Много лет российский малый и средний бизнес жил в логике, что 152-ФЗ про больших и других, а их никто не тронет. Это было логично, у РКН инспекторов мало, сайтов миллионы, шанс попасть под проверку у мелкого бизнеса был равен... ну практически нулю.
В мае 2022 года был введён мораторий на плановые проверки бизнеса, и часть рынка восприняла это как лицензию спокойно работать без политики конфиденциальности и без подачи уведомления в реестр операторов до 2030 года. Весной 2026 года Роскомнадзор сделал ход, который это полностью обнуляет, при этом не нарушая мораторий и не отменяя его - они просто просто запустили бота.
Технически решение выглядит как автоматический сервис, который обходит домены в зоне .ru, находит на страницах формы сбора персональных данных: заявки, подписки, регистрации, формы обратной связи, корзины интернет-магазинов и сверяет три вещи:
Подал ли оператор уведомление о намерении обрабатывать персональные данные в реестр Роскомнадзора.
Размещена ли политика обработки персональных данных на сайте и доступна ли она по ссылке.
Оформлено ли согласие пользователя под каждой формой так, как требует закон.
При расхождении бот собирает данные и передаёт их инспектору, который выносит предписание и штраф. Юридически это контроль без взаимодействия, то есть надзорная процедура, при которой представитель регулятора не контактирует с проверяемым лицом напрямую и на него мораторий 2022 года не распространяется.
Если на вашем сайте нет политики обработки персональных данных в подвале - штраф для юридического лица от 30 до 60 тысяч рублей.
Если вы не подавали уведомление в Роскомнадзор о намерении обрабатывать данные - штраф.
Если форма на сайте собирает данные без отдельного согласия пользователя - штраф за каждый факт.
Если данные хранятся на серверах за границей - штраф.
На сайте должна быть политика обработки персональных данных в подвале, доступная по прямой ссылке и в актуальной редакции.
Под каждой формой, в которой пользователь оставляет имя, телефон, email или другие персональные данные, должен быть отдельный чекбокс для галочки согласия, но не стоящий по умолчанию, а которую пользователь обязан проставить сам.
Согласие не должно объединяться в одном чекбоксе с другим документом - нельзя писать «согласен с политикой конфиденциальности и условиями оферты» с одной галочкой.
Согласие на получение рекламы оформляется отдельным чекбоксом.
Должен быть баннер о cookie с указанием на метрические и аналитические системы.
Серверы должны быть физически размещены в РФ.
С каждым партнёром, которому поручается обработка персональных данных (CRM, email-рассылка, сервис аналитики, платёжный шлюз), должен быть оформлен договор поручения.
И главное - обязательно должно быть подано уведомление на Портале персональных данных РКН, кроме случаев, когда данные берутся только для исполнения прямого договора с клиентом.
Я работаю давно и видела разные периоды отношений рынка с 152-ФЗ. Был период, когда требования воспринимались как формальность, и многие проекты обходились шаблонной политикой, скачанной с первого попавшегося генератора. Был период, когда штрафы пугали, но шанс попасть под проверку оставался минимальный, и большинство выбирали тактику «оформим, если придёт письмо». Сейчас наступил третий период - письмо от Роскомнадзора генерируется автоматически на основе данных, которые бот собрал в открытом доступе. Значит на авось уже надеятся нельзя.
В ближайшие пару недель советую провести аудит сайта:
- проверить наличие и актуальность политики, составленной под вас, а не скачанной из интернета или написанной нейросетью
- проверить каждый чекбокс под каждой формой
- проверить, подано ли уведомление в реестр операторов и насколько верно оно заполнено
- поставить в подвал актуальную политику в редакции 2026 года, а не текст пятилетней давности, в котором не упоминается ни биометрия, ни локализация, ни обновлённые требования к согласию
- настроить логирование согласий: в момент, когда пользователь проставляет галочку, факт согласия должен сохраняться в базе с датой и временем. Без этого вы не сможете доказать инспектору, что согласие было получено.
- подписать договоры поручения с подрядчиками, которые получают доступ к данным ваших пользователей
- если есть сервисы аналитики или маркетинговые инструменты, физически расположенные за пределами РФ - перенести их на территорию РФ или включить эти потоки в политику корректным образом.
Соответствие 152-ФЗ - это не одноразовая задача. Бот РКН работает в фоновом режиме круглосуточно, а это значит, что сайт, который сегодня соответствует требованиям, завтра может перестать соответствовать после очередного редизайна или подключения нового CRM-сервиса. И это нужно проверять тоже регулярно.
Отнеситесь к этому вопросу серьёзно.
Нет комментариев
Комментарии доступны после входа