Большинство проблем возникает не из-за отсутствия одного документа, а из-за расхождений между сайтом, реестром Роскомнадзора, локальными актами и тем, как персональные данные обрабатываются в действительности.
Персональные данные редко обрабатываются в одном месте. Заявки приходят через сайт, обращения сохраняются в почте и мессенджерах, сведения о клиентах попадают в CRM, данные сотрудников — в кадровые и бухгалтерские системы, а часть операций выполняют подрядчики. При этом документы часто готовятся отдельно от этих процессов и быстро перестают им соответствовать.
В результате компания может иметь политику обработки персональных данных и даже состоять в реестре Роскомнадзора, но продолжать нарушать требования закона. Например, на сайте появилась новая форма, подключён зарубежный сервис, изменился состав собираемых данных или к CRM получил доступ новый подрядчик, а документы и сведения в реестре остались прежними.
Если хотя бы одно звено описывает обработку иначе, возникает зона риска. Поэтому проверка соблюдения 152-ФЗ начинается не со скачивания шаблона, а с инвентаризации: какие данные получает бизнес, от кого, для какой цели, где хранит, кому передаёт и когда удаляет.
Оператор — государственный или муниципальный орган, юридическое либо физическое лицо, которое самостоятельно или совместно с другими лицами организует обработку персональных данных и определяет её цели, состав данных и выполняемые с ними действия.
На практике оператором может быть:
Само по себе отсутствие сайта не освобождает бизнес от обязанностей. Если компания или предприниматель работает с информацией, относящейся к определённому или определяемому человеку, нужно установить цели и правовые основания обработки, необходимые меры и применимые обязанности.
Юрист видит документы, маркетолог — формы и аналитику, кадровик — сведения сотрудников, а технический специалист — сервисы. Полной карты потоков данных нет ни у кого.
Документы перечисляют общие формулировки, но не отражают реальные цели, категории субъектов, состав данных, способы обработки и получателей.
Компания подключает новую CRM, меняет формы, запускает рассылку или нанимает подрядчика, но не проверяет, какие документы и уведомления нужно актуализировать.
Сроки хранения, доступы, ответы на обращения и уничтожение описаны в локальных актах, но сотрудники не знают, как применять эти правила.
Ниже перечислены не формальные «страшилки», а практические расхождения, которые можно обнаружить при аудите сайта, документов и внутренних процессов.
Проверка сайта начинается с фактического поведения страниц, а не только с наличия ссылки на политику. Нужно установить, какие сведения и технические идентификаторы передаются при загрузке страницы, нажатии кнопки, отправке формы и работе внешних виджетов.
Для такой проверки предусмотрена отдельная услуга — аудит и исправление сайта по 152-ФЗ. Она не заменяет полный аудит бизнеса: сайт не показывает обработку данных сотрудников, офлайн-клиентов, бухгалтерию и внутренние доступы.
По общему правилу оператор до начала обработки уведомляет Роскомнадзор о намерении обрабатывать персональные данные. Исключения предусмотрены законом, поэтому обязанность нужно оценивать по фактической ситуации, а не по размеру бизнеса или наличию сайта.
Частые ошибки:
Подать корректное уведомление помогает услуга регистрации оператора персональных данных в Роскомнадзоре. Перед подготовкой сведений необходимо разобрать используемые системы, категории сотрудников и другие реальные процессы компании.
Документы фиксируют правила, но не выполняют их вместо организации. Даже качественно подготовленный комплект не поможет, если сотрудники продолжают отправлять базы на личную почту, доступы бывших работников не закрываются, а данные хранятся без определённого срока.
Разработка документов должна начинаться с анкеты и уточнения фактической обработки. Подробнее об этой работе — на странице разработки документов по персональным данным.
Подключение сервиса не снимает ответственность с оператора. Компания должна понимать, какие данные получает поставщик, где они хранятся, какие действия выполняются и в какой роли действует каждая сторона.
