Проверка сайта по 152-ФЗ: 12 пунктов, которые смотрят инспекторы

Почему сайт — это не только политика

По нашим проверкам, нарушения есть у восьми из десяти сайтов, которые собирают заявки. Причём в половине случаев проблема не в тексте политики, а в том, что форма отправляет данные в зарубежный сервис или складывает их в открытый файл.

Ниже — 12 пунктов, которые мы проверяем в первую очередь. Их же обычно смотрит инспектор, если открывает сайт.

12 пунктов проверки

1. Все точки сбора. Формы, обратный звонок, подписка, чат, квиз, калькулятор, личный кабинет. Часто находится забытая форма на старой странице.
2. Политика обработки. Опубликована, доступна с любой страницы, соответствует фактическим процессам.
3. Согласие в каждой форме. Отдельный чекбокс, а не надпись «отправляя форму, вы соглашаетесь».
4. Предметность согласия. Понятно, кто оператор, какие данные, для каких целей и как отозвать согласие.
5. Согласие не в оферте. Пользовательское соглашение или оферта не заменяют согласие на обработку ПДн.
6. Cookie-баннер. Информирование до загрузки аналитических скриптов, а не после.
7. Настройка cookie. Возможность отказаться от аналитики и маркетинга, а не только «Принять».
8. Сторонние скрипты. Метрики, чаты, виджеты, reCAPTCHA: что собирают и куда передают.
9. Зарубежные сервисы. Почта, CRM, таблицы, аналитика за пределами РФ — признак трансграничной передачи.
10. Хранение заявок. Где физически лежат данные: хостинг, почта, CRM, файлы на сервере.
11. Открытые файлы. Нет ли логов заявок или выгрузок по прямой ссылке.
12. Сроки и удаление. Понятно, сколько данные хранятся и как удаляются по запросу.

Согласие: формулировки

Рабочий вариант текста под чекбоксом:

Я даю согласие ООО «Компания» (ИНН 0000000000, адрес: …) на обработку моих персональных данных — имени, телефона и email — для связи по моей заявке и консультирования по услугам. Согласие действует до его отзыва. Я могу отозвать его, направив письмо на privacy@company.ru. С политикой обработки ознакомлен.

Чего не хватает чаще всего: наименования оператора, перечня данных, цели и порядка отзыва. Ещё одна ошибка — согласие «на всё»: обработка, реклама и передача партнёрам в одном чекбоксе. Такое согласие сложно защитить.

Cookie и метрики

Cookie-баннер должен появляться до того, как загрузятся аналитические скрипты. Если Яндекс Метрика и рекламные пиксели стартуют сразу, а баннер просто сообщает о них — это не информирование, а его имитация.

Проверьте, какие домены получают данные: иногда на сайте стоят счётчики, о которых забыли. Мы находим в среднем два «лишних» сервиса на сайт.

Где хранятся заявки

Российский хостинг сайта не гарантирует соответствие, если заявки уходят на зарубежную почту или в зарубежную CRM. Проверяйте всю цепочку: форма → скрипт → почтовый сервис → CRM → резервные копии.

Отдельный риск — файлы с заявками, доступные по прямой ссылке. Такое встречается чаще, чем кажется: разработчик сохранял логи в папку, которую не закрыли.

План исправлений

1. Соберите список всех форм и скриптов на сайте.
2. Приведите текст согласия к требованиям и добавьте отдельный чекбокс.
3. Настройте cookie-баннер с отказом от аналитики.
4. Перенесите хранение заявок и почту в российские сервисы.
5. Закройте открытые файлы и логи.
6. Обновите политику и уведомление в РКН, если цели изменились.

Если нужен внешний взгляд — закажите проверку сайта или начните с бесплатного чек-листа.