Соблюдение 152-ФЗ для бизнеса сводится к трём частям: документы, согласия и технические меры на сайте. Закон касается практически любой компании с сайтом - форма обратной связи, заявка, подписка на рассылку или просто счётчик аналитики уже означают обработку персональных данных, а значит и обязанности оператора.
Коротко
- Если сайт собирает любые данные посетителей - компания является оператором персональных данных.
- Обязательный минимум: политика обработки ПДн, согласия в формах, уведомление в Роскомнадзор.
- Дополнительно нужны: cookie-баннер, российский хостинг, назначенный ответственный, модель угроз.
- Соответствие - это не разовое действие, а поддержание документов и сайта в актуальном состоянии.
- Проверить текущее состояние сайта можно самостоятельно и бесплатно за минуту.
С чего начинается обязанность соблюдать закон
Оператором персональных данных компания становится в момент, когда начинает определять цели и состав обработки данных - это происходит уже при добавлении формы обратной связи или заявки на сайт. Размер компании и вид деятельности на это не влияют: требование одинаково для интернет- магазина, лендинга услуг, сайта клиники или личного блога с формой подписки.
Обязательный минимум документов
- Политика обработки персональных данных - публичный документ, доступный на сайте
- Согласие на обработку персональных данных в каждой форме сбора данных
- Уведомление об обработке персональных данных, поданное в Роскомнадзор
- Приказ о назначении ответственного за организацию обработки персональных данных
- Перечень информационных систем и модель угроз, если данные обрабатываются автоматизированно
Технические меры на сайте
- Cookie-баннер с реальным выбором - принять, отказаться или настроить категории
- SSL-сертификат и работающий HTTPS на всех страницах с формами
- Хранение данных пользователей из России на серверах, физически расположенных в России
- Блокировка аналитических и рекламных скриптов до согласия на cookie
Что грозит при нарушениях
Ответственность за нарушения 152-ФЗ - по ст. 13.11 КоАП, суммы разные для каждого состава: от отсутствия политики до нарушения правил трансграничной передачи и локализации данных. Отдельная ответственность - за неуведомление Роскомнадзора и за нарушение срока сообщения об утечке (24 часа). Полная таблица сумм по составам - в отдельном материале о штрафах по 152-ФЗ.
С чего начать, если ничего из этого ещё не сделано
- Провести бесплатную автоматическую проверку сайта - она покажет техническую часть за минуту.
- Определить, какие данные сайт реально собирает и с какой целью.
- Собрать базовый комплект документов под реальный состав данных, а не типовой шаблон без адаптации.
- Настроить или проверить cookie-баннер и убедиться, что скрипты не грузятся до согласия.
- Подать уведомление в Роскомнадзор, если оно ещё не подано.
- Назначить ответственного за обработку персональных данных приказом.
Что проверить у себя
- Есть ли на сайте политика обработки персональных данных, и открывается ли она без ошибок
- Содержат ли формы сбора данных согласие, а не только ссылку на политику
- Настроен ли cookie-баннер и блокируются ли скрипты до согласия
- Подано ли уведомление в Роскомнадзор
- Назначен ли приказом ответственный за обработку персональных данных
- Хранятся ли данные пользователей из России на серверах в России
Частые вопросы
Касается ли закон небольших компаний и ИП? Да, требования 152-ФЗ не зависят от размера бизнеса - важен сам факт обработки персональных данных.
С чего лучше начать, если непонятно, что уже сделано, а что нет? С бесплатной автоматической проверки сайта - она покажет фактическое состояние без необходимости разбираться в законе самостоятельно.
Можно ли собрать документы самостоятельно, без юриста? Технически да, если использовать актуальные шаблоны, адаптированные под реальный состав данных сайта - для типовых случаев этого обычно достаточно, юрист нужен в нестандартных ситуациях.
Проверить, что из этого списка у вашего сайта уже сделано, а что нет, можно бесплатно за минуту - форма проверки. Готовый комплект документов под ваши данные - на странице документов по 152-ФЗ.