152‑ФЗ для сайта под ключ: проверка, документы и уведомление в Роскомнадзор

Пример из проверок малого бизнеса. В политике такого сайта обычно написано, что данные третьим лицам не передаются.

• до 300 000 ₽Не подано уведомление в Роскомнадзор ч. 10 ст. 13.11 КоАП, для ИП как для юрлица
• до 300 000 ₽Обработка без законного основания ч. 1 ст. 13.11 КоАП
• до 60 000 ₽Политика не опубликована ч. 3 ст. 13.11 КоАП

Указаны верхние границы для юрлиц. Точная сумма зависит от статуса и обстоятельств.

Большинство нарушений не видно на странице. Они в том, куда форма отправляет заявку, какие скрипты подгружаются и кто получает IP посетителей. Я разбираю это как специалист по информационной безопасности:

• смотрю сетевые запросы сайта и нахожу всех получателей данных;
• ищу открытые токены, ключи и папки с заявками;
• сам меняю политику и согласие на сайте;
• пишу политику и уведомление по тому, что нашёл.

Google Fonts, reCAPTCHA, Google Analytics, зарубежные чаты и CRM передают данные посетителей и клиентов на серверы за рубежом. Для этого нужно отдельное уведомление в Роскомнадзор, не то, что подаётся о начале обработки, и подать его нужно до начала передачи (ст. 12 ч. 3 152-ФЗ).

В уведомлении указываются цель и правовое основание передачи, категории данных и субъектов, страны и дата оценки того, как получатель защищает данные (ст. 12 ч. 4). Если страны нет в перечне государств с адекватной защитой, который утверждает Роскомнадзор, передавать данные нельзя, пока не пройдут 10 рабочих дней на рассмотрение уведомления (ст. 12 ч. 9 и 11).

Часто проще убрать саму передачу: разместить шрифты на свой сервер, заменить капчу и аналитику российскими. Так сделано и на этом сайте. Если без зарубежного сервиса не обойтись, готовлю уведомление. Про cookie и счётчики - отдельно на странице cookie на сайте и 152-ФЗ.

1. Проверка сайта

   Смотрю формы, скрипты и сетевые запросы. За 1 день присылаю список нарушений и точную смету. Внешняя проверка входит в стоимость: всё, что видно снаружи, и куда сайт отправляет данные. Если нужно разбираться глубже, в коде, на сервере и в интеграциях, это плюс 5 000 ₽.

2. Политика, согласие и другие документы

   Политика обработки персональных данных для сайта, согласие на обработку персональных данных для каждой формы, оценка вреда, уровень защищённости, приказ о назначении ответственного за обработку персональных данных. Если есть сотрудники, делаю и документы по персональным данным кадрового учёта.

3. Политика и согласие на сайте

   Ставлю новую политику, добавляю к каждой форме чекбокс согласия на обработку персональных данных и ссылку на политику. Если нужно, ставлю cookie-баннер. По скриптам и сторонним сервисам - рекомендации в отчёте о проверке.

4. Уведомление в Роскомнадзор

   Готовлю уведомление об обработке персональных данных, при необходимости отдельно о трансграничной передаче. Подаю его сам по вашей доверенности или вы отправляете его сами через Госуслуги, с электронной подписью или почтой по моей инструкции - как вам удобнее. Роскомнадзор вносит сведения в реестр в течение 30 дней. Если у Роскомнадзора появятся вопросы, помогу с перепиской.

• Уведомление в Роскомнадзор для ИП и самозанятых: нужно ли подавать, в том числе без сотрудников.
• Персональные данные в салоне красоты и частной клинике: данные о здоровье, фото "до и после", онлайн-запись.
• Cookie на сайте: когда нужно согласие и что делать с Яндекс Метрикой.

• Под ключ

  - 19 000 ₽ - Внешняя проверка сайта, пакет документов с приказом о назначении ответственного, новая политика, чекбоксы согласия и cookie-баннер на сайте, уведомление в Роскомнадзор и помощь с перепиской, если у него будут вопросы. Плюс уведомление о трансграничной передаче, если требуется.

