Как проверить сайт на соответствие 152-ФЗ

Проверить себя можно за один вечер и без юриста. Смысл проверки простой: сначала выяснить, какие данные сайт на самом деле собирает, а потом сверить это с тем, что написано в документах. Почти все проблемы возникают в разрыве между этими двумя списками.

Ниже — порядок, в котором это удобно делать самому.

Шаг 1. Выпишите все формы

Пройдите по сайту и выпишите каждое место, где посетитель что-то вводит:

• форма заявки или обратной связи;
• обратный звонок;
• запись на приём или бронирование;
• оформление заказа и корзина;
• подписка на рассылку;
• форма отклика на вакансию;
• комментарии и отзывы.

Для каждой запишите, какие поля она просит: имя, телефон, почта, адрес доставки, комментарий. Это и есть список данных, которые вы собираете через сайт.

Отдельно отметьте формы, про которые вы забыли: всплывающее окно со скидкой, виджет в углу, форма в подвале. Они собирают данные ровно так же, как основная.

Шаг 2. Посмотрите, какие сервисы подключены

Это то место, где список почти всегда оказывается длиннее ожидаемого. Данные посетителей получают не только формы, но и подключённые сервисы:

• счётчики и аналитика;
• онлайн-чаты и виджеты обратной связи;
• рекламные пиксели и системы ретаргетинга;
• CRM, куда падают заявки;
• платёжные сервисы;
• сервисы отзывов, карт, видео и подобные виджеты.

Как узнать, что стоит на сайте: спросите того, кто его поддерживает, посмотрите в админке подключённые интеграции или откройте исходный код страницы и поищите знакомые названия. Если сайт делали давно и подрядчик сменился, скорее всего там есть что-то, о чём вы не знаете.

Шаг 3. Проверьте, что документы есть и что их видно

Откройте сайт глазами посетителя:

• есть ли на сайте политика обработки персональных данных;
• есть ли на неё ссылка внизу сайта, и открывается ли она;
• есть ли рядом с формой понятное согласие и ссылка на документы;
• как оформлен чекбокс: он не должен быть отмечен заранее;
• есть ли уведомление о cookie, если на сайте стоят счётчики.

Отдельно проверьте ссылки: документ, на который ведёт битая ссылка, для посетителя не существует.

Шаг 4. Сверьте документ с реальностью

Это главный шаг, и его чаще всего пропускают. Возьмите список из шагов 1 и 2 и пройдитесь по тексту политики:

• перечислены ли там те данные, которые реально просят ваши формы;
• названы ли сервисы, которые стоят на сайте;
• указано ли, кому данные передаются;
• совпадают ли цели с тем, зачем вы на самом деле собираете заявки.

Если политику скопировали с другого сайта, здесь почти наверняка обнаружится расхождение: чужой документ описывает чужие формы и чужие сервисы. Юридически грамотный текст, который описывает не вашу обработку, задачу не решает.

Шаг 5. Добавьте то, чего сайт не видит

Часть обработки не видна на странице вообще, но она есть:

• заявки, которые приходят по телефону;
• обращения в мессенджерах и соцсетях;
• анкеты и резюме кандидатов;
• данные сотрудников;
• бумажные договоры и заявки.

Это тоже персональные данные, и в документах они должны быть отражены. Узнать о них можно только от вас — ни один автоматический анализ страницы их не покажет.

Короткий чек-лист

Что делать с результатом

Если расхождений нет — хорошо, документы описывают вашу реальную работу. Если есть, порядок исправления обычно такой: сначала собрать полный список данных и сервисов, потом переписать политику и согласие под него, потом разместить тексты рядом с формами и внизу сайта.

И помните про границу: документы на сайте закрывают публичную, видимую часть. Внутренние приказы, назначение ответственного за обработку, договоры с подрядчиками и фактические меры защиты — отдельная работа, и эта проверка её не заменяет.