Алгоритм проверки сайта на соответствие 152-ФЗ

Цель проверки

Понять, как сайт собирает, использует, хранит и передает персональные данные, а потом проверить, закрыты ли основные требования 152-ФЗ:

данные собираются законно;
пользователь понимает, на что соглашается;
на сайте есть нужные документы;
согласия оформлены корректно;
cookies и аналитика описаны;
передача третьим лицам раскрыта;
локализация и трансграничная передача проверены;
юридические обязанности оператора не забыты.

Основные проверяемые блоки 152-ФЗ: принципы обработки, условия обработки, согласие, трансграничная передача, обязанности оператора, меры безопасности, уведомление об обработке ПДн и ответственность. Это следует из структуры закона: статьи 5, 6, 9, 12, 18, 18.1, 19, 22 и 24. (Consultant Plus)

1. Составить карту обработки персональных данных

Это главный первый этап. На нем сразу фиксируем всю фактическую обработку данных на сайте.

Что проверяем

Что должно получиться

В эту же карту сразу включаем юридические поля

Проверка уведомления РКН не выносится отдельным этапом. Она фиксируется здесь, в карте обработки. У Роскомнадзора есть реестр операторов, где сведения об операторах являются общедоступными, а поиск можно делать, в частности, по ИНН организации. (Портал персональных данных)

2. Проверить политику обработки персональных данных

После карты обработки проверяем, совпадает ли политика на сайте с фактической обработкой данных.

Что должно быть в политике

Как проверять

Берем карту обработки из пункта 1.
Сравниваем ее с политикой ПДн.
Все, что реально есть на сайте, должно быть отражено в политике.

3. Проверить согласия под формами

Согласия проверяются по каждой форме отдельно.

Какие формы проверяем

Требования к согласию

Статья 9 152-ФЗ отдельно посвящена согласию субъекта на обработку персональных данных, а статья 6 — условиям обработки персональных данных. (Consultant Plus)

Пример нормального текста под формой

Я согласен на обработку персональных данных в соответствии с Политикой обработки персональных данных.

Что желательно логировать

4. Проверить отдельные согласия на рекламу и рассылки

Согласие на обработку ПДн и согласие на рекламу лучше не смешивать.

Когда нужно отдельное согласие

Как должно быть

[ ] Я согласен на обработку персональных данных.

[ ] Я согласен получать рекламные и информационные сообщения.

5. Проверить cookies, аналитику и пиксели

Этот пункт нужен отдельно, потому что сайт может не иметь форм, но все равно обрабатывать идентификаторы пользователей через cookies и сторонние скрипты.

Что искать

Что проверяем на сайте

Что фиксируем в отчете

Какие cookies ставятся.
Какие скрипты подключены.
Какие сервисы получают данные.
Описаны ли они в политике.
Есть ли баннер и механизм согласия.

6. Проверить передачу данных третьим лицам

Этот пункт не дублирует карту обработки. В карте мы фиксируем, куда уходят данные. Здесь проверяем, правильно ли эта передача оформлена и раскрыта.

Кого проверяем

Что проверяем

7. Проверить локализацию и трансграничную передачу

Этот пункт оставляем отдельным, потому что он часто дает высокий риск.

Что проверяем

Статья 12 152-ФЗ регулирует трансграничную передачу персональных данных. (Consultant Plus)

Рискованные ситуации

8. Проверить юридические обязанности оператора, связанные с сайтом

Это не “проверка интерфейса сайта”, а завершающая юридическая сверка по оператору.

Что проверяем

У Роскомнадзора есть электронная форма уведомления, где указываются сведения об операторе, включая тип оператора и наименование; это подтверждает, что уведомление — обязанность оператора, а не отдельный элемент интерфейса сайта. (Портал персональных данных)

Внутренние документы — что это

Проверить наличие обязанности по РКН.
Проверить наличие базовых внутренних документов.
Проверить договоры с подрядчиками, если сайт передает им данные.

9. Составить итоговый отчет

Финальный результат проверки — не просто “соответствует / не соответствует”, а таблица нарушений и исправлений.

Формат отчета