Аудит сайта на соответствие 152-ФЗ

Кого это касается

Любого сайта, где есть форма с именем, телефоном, почтой или адресом. Форма обратной связи, запись на приём, подписка, заказ, отзыв, чат — это всё сбор персональных данных, и он подпадает под закон.

Распространённое заблуждение: «мы маленькие, нас это не касается». Касается: закон не делает исключений по размеру, а проверки начинаются не с выездной ревизии, а с обращения человека или с автоматической проверки сайта.

Что обычно находится

• Политики нет вовсе или она есть, но не открывается по ссылке.
• Политика написана про другой сайт — скачана из интернета, в ней перечислены данные, которых вы не собираете, и не перечислены те, что собираете. Это хуже, чем ничего: документ подтверждает, что вы не разбирались.
• Согласие не запрашивается или галочка стоит по умолчанию. Заранее отмеченная галочка согласием не считается.
• Счётчики и виджеты не описаны. Метрика, карты, чат, кнопки соцсетей — каждый из них собирает данные и должен быть упомянут.
• Файлы с данными лежат в открытом доступе. Самая опасная находка: выгрузка заявок или список клиентов, который отдаётся по прямой ссылке всем, кто её угадает. Такое всплывает регулярно и стоит дороже всех остальных нарушений вместе.

Как я проверяю

1. Снаружи. Прохожу по сайту как посетитель: все формы, все обязательные поля, все ссылки на документы, все сторонние скрипты на страницах.
2. Сверяю с документом. Каждое поле каждой формы должно быть описано в политике. Расхождение — нарушение, даже если политика есть.
3. Изнутри, если есть доступ. Где лежат заявки, кто их видит, есть ли резервные копии с данными в незащищённом месте, не отдаёт ли сервер лишнего в обход настроек сайта.
4. Отчёт. Список находок с приоритетом: что чинить сегодня, что на неделе, что можно спокойно.

Что я не делаю

Я не юрист и не даю юридических заключений. Моя часть — техническая: что сайт делает на самом деле, что об этом написано и где расхождение. Финальную формулировку документов и вопросы вашего правового статуса лучше проверить с юристом.

Как это выглядит на моём собственном сайте

Проще всего показать на себе. У формы на этом сайте — обязательная галочка согласия, которая не проставлена заранее. Каждое поле формы перечислено в политике. Разделы политики про аналитику и cookie меняются автоматически вместе с настройками сайта, чтобы документ не мог разойтись с тем, что происходит на самом деле. Отдельный автоматический тест проверяет, что новое поле формы не появится без упоминания в политике.