• Документы и уведомление

  - 14 000 ₽ - Внешняя проверка сайта, пакет документов с приказом о назначении ответственного, уведомление в Роскомнадзор и помощь с перепиской, если у него будут вопросы. Политику и согласие на сайте размещает ваш программист. Плюс уведомление о трансграничной передаче, если требуется.

• Только уведомление

  - 9 000 ₽ - Подготовлю и подам уведомление в Роскомнадзор, если политика и согласия у вас уже в порядке. Помогу с перепиской, если у Роскомнадзора будут вопросы. Плюс уведомление о трансграничной передаче, если требуется.

Срок - до 5 рабочих дней. Если я задержу документы дольше срока, скидка 50%. После подачи Роскомнадзор вносит сведения в реестр в течение 30 дней.

Предоплата 50%, остаток - после результата. Подробнее - в разделе договор и оплата.

Внешняя проверка входит в цену. Если нужна глубокая проверка кода, сервера и интеграций - плюс 5 000 ₽.

В пакете "Под ключ" на сайте ставлю новую политику, добавляю чекбокс согласия к каждой форме и, если нужен, cookie-баннер. Замена скриптов и сторонних сервисов в пакеты не входит, по ним даю рекомендации в отчёте о проверке.

Документы по персональным данным сотрудников для кадрового учёта тоже делаю.

Цены и срок указаны для малого бизнеса. Для компаний со штатом и несколькими системами цена и срок после проверки. Работаю как самозанятый, выдаю чек.

После проверки присылаю вам предложение: тариф, цену, срок и что нужно от вас. Договор заключается, когда вы вносите предоплату по этому предложению, отдельно подписывать ничего не нужно. Работаю только с теми, кому сам отправил предложение. Полные условия договора - в PDF ниже.

Предоплата 50%, остаток - после результата: когда документы готовы, политика и согласие стоят на сайте, уведомление подано мной или передано вам для отправки.

Оплатить можно по СБП, переводом на карту или по счёту с расчётного счёта - для ООО и ИП. После каждой оплаты выдаю чек из "Мой налог". Я самозанятый, НДС нет.

• адрес сайта;
• куда приходят заявки: почта, CRM, сервис записи, мессенджеры;
• ФИО или название, ИНН и адрес: они указываются в уведомлении (ст. 22 ч. 3 152-ФЗ);
• кто будет ответственным за обработку персональных данных: его ФИО, телефон, почта и адрес тоже указываются в уведомлении;
• есть ли сотрудники и где хранится база клиентов: на каком сервере или в каком сервисе;
• для пакета "Под ключ" - доступ к сайту, как описано ниже;
• подпись под уведомлением: оно подаётся от вашего имени и подписывается вами или вашим представителем (ст. 22 ч. 3 152-ФЗ). Если подаю я, нужна доверенность.

Если чего-то не знаете, например куда уходят заявки, это будет видно на проверке.

Для внешней проверки доступ не нужен: смотрю сайт так же, как его видит посетитель, и записываю, куда он отправляет данные.

Для пакета "Под ключ" нужен вход в админку сайта, чтобы поставить политику и чекбоксы согласия. Для глубокой проверки - ещё доступ к хостингу или серверу. Мне требуется отдельный пользователь для проведения работ, после их проведения его необходимо удалить. Свой логин и пароль не присылайте.

Персональные данные ваших клиентов, которые я вижу при работе, не копирую и никому не передаю. Условия поручения обработки - в разделе 6 условий договора.

Так выглядит отчёт, который присылаю после проверки. Сайт условный, нарушения - типичные для малого бизнеса.

Сайт салона красоты, внешняя проверка. Проверены формы, подключённые скрипты, сетевые запросы, cookie и исходный код страниц.

В конце отчёта - что входит в выбранный пакет, что сделать вашему программисту и точная цена.

Рассмотрю ваш сайт, назову цену и пришлю предложение.

• Телефон+7 983 569-84-12
• Telegram@vladimirsmolen
• Почтаsmolenskiy.vl@gmail.com