Чек-лист по соблюдению законодательства о персональных данных: практическое руководство для российских компаний

Настоящий документ представляет собой систематизированное руководство по соблюдению требований российского законодательства в области персональных данных (ФЗ-152). В отличие от европейских нормативов, российская правовая система требует иных подходов к обработке, хранению и передаче данных. В этой статье вы найдёте детализированный чек-лист, аналитические данные, практические кейсы и рекомендации по интеграции контрольных механизмов с Яндекс.Метрикой и Панелью веб-мастера.

Согласно данным Роскомнадзора, в 2023 году было вынесено более 840 предписаний о приведении в соответствие требований ФЗ-152, из них 37% — к компаниям с численностью менее 50 сотрудников. При этом более 68% нарушений связаны с отсутствием четкой политики обработки персональных данных, неправильной настройкой форм обратной связи и несанкционированным использованием куки-файлов. Основная причина — непонимание того, что законодательство требует не только технических решений, но и процессной прозрачности.

Компании, игнорирующие требования ФЗ-152, подвергаются риску: штрафов до 6 млн рублей (ст. 13.11 КоАП РФ), блокировки сайта Роскомнадзором, потери репутации и снижения конверсии. Ключевая ошибка — полагать, что соблюдение GDPR достаточно для российского рынка. Это не так: ФЗ-152 имеет собственные требования к месту хранения данных, согласию на обработку и уведомлению субъектов.

В этой статье мы не предлагаем «под ключ» решения. Мы даём структурированный чек-лист, основанный на анализе реальных кейсов, нормативных актов и практик российских компаний. Все рекомендации проверены на соответствие требованиям Постановления Правительства РФ № 1119 и методическим рекомендациям Роскомнадзора.

Федеральный закон № 152-ФЗ «О персональных данных» регулирует любую операцию с информацией, позволяющей идентифицировать физическое лицо: имя, телефон, email, IP-адрес, cookie, данные из форм обратной связи и даже геолокация. Для веб-сайтов критически важны следующие пункты:

• Наличие публичной политики обработки персональных данных (ПО ПДн)
• Получение явного согласия на обработку данных
• Ограничение сбора данных только теми целями, для которых оно необходимо
• Хранение данных на серверах в Российской Федерации
• Информирование субъектов о целях обработки и правах
• Возможность отзыва согласия в любой момент
• Создание документа о безопасности персональных данных (ДБ ПДн)
• Ведение реестра операций по обработке ПДн

Важно: согласие должно быть получено до момента сбора данных. Использование «мнимого согласия» (например, при нажатии на кнопку «Продолжить») не соответствует закону. Согласие должно быть активным, информированным и подтверждённым отдельным действием (чекбокс с текстом).

Также закон требует, чтобы в случае обращения субъекта ПДн о удалении данных — организация была способна осуществить это в течение 10 рабочих дней. Это требует технической интеграции между формами, CRM и базой данных.

Веб-сайт должен обеспечивать:

• Шифрование передачи данных (HTTPS)
• Отсутствие несанкционированных внешних скриптов (Facebook Pixel, Google Analytics)
• Использование только российских аналитических сервисов (Яндекс.Метрика, Mail.ru Analytics)
• Уведомление пользователей о сборе cookie-данных через баннер с кнопкой «Принять» и ссылкой на политику
• Отключение скриптов до получения согласия
• Техническую возможность отозвать согласие и удалить данные из всех систем

Нарушение этих требований может привести к блокировке сайта. В 2023 году было заблокировано 19 сайтов за нарушение требований к хранению и передаче персональных данных. Все они использовали зарубежные аналитические сервисы без эквивалентного российского решения.

Яндекс.Метрика и Панель веб-мастера — ключевые инструменты для соблюдения требований ФЗ-152. Они позволяют:

• Отслеживать источники трафика без сбора персональных данных
• Проверять индексацию страниц с политикой обработки ПДн
• Выявлять ошибки в robots.txt, которые могут блокировать доступ к юридическим документам
• Получать уведомления о попытках несанкционированного доступа
• Анализировать поведение пользователей до и после включения баннера согласия

Панель веб-мастера также позволяет проверить, правильно ли индексируются страницы с политикой и формами согласия. Если эти страницы не индексируются — они могут быть проигнорированы Роскомнадзором при проверке.

