Требования 152-ФЗ к сайту: чек-лист из 30 пунктов для владельца бизнеса
Проверять нужно весь путь данных: от первого визита до удаления записи в CRM. Этот чек-лист связывает публичные страницы с внутренними процессами и помогает распределить работу между владельцем, разработчиком и специалистом по персональным данным.
- Сначала составьте карту обработки, затем сверяйте с ней документы и настройки.
- Найденный документ и зелёный результат сканера не доказывают полноту соблюдения закона.
- Фиксируйте конкретную находку, ответственного и подтверждение исправления по каждому пункту.
Как пользоваться чек-листом
Для каждого пункта поставьте один из статусов: выполнено, нужно исправить, нужно выяснить или не применяется с объяснением причины. Не заменяйте отсутствие информации отметкой «всё хорошо». В рабочей таблице добавьте ссылку на страницу или систему, ответственного, срок и доказательство результата.
Начните с одной реальной заявки и проследите все её копии. Затем пройдите остальные типовые сценарии: заказ, подписку, чат, регистрацию, аналитику. Проверяйте мобильную версию и страницы, на которые пользователи приходят из рекламы напрямую.
1–5. Карта данных и роли участников
- 1. Определён оператор: кто решает, зачем и какие данные использовать; реквизиты совпадают с документами и бизнесом.
- 2. Собраны все точки получения: формы, чат, заказ, личный кабинет, загрузки файлов, аналитика и внешние виджеты.
- 3. Для каждой цели перечислены действительно нужные данные; лишние обязательные поля удалены или обоснованы.
- 4. Прослежены все получатели и копии: CMS, CRM, почта, таблицы, подрядчики, мессенджеры, резервные копии.
- 5. По каждой цели определено правовое основание и подтверждающие сведения; согласие не объявлено универсальным решением.
6–10. Публичные документы
- 6. Политика опубликована и открывается без регистрации; доступ обеспечен на страницах сбора данных.
- 7. В политике указаны правильный оператор, рабочие контакты и область действия.
- 8. Цели, состав данных, получатели и сроки в тексте соответствуют реальным системам.
- 9. Там, где используется согласие, подготовлен самостоятельный текст; он не растворён в оферте или общем описании сайта.
- 10. У документов есть управляемые версии; предыдущие редакции можно сопоставить с событиями получения согласия.
11–15. Формы и пользовательский выбор
- 11. Перед отправкой человек видит цель и может открыть применимые документы, включая форму в попапе и чате.
- 12. Согласие, когда оно служит основанием, выражается действием пользователя; отметка не проставлена заранее.
- 13. Сервер проверяет необходимые условия приёма заявки; отказ нельзя обойти отключением клиентского JavaScript.
- 14. Рекламные цели отделены от основной заявки; отказ от добровольной рассылки не превращается в автоматическую подписку.
- 15. Сохраняется соразмерное доказательство получения согласия: событие, цель, версия текста и связь с обращением.
16–20. Cookie, аналитика и внешние сервисы
- 16. Составлен фактический перечень технологий, идентификаторов, целей и получателей; учтены разные источники подключения.
- 17. Для технологий, работающих на согласии, настроено управление запуском до пользовательского выбора.
- 18. Отказ и выбор отдельных категорий действительно меняют обработку, а не только скрывают баннер.
- 19. Можно изменить решение; повторный визит и переход между страницами учитывают сохранённый выбор.
- 20. Проверены виджеты, отложенные события и серверные интеграции, которые нельзя оценить только по списку cookie.
21–25. CRM, подрядчики и государственные уведомления
- 21. Установлено фактическое расположение баз и применимость требований локализации; вывод не сделан только по домену или IP.
- 22. Роли и обязанности подрядчиков определены; поручения и условия передачи соответствуют реальной цепочке.
- 23. Проверена обязанность уведомить Роскомнадзор, наличие записи и актуальность сведений оператора.
- 24. Отдельно разобрана трансграничная передача и применимые требования статьи 12, если такая передача существует.
- 25. Сроки хранения и прекращения обработки определены по целям; копии в почте, таблицах и резервных системах учтены.
26–30. Защита, обращения и регулярный контроль
- 26. Доступ сотрудников и подрядчиков ограничен задачами; учётные записи и секреты не используются бесконтрольно совместно.
- 27. Каналы передачи и технические меры соответствуют рискам; HTTPS проверен, но не считается всей системой защиты.
- 28. Работает порядок обращений, уточнения данных и отзыва согласия: назначен ответственный, известны системы и действия.
- 29. Подготовлен порядок реагирования на инциденты, включая оценку применимых обязанностей уведомления и сохранение фактов.
- 30. После изменений сайта повторяются соответствующие проверки; результаты, документы и задачи сохраняются в управляемом виде.
