- Чаще всего штрафуют за формальную политику, формы без согласия и отсутствие в реестре операторов.
- Проверка дистанционная и начинается с жалобы или мониторинга сайта.
- Утечка это самая дорогая категория, с оборотными штрафами за повтор и обязанностью уведомить РКН.
- Запрос ведомства нельзя игнорировать: исправление до решения учитывается.
Проверим сайт по 152-ФЗ и приведём документы в порядок, от 10 000 ₽.
Большинство штрафов за персональные данные получают не за хакерские атаки, а за простые вещи: чужая политика в подвале, форма без чекбокса, отсутствие в реестре операторов. Роскомнадзор проверяет сайты дистанционно, без выезда и без предупреждения, и находит такие нарушения за несколько минут. Размеры штрафов за последние годы менялись только в сторону роста, для организаций они достигают сотен тысяч рублей, а за утечки введены оборотные штрафы. Ниже то, что нужно знать владельцу сайта, чтобы не попасть в статистику.
Как выглядит проверка
Проверка чаще всего начинается с жалобы клиента или с планового мониторинга сайтов. Сотрудник ведомства открывает сайт, ищет политику, смотрит формы, cookie-баннер, проверяет наличие оператора в реестре. Дальше приходит запрос с просьбой предоставить документы: политику, согласия, приказ о назначении ответственного, договоры с теми, кому передаются данные. На ответ даётся ограниченный срок, и отсутствие ответа само по себе нарушение.
Отдельно рассматриваются обращения граждан: человек попросил удалить его данные или сообщить, что о нём хранится, а ответа не получил. Такие жалобы рассматриваются быстро, и доказывать, что вы ответили вовремя, придётся вам.
Важно понимать масштаб: проверка сайта не требует от ведомства ни выезда, ни согласования, и один сотрудник за день может пройти десятки сайтов. Поэтому расчёт «мы маленькие, до нас не дойдут» не работает. Дойти могут по жалобе одного недовольного клиента, а такой найдётся в любой базе заявок.
За что штрафуют чаще всего
| Нарушение | Как выглядит на сайте | Как закрыть |
|---|---|---|
| Нет политики или она формальная | Ссылка в подвале ведёт на шаблон с чужими реквизитами или на пустую страницу | Своя политика под реальные процессы, ссылка с каждой страницы |
| Нет согласия в формах | Форма заявки без чекбокса, галочка проставлена заранее, нет ссылки на политику | Отдельный чекбокс в каждой форме, без предустановки |
| Нет уведомления в Роскомнадзор | Оператора нет в открытом реестре | Подать уведомление через Госуслуги, сверить с политикой |
| Обработка сверх цели | Заявку использовали для рассылки без отдельного согласия | Согласие на рассылку отдельным чекбоксом |
| Нет ответа на обращение гражданина | Запрос об удалении данных остался без ответа | Почта для обращений в политике, регламент ответа |
| Хранение за рубежом | Зарубежный конструктор форм, сервис рассылок, аналитика | Российский хостинг и российские сервисы |
| Утечка | Заявки в открытом файле, доступ к CRM по общему паролю | Защищённое соединение, разграничение доступа, уведомление РКН об инциденте |
Первые три строки таблицы это основная масса дел против малого бизнеса. Они же и самые дешёвые в исправлении: документы и настройка форм. Подробный чек-лист есть в статье про 152-ФЗ для сайта.
Есть и вторая волна нарушений, которую находят уже при рассмотрении документов: политика есть, но ответственный не назначен, срок хранения не соблюдается, договоры с сервисами не оформлены. Каждый пункт это отдельный состав, и штрафы суммируются, поэтому «почти всё сделано» на практике означает несколько протоколов вместо одного.
Утечки: отдельная и самая дорогая категория
За утечку персональных данных ответственность выше, чем за любые ошибки в документах, и зависит от объёма утекших данных. Для повторных случаев предусмотрены оборотные штрафы, которые считаются от выручки. Кроме штрафа есть обязанность уведомить Роскомнадзор об инциденте в короткий срок и затем сообщить о результатах внутреннего расследования.
Для малого бизнеса утечка редко выглядит как взлом. Чаще это таблица с заявками, лежащая на хостинге по открытой ссылке, общий пароль от CRM у всех сотрудников, включая уволенных, файл с клиентами в личном облаке менеджера. Такие вещи находят по жалобе клиента, который увидел свои данные в открытом доступе. Как минимум стоит сделать четыре вещи: сайт только по https, доступ к админке и CRM по личным паролям, удаление доступа при увольнении, хранение выгрузок не в мессенджерах.
ИИ, боты и внешние сервисы
Новый источник вопросов: данные клиентов, которые уходят в чат-боты, ИИ-менеджеров и сервисы транскрибации звонков. Если сервис зарубежный, это трансграничная передача с отдельными требованиями. Если российский, он должен быть назван в политике, а с ним должен быть договор или оферта с условиями об обработке. Что можно передавать нейросети, а что нет, мы разбирали в статье про ИИ и персональные данные. Наш ИИ-менеджер работает на GigaChat, и это одна из причин выбора: серверы в России и понятные условия обработки. То же касается сервисов расшифровки звонков: запись голоса клиента тоже персональные данные, и предупреждение о записи должно звучать до начала разговора.
Что делать, если пришёл запрос
- Не игнорировать. Срок ответа ограничен, а молчание это отдельное нарушение.
- Собрать документы: политику, скриншоты форм с согласиями, подтверждение уведомления в РКН, приказ об ответственном, договоры с сервисами.
- Если чего-то нет, сделать сейчас и приложить: исправление до вынесения решения учитывается.
- Отвечать по существу каждого пункта запроса, без общих слов.
- После ответа заложить регулярную проверку документов, чтобы не повторять.
Если решение о штрафе всё же вынесено, его можно обжаловать, а для малого бизнеса в ряде случаев предусмотрена замена штрафа предупреждением при первом нарушении. Рассчитывать на это заранее не стоит, но знать о возможности полезно.
Об уведомлении, которое чаще всего оказывается неподанным, читайте в статье об уведомлении в Роскомнадзор.
Как снизить риск заранее
- Одна проверка в полгода: открыть сайт глазами проверяющего и пройти по формам, политике, баннеру, реестру.
- Список сервисов: куда уходят данные, с кем есть договор, где хранится база.
- Ответственный и регламент: кто отвечает на обращения граждан и в какой срок, кто обновляет документы при изменениях на сайте. Это часть систематизации, а не разовая бумага.
- Доступы: личные пароли, отзыв доступа при увольнении, выгрузки только в защищённых местах.
- Хостинг и сервисы в России, включая формы, рассылки и аналитику.
Что делаем мы
Первые пять строк таблицы закрываются документами и настройкой форм. Юридическая проверка сайта от 10 000 ₽ включает политику под ваши процессы, согласия во всех формах, cookie-баннер, текст уведомления в Роскомнадзор и внутренние документы: приказ об ответственном, перечень данных, порядок ответа на обращения. Регламент, кто и когда всё это обновляет, можем встроить в общую систему регламентов компании.
Коротко
- Чаще всего штрафуют за формальную политику, формы без согласия и отсутствие в реестре операторов.
- Проверка дистанционная и начинается с жалобы или мониторинга сайта.
- Утечка это самая дорогая категория, с оборотными штрафами за повтор и обязанностью уведомить РКН.
- Запрос ведомства нельзя игнорировать: исправление до решения учитывается.
- Раз в полгода проверяйте сайт глазами проверяющего, это дешевле любого штрафа.