План приведения сайта в соответствие 152-ФЗ
Дата проверки: —
Выполнено: 0 из 23 применимых пунктов (0%)
Задачи по приоритету
| Приоритет | Задача | Статус | Основание |
|---|---|---|---|
| Высокий | Политика обработки персональных данных опубликована на сайте и доступна со страниц, где собираются данные | Не проверено | Оператор обязан обеспечить неограниченный доступ к политике; при сборе данных через сайт — опубликовать её там (ст. 18.1 152-ФЗ). |
| Высокий | Согласие на обработку ПДн оформлено отдельным документом, а не пунктом политики, оферты или пользовательского соглашения | Не проверено | С 1 сентября 2025 года согласие должно оформляться отдельно от иных документов, которые подтверждает субъект. |
| Высокий | Галочка согласия не стоит заранее; форма не отправляется без неё | Не проверено | Предустановленная галочка не подтверждает сознательного согласия. |
| Высокий | Подано уведомление в Роскомнадзор о намерении осуществлять обработку ПДн, сведения в реестре актуальны | Не проверено | Уведомление подаётся до начала обработки; при изменении сведений — обновляется (ст. 22). |
| Высокий | Если данные передаются за рубеж (иностранные сервисы аналитики, рассылок, CRM, хостинга), подано уведомление о трансграничной передаче | Не проверено | С 1 марта 2023 года оператор обязан уведомить Роскомнадзор до начала трансграничной передачи (ст. 12). |
| Высокий | Базы данных с ПДн граждан РФ (сайт, CRM, почта, бэкапы) записываются и хранятся на серверах в России | Не проверено | Запись, систематизация, накопление и хранение ПДн граждан РФ — с использованием баз данных в РФ (ч. 5 ст. 18). |
| Высокий | Сайт работает только по HTTPS, включая формы и админку | Не проверено | Передача данных без шифрования — базовая уязвимость. |
| Высокий | Есть порядок реагирования на утечку: уведомление Роскомнадзора в течение 24 часов и результаты расследования — в течение 72 часов | Не проверено | Сроки уведомления установлены ч. 3.1 ст. 21 152-ФЗ; за утечки с 30.05.2025 действуют повышенные штрафы. |
| Средний | В согласии указаны оператор, цели, перечень данных, действия с ними, срок и порядок отзыва | Не проверено | Согласие должно быть конкретным, предметным, информированным и сознательным (ст. 9). |
| Средний | Формы запрашивают только необходимые данные | Не проверено | Объём данных должен соответствовать целям обработки — лишнее поле означает лишний риск и вопросы проверяющих. |
| Средний | Согласие на рекламные рассылки получается отдельно от согласия на обработку заявки | Не проверено | Реклама по сетям электросвязи допускается только с предварительного согласия абонента (ст. 18 закона «О рекламе»). |
| Средний | С хостингом, CRM, колл-центром и другими обработчиками заключены договоры с поручением на обработку | Не проверено | Поручение должно содержать перечень действий, цели и требования к защите (ч. 3 ст. 6). |
| Средний | Определены сроки хранения; данные удаляются по достижении целей или при отзыве согласия | Не проверено | Хранить данные дольше, чем требуют цели, нельзя; удаление нужно подтверждать актом. |
| Средний | Баннер cookie информирует о сборе данных и даёт выбор; счётчики аналитики включаются по согласию | Не проверено | Идентификаторы и данные аналитики в связке с другими сведениями могут считаться ПДн; практика регулятора развивается — безопаснее получать согласие. |
| Средний | Запись сессий (Вебвизор и аналоги) не сохраняет содержимое полей с персональными данными | Не проверено | Иначе данные из форм оказываются у сервиса аналитики без отдельного основания. |
| Средний | Доступ к админке и CRM — персональные учётные записи с двухфакторной аутентификацией | Не проверено | Разграничение доступа и учёт действий — обязательные меры защиты (ст. 19). |
| Средний | Резервные копии с ПДн шифруются, хранятся в РФ и проверяются восстановлением | Не проверено | Бэкап — та же база данных: на него распространяются требования локализации и защиты. |
| Средний | Определён уровень защищённости ИСПДн и выбраны меры защиты | Не проверено | Требования к защите установлены постановлением Правительства № 1119 и приказом ФСТЭК № 21. |
| Средний | Есть канал для запросов субъектов, ответы даются в течение 10 рабочих дней | Не проверено | Срок ответа на запрос субъекта — 10 рабочих дней, может быть продлён на 5 с уведомлением (ст. 14, 20). |
| Средний | Назначен ответственный за организацию обработки персональных данных | Не проверено | Для юрлиц-операторов обязательно (ст. 22.1). |
| Средний | Изданы локальные акты: положение об обработке ПДн, перечень обрабатываемых данных, допуск сотрудников | Не проверено | Документы, определяющие политику и процедуры, обязательны (ст. 18.1). |
| Низкий | Проведена и оформлена оценка вреда, который может быть причинён субъектам | Не проверено | Требование ст. 18.1; порядок утверждён приказом Роскомнадзора. |
| Низкий | Сотрудники, работающие с ПДн, ознакомлены с политикой и локальными актами под подпись | Не проверено | Ознакомление работников — часть обязательных организационных мер. |
Выполнено
Пока ни один пункт не отмечен как выполненный.
Чек-лист levitsky-c.ru/instrumenty/chek-list-152-fz. Не является юридической консультацией: итоговый перечень мер согласуйте с юристом.