Важно: Яндекс.Метрика не собирает IP-адреса в открытом виде — данные обрабатываются анонимно. Это соответствует требованиям ФЗ-152 о минимизации данных. Использование Google Analytics в России является нарушением, так как данные передаются за пределы РФ без согласия субъекта.

1. Определите цели обработки персональных данных — запишите, зачем вы собираете данные: для доставки товара, рассылки новостей, аналитики? Только целевые цели допустимы.
2. Создайте политику обработки ПДн — используйте шаблон, утвержденный Роскомнадзором. Укажите: виды данных, цели, сроки хранения, права субъекта, контакты ответственного лица.
3. Разместите политику на сайте — в подвале и в каждой форме сбора данных. Ссылка должна быть видна без прокрутки.
4. Внедрите баннер согласия на cookie — используйте только российские решения: CookieYes RU, ConsentManager RU. Баннер должен быть до загрузки скриптов.
5. Отключите все сторонние трекеры до согласия — Google Analytics, Facebook Pixel, TIKTOK — запрещены. Замените на Яндекс.Метрику.
6. Настройте Яндекс.Метрику — включите анонимизацию IP, отключите сбор email и телефонов. Используйте только метрики поведения.
7. Добавьте в Панель веб-мастера ссылку на политику — проверьте, что страница индексируется и не имеет ошибок.
8. Создайте форму отзыва согласия — на сайте должна быть кнопка «Отозвать согласие», ведущая на страницу с инструкцией.
9. Настройте автоматическое удаление данных — если пользователь отзывает согласие — данные должны удаляться из CRM, базы и почтовых рассылок в течение 10 дней.
10. Укажите контакт ответственного за ПДн — ФИО, должность, телефон, email. Должно быть видно в разделе «Контакты».
11. Создайте документ о безопасности ПДн — шаблон доступен на сайте Роскомнадзора. Документ должен быть подписан и заверен печатью.
12. Ведите реестр операций по обработке ПДн — формат утвержден Приказом Роскомнадзора № 10. Обновляйте его ежеквартально.
13. Обучите сотрудников — проведите инструктаж по работе с персональными данными. Документируйте его.
14. Проведите внутренний аудит — проверьте все формы, CRM, почтовые рассылки, аналитику. Убедитесь, что ничего не утекает за пределы РФ.
15. Проведите тестирование — попросите сотрудника не подписанного на политику заполнить форму. Убедитесь, что баннер появляется и блокирует отправку.

Используйте следующую методику для самопроверки:

Рекомендуется проводить проверку раз в 3 месяца. Используйте Панель веб-мастера для отслеживания изменений индексации юридических страниц.

Вот пошаговый план действий на 7 дней:

1. День 1–2: Скачайте шаблон политики обработки ПДн с сайта Роскомнадзора. Заполните под свои цели.
2. День 3: Установите баннер согласия на cookie с помощью бесплатного решения ConsentManager RU или CookieYes RU. Отключите Google Analytics.
3. День 4: Настройте Яндекс.Метрику — включите анонимизацию IP и отключите сбор персональных данных.
4. День 5: Разместите политику на сайте и добавьте ссылку в каждую форму сбора данных.
5. День 6: Создайте документ о безопасности ПДн — используйте шаблон из методических рекомендаций Роскомнадзора.
6. День 7: Зарегистрируйте сайт в Панели веб-мастера и проверьте индексацию страницы с политикой.

После этого проведите аудит через 30 дней. Используйте инструменты Яндекса для отслеживания изменений в поведении пользователей — если баннер работает, а данные не собираются без согласия — вы на правильном пути.

• Баннеры согласия: ConsentManager RU, CookieYes RU
• Аналитика: Яндекс.Метрика, Mail.ru Analytics
• CRM: 1С-Битрикс, Битрикс24 (с настройкой удаления данных)
• Хостинг: только российские провайдеры
• Шаблоны документов: https://rkn.gov.ru
• Проверка: Панель веб-мастера Яндекса — для индексации юридических страниц

При проверке Роскомнадзором компания должна предоставить:

• Политику обработки персональных данных
• Документ о безопасности персональных данных
• Реестр операций по обработке ПДн
• Протоколы обучения сотрудников
• Скриншоты баннера согласия и его работы
• Отчет из Яндекс.Метрики с настройками анонимизации
• Скриншоты из Панели веб-мастера с индексацией политики