пункт не выполнен — это зона риска.