Подрядчик может обрабатывать данные по поручению оператора либо действовать как самостоятельный оператор. Эти ситуации требуют разного договорного оформления. Нельзя автоматически называть поручением любую передачу сведений третьему лицу.
Требование локализации не следует пересказывать как абсолютный запрет любой обработки за рубежом. При сборе персональных данных граждан России должны соблюдаться установленные законом требования к использованию баз данных, находящихся в России. Возможная последующая трансграничная передача анализируется отдельно и требует соблюдения специального уведомительного порядка.
Кадровая обработка часто воспринимается как полностью урегулированная трудовым договором. На практике у работодателя появляются разные цели: оформление трудовых отношений, расчёт выплат, пропускной режим, публикация фотографии на сайте, добровольное медицинское страхование, обучение и передача сведений внешним сервисам.
Риски возникают, когда:
Внутренние документы должны не просто существовать, а распределять ответственность: кто получает данные, где их размещает, кому предоставляет доступ, как отвечает на обращения и кто подтверждает уничтожение.
Формулировка «храним до отзыва согласия» подходит не для каждой цели. Срок обработки связывают с конкретной целью, договором или обязанностью, установленной законом. Когда цель достигнута и иных оснований для хранения нет, оператор должен прекратить обработку и выполнить предусмотренные действия с данными.
Практическая система должна отвечать на пять вопросов:
Что храним? Конкретные данные и документы, а не абстрактную «клиентскую базу».
Для чего? Каждая категория данных связана с определённой целью.
Как долго? Срок или понятное условие его определения закреплены и применяются.
Кто имеет доступ? Права предоставляются по рабочей необходимости и пересматриваются.
Как уничтожаем? Определены способ, ответственные лица и подтверждение результата.
Отдельно учитываются бумажные носители, рабочие устройства, почта, CRM, мессенджеры, резервные копии и данные у подрядчиков. Удаление строки из основной таблицы не всегда означает прекращение хранения во всех системах.
Инцидент — это не только публикация большой базы в интернете. Неправомерный или случайный доступ может возникнуть из-за письма не тому адресату, открытой ссылки на документ, потерянного устройства, ошибочно настроенных прав в облаке или действий подрядчика.
Если установлена неправомерная или случайная передача, предоставление, распространение либо доступ к персональным данным, повлёкшие нарушение прав субъектов, закон устанавливает последовательность уведомлений Роскомнадзора: первичная информация направляется в течение 24 часов, результаты внутреннего расследования — в течение 72 часов.
К этому моменту уже должны быть определены ответственные лица, канал эскалации, порядок фиксации обстоятельств, сохранения доказательств, ограничения доступа и подготовки уведомлений.
Если инцидент уже произошёл, используйте отдельный порядок действий и страницу услуги сопровождения при утечке персональных данных.
Проверяйте не наличие отдельных файлов, а соответствие между фактической обработкой и её юридическим оформлением.
Перечислите субъектов, данные, цели, источники, системы, получателей, сроки и способы прекращения обработки.
Зафиксируйте все точки сбора, внешние скрипты, cookie, аналитику, чаты, платежи и передачу заявок в CRM.
Проверьте цели, категории субъектов и данных, способы обработки, место базы и сведения об ответственном лице.
Политика, согласия, локальные акты, поручения и инструкции должны отражать фактическую схему работы.
Определите роли, договорные основания, места хранения, субподрядчиков и возможную передачу за рубеж.
Убедитесь, что доступы, сроки хранения, уничтожение, ответы на обращения и действия при инцидентах работают на практике.
Используйте чек-лист для самостоятельной проверки: сопоставьте сайт, сведения в реестре Роскомнадзора, документы и фактические процессы работы с персональными данными.
Исправление начинается с приоритизации. Сначала устраняют действия, из-за которых данные продолжают собираться или передаваться без необходимого основания и информирования. Затем синхронизируют реестр, документы, договоры и внутренние процедуры.