Как распределить задачи между людьми
Распределение работ не означает автоматического переноса законной ответственности с оператора на подрядчика. Роли и условия взаимодействия нужно определить документально.
| Участник | Что обычно выясняет или делает | Что получает на выходе |
|---|---|---|
| Владелец бизнеса | Оператор, цели, реальные процессы, ресурсы на исправления | Подтверждённая карта обработки и решения |
| Специалист по персональным данным | Основания, документы, уведомления, специальные случаи | Правовые требования и согласованные формулировки |
| Разработчик | Формы, сервер, загрузка тегов, интеграции, доступы | Проверяемые изменения в системе |
| Маркетолог/менеджер | Рассылки, аналитика, использование CRM, копии заявок | Корректные сценарии работы с контактами |
| Ответственный за контроль | Приёмка, версии, обращения и изменения | Журнал задач и подтверждений |
В каком порядке исправлять найденное
Приоритет зависит от фактов и последствий. Не сортируйте задачи только по максимальному штрафу, показанному в стороннем аудите: применимость санкции зависит от состава нарушения и обстоятельств.
| Уровень | Примеры ситуации | Первое действие |
|---|---|---|
| Срочно разобраться | Открытая база, утечка, неконтролируемая передача | Ограничить проблему, сохранить факты и запустить порядок реагирования |
| Исправить сценарий сбора | Нет нужного основания, не работает отказ, избыточные данные | Оценить остановку конкретной обработки и изменить процесс |
| Привести документы в соответствие | Неверный оператор, отсутствующая политика, устаревшие сведения | Исправить текст и доступ, проверить связанные уведомления |
| Наладить поддержку | Нет владельца документа, тестов или контроля версий | Встроить проверки в изменения сайта |
Что можно узнать автоматически, а что потребует доступа к бизнесу
Himedia показывает 33 контрольных пункта в полном формате. Этот организационный чек-лист содержит 30 задач и не является копией нумерации сканера: часть работ касается процессов, недоступных внешнему обходу.
| Автоматически можно искать | Нужно подтверждать отдельно |
|---|---|
| Ссылки и доступность документов | Полноту описания реальных процессов |
| Поля, чекбоксы и исходные состояния | Правовое основание и доказательства в CRM |
| Доступные запросы, cookie и сторонние домены | Все серверные передачи и условия у получателей |
| HTTPS и открытые технические признаки | Общую достаточность системы защиты |
| Охват страниц и причины пропусков | Полное соблюдение законодательства оператором |
Как принять исправления и не потерять результат
Цель приёмки — подтвердить исправленное поведение. Уменьшение числа замечаний из-за меньшего охвата или недоступной страницы не считается улучшением.
- Зафиксировать исходную находку и конкретный адрес либо систему.
- Проверить исправление тем же сценарием: страница, режим, лимит и действия должны быть сопоставимы.
- Провести ручную приёмку там, где автоматический отчёт не видит результат.
- Сохранить версию документов, запись проверки и ответственного.
- Назначить поводы для повторного контроля: новая форма, сервис, получатель, цель или изменение закона.
Вопросы и ответы
Достаточно ли поставить политику и cookie-баннер?
Нет. Они относятся к публичной части. Основания, реальная загрузка сервисов, работа CRM, сроки, договоры и защита требуют отдельной проверки.
Этот чек-лист заменяет юридический аудит?
Он помогает организовать первичную работу и распределить задачи. Полная оценка зависит от бизнеса, категорий данных, технологий и специальных требований.
Для лендинга требования проще, чем для магазина?
Объём работы зависит от фактических процессов. У небольшого лендинга может быть сложная цепочка аналитики, чата и рассылок; количество страниц само по себе не определяет обязанности.
Если нет форм, можно не проверять персональные данные?
Нужно учитывать другие технологии и способы обращения: аналитику, виджеты, учётные записи, серверные журналы и работу с контактами. Отсутствие видимой формы не даёт полного ответа.
Что означает статус «нужно выяснить»?
Для вывода не хватает фактов: например, неизвестно место базы или автоматический обход не увидел форму. Назначьте ответственного за уточнение вместо необоснованного статуса «выполнено».
Нужно ли проверять мобильную версию отдельно?
Да, интерфейс, попапы, чат и баннер могут вести себя иначе. Проверьте видимость документов, доступность выбора и фактическую отправку в основных сценариях.
Как часто повторять проверку?
Проверяйте затронутые процессы после существенных изменений. Дополнительную периодичность установите по рискам и частоте обновлений; единого универсального интервала для всех сайтов здесь нет.
Можно ли сложить все возможные штрафы из отчёта?
Такой расчёт может вводить в заблуждение. Нужно установить конкретные обстоятельства, субъект ответственности и применимость норм. Технические находки сами по себе не доказывают все составы нарушений одновременно.
Что делать с фото клиентов и сотрудников на сайте?
Публичное размещение может затрагивать отдельные требования к распространению персональных данных и использованию изображения. Не считайте общее согласие на заявку разрешением на публикацию.
Что делать после зелёного отчёта сканера?
Сверить охват, выполнить ручные пункты и подтвердить внутренние процессы. Отсутствие найденных внешним обходом признаков риска не является гарантией полного соответствия.
Источники и границы материала
Материал помогает подготовить документы и организовать проверку. Примеры требуют адаптации к вашему оператору и процессам. Для конкретного решения учитывайте применимые нормы и обстоятельства обработки.