Классическая выездная проверка с инспектором — для сайта малого бизнеса редкость. Гораздо чаще Роскомнадзор смотрит сайт сам: через мониторинг без взаимодействия с компанией, по жалобе посетителя или в связи с инцидентом — утечкой данных. Поэтому сайт должен «проходить проверку» в любой день, без подготовки.
Что видно с сайта без доступа к нему
- Формы — есть ли отдельная галочка согласия, ссылка на текст согласия и политику (как должно быть).
- Политика — опубликована ли, кто оператор, соответствует ли формам и счётчикам (что в ней проверить).
- Счётчики и cookie — запускаются ли Метрика и пиксели до согласия (о cookie).
- Зарубежные сервисы — шрифты, капча, аналитика, которые передают данные за рубеж (о трансграничной передаче).
- Вход и регистрация — нет ли входа через Google и иностранную почту (по 406-ФЗ).
- Реестр операторов — есть ли компания в реестре (как подать уведомление).
Если пришёл запрос
Роскомнадзор может запросить документы и сведения об обработке. Ответить нужно в срок, указанный в запросе. Держите готовыми:
- приказ о назначении ответственного за обработку данных;
- политику и тексты согласий для каждой формы;
- перечень мер защиты данных (по ст. 19 152-ФЗ);
- договоры поручения с подрядчиками и сервисами;
- журнал согласий — кто, когда и на что согласился;
- сведения о том, где хранятся данные (локализация).
Все суммы штрафов по 152-ФЗ — в статьях «Штрафы по 152-ФЗ для сайта» и «Штрафы за утечку персональных данных».
Жалобы посетителей
Частый повод для внимания Роскомнадзора — жалоба человека, которому не ответили на запрос об удалении данных или продолжают слать рассылку после отписки. Отвечайте на такие письма в срок (сроки и порядок).
Как подготовиться за вечер
Пройдите самоаудит сайта по 152-ФЗ и общий чек-лист требований. Cookie-баннер, согласия в формах и запуск счётчиков после согласия закрывает «Согласие 152-ФЗ», технические меры защиты — «Защита 24/7».
