Аудит сайта на соответствие требованиям 152-ФЗ

Проверю, как сайт собирает персональные данные, и покажу, какие формы, документы и подключенные сервисы требуют исправления.

Интернет-магазин получает данные покупателя не только во время оформления заказа. Имя, телефон и электронная почта могут передаваться через обратный звонок, регистрацию, подписку, форму вопроса о товаре или заявку на консультацию.

Есть и менее заметная часть: файлы cookie, сервисы аналитики, онлайн-чаты, виджеты и другие подключенные инструменты. Посетитель может ничего не вводить вручную, но сайт уже начинает передавать техническую информацию стороннему сервису.

Одна ссылка на политику конфиденциальности в подвале не решает все вопросы. Документы должны соответствовать реальным формам и сервисам сайта. Если в политике написано одно, а данные фактически уходят совсем в другое место, документ не описывает настоящую работу сайта.

Где я буду искать сбор персональных данных

• в форме оформления заказа;
• при регистрации и входе в личный кабинет;
• в форме обратного звонка;
• в заявке на консультацию;
• при подписке на новости и рассылку;
• в отзывах и вопросах о товарах;
• в формах быстрого заказа;
• в онлайн-чатах и виджетах связи;
• в сервисах аналитики;
• в подключенных платежных и почтовых сервисах;
• в инструментах доставки и расчета стоимости;
• в файлах cookie и сторонних скриптах.

Список будет зависеть от конкретного сайта. Небольшой каталог с одной формой обратной связи и интернет-магазин с личным кабинетом, оплатой, доставкой и CRM обрабатывают данные по-разному. Проверять их по одному короткому чек-листу нельзя.

Что я проверю на сайте

• какие персональные данные запрашивает каждая форма;
• для чего собираются эти сведения;
• есть ли рядом с формами необходимые согласия;
• не объединено ли согласие с правилами, офертой или другими документами;
• как оформлены чекбоксы перед отправкой данных;
• может ли посетитель заранее открыть и прочитать текст согласия;
• размещена ли на сайте политика обработки персональных данных;
• соответствуют ли документы фактической работе форм;
• правильно ли указаны оператор и его контактные данные;
• какие системы аналитики, чаты и сторонние виджеты подключены;
• куда отправляются заявки и где они сохраняются;
• использует ли сайт иностранные сервисы;
• сообщает ли сайт посетителю об использовании cookie;
• есть ли оператор в реестре Роскомнадзора;
• совпадают ли открытые сведения реестра с тем, что происходит на сайте.

Также я обращу внимание на лишние поля. Если для обратного звонка достаточно номера телефона, запрашивать одновременно имя, дату рождения, адрес и другие сведения без понятной цели не стоит.

Что вы получите после проверки

Я соберу найденные проблемы в понятный отчет. Для каждой укажу страницу или форму, приложу скриншот и напишу, что именно вызывает вопрос. Рядом будет рекомендация: изменить текст, добавить отдельное согласие, убрать лишнее поле, проверить сервис или передать документ юристу.

Ошибки будут разделены по важности. Сначала можно заняться формами, через которые сайт прямо сейчас получает данные покупателей, затем документами и менее заметными подключениями. Такой порядок удобнее, чем пытаться переделать всё за один день.

Если речь идет о небольшом техническом изменении, я покажу, где его внести. Например, куда поставить чекбокс, какую ссылку добавить рядом с кнопкой или на какой странице разместить документ. Сложные юридические формулировки лучше дополнительно согласовать с профильным юристом.

Что не входит в аудит сайта

Проверка сайта не заменяет полный аудит работы компании с персональными данными. По открытым страницам нельзя узнать, как хранятся бумажные договоры, кто из сотрудников имеет доступ к базе клиентов и как удаляются сведения после окончания срока обработки.

В услугу также не входит подготовка кадровых документов, внутренних приказов, моделей угроз и полного комплекта локальных актов организации. Подача уведомления в Роскомнадзор, подготовка документов и техническое внесение исправлений на сайт рассчитываются отдельно.

Я не буду обещать, что один чекбокс или новый текст в подвале полностью защитит бизнес от претензий. Задача аудита — найти видимые проблемы сайта, проверить связанные с ним сервисы и составить понятный список того, что нужно привести в порядок.

Сколько стоит аудит по 152-ФЗ

Стоимость начинается от 15 000 ₽. В эту цену входит ручная проверка одного сайта, его форм, документов, cookie, аналитики, виджетов и открытых сведений об операторе персональных данных.

Цена может быть выше, если у проекта несколько доменов, сложный личный кабинет, много форм, мобильное приложение или большое количество сторонних сервисов. В таком случае сначала нужно определить, какие страницы и маршруты передачи данных относятся к проверке.

Устранение найденных замечаний в базовую цену аудита не входит. После отчета вы сможете исправить их самостоятельно, передать своему разработчику или отдельно заказать техническую доработку сайта.

Что потребуется для начала

Сначала достаточно прислать ссылку на сайт и указать, кому он принадлежит: самозанятому, ИП или организации. Также полезно перечислить сервисы, в которые поступают заявки: CRM, электронная почта, система рассылок, онлайн-касса или программа учета.

Первую часть проверки можно провести по открытым страницам. Если потребуется понять, куда фактически отправляется форма или какой скрипт устанавливает cookie, может понадобиться доступ к административной панели и файлам сайта.

После аудита у вас будет конкретный список страниц, форм и документов, которые нужно исправить, а не общая рекомендация «привести сайт в соответствие требованиям закона».