Не описывать желаемую модель, а записать, как данные обрабатываются сейчас.
Сопоставить сайт, реестр, документы, системы, подрядчиков и действия сотрудников.
Остановить лишний сбор, скорректировать формы, доступы и необоснованные передачи.
Подать необходимые уведомления, подготовить документы и договорные условия.
Назначить ответственных, настроить контроль и объяснить сотрудникам их действия.
Если нужно проверить не только сайт, но и работу с клиентами, сотрудниками, сервисами и подрядчиками, подходит полный аудит бизнеса по 152-ФЗ. Если известие о проверке уже получено — используйте страницу подготовки к проверке Роскомнадзора.
Ответственность зависит от конкретного состава нарушения. Нельзя корректно назвать один «максимальный штраф за 152-ФЗ»: КоАП РФ отдельно регулирует обработку без надлежащего основания, нарушения требований к согласию, отсутствие публичной политики, неподачу уведомления, утечки и другие ситуации.
Например, часть 10 статьи 13.11 КоАП РФ предусматривает для юридических лиц штраф от 100 000 до 300 000 рублей за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные. За неуведомление об инциденте установлен отдельный состав ответственности.
Помимо штрафа возможны предписание об устранении нарушения, требования субъектов, судебный спор, необходимость срочно перестраивать процессы и репутационные последствия. Но задача аудита — не запугать, а определить конкретные несоответствия и понятный порядок их исправления.
«Проверка 152-ФЗ не должна сводиться к вопросу, есть ли у компании политика. Надёжная отправная точка — пройти путь данных от момента получения до удаления и на каждом этапе сопоставить сайт, реестр, документы, системы и действия сотрудников».
Татьяна Цыхманова
Генеральный директор ООО «Онлайн услуги 24», автор материала
Нет. Политика — только один элемент системы. Нужно проверить формы и сервисы сайта, правовые основания, сведения в реестре Роскомнадзора, локальные документы, подрядчиков, доступы, сроки хранения и фактические действия сотрудников.
По общему правилу оператор уведомляет Роскомнадзор до начала обработки персональных данных. Закон содержит исключения, поэтому обязанность нужно определять по реальным процессам конкретной компании, а не только по её организационно-правовой форме или наличию сайта.
Да, если ИП самостоятельно определяет цели обработки и работает с персональными данными клиентов, сотрудников, соискателей или других физических лиц. Но набор обязанностей и наличие исключений оцениваются с учётом конкретной обработки.
Шаблон может быть только основой. Если он не отражает фактические цели, данные, субъектов, системы, получателей и сроки хранения, документ не устраняет нарушение и способен создать дополнительные противоречия.
Оценка зависит от содержания и использования идентификатора. Нужно проверить, позволяет ли он прямо или косвенно определить пользователя, кто получает сведения и для каких целей. Поэтому анализируется фактическая работа cookie и подключённых сервисов.
Единого запрета на любой иностранный сервис нет. Но его использование нужно проверить с точки зрения локализации, трансграничной передачи, правового основания, состава передаваемых сведений и договорных условий. Один и тот же сервис может использоваться по-разному.
Аудит сайта охватывает формы, согласия, политику, cookie, аналитику, виджеты и передачу заявок. Полный аудит дополнительно проверяет сотрудников, клиентов вне сайта, CRM, бухгалтерию, подрядчиков, доступы, хранение, уничтожение, реестр и внутренние процедуры.
Сначала зафиксируйте фактическую ситуацию и прекратите продолжающиеся действия с очевидно необоснованным сбором или доступом. Затем определите затронутые процессы, исправьте сайт и настройки, актуализируйте реестр и документы, распределите обязанности и сохраните подтверждения выполненных действий.
Дата проверки нормативной информации: 3 сентября 2026 года.
Сопоставим сайт, реестр Роскомнадзора, документы, сервисы, подрядчиков и действия сотрудников. По результатам определим приоритетные исправления.
