Как мы находим нарушения 152-ФЗ на сайте

Обращения к иностранным сервисам

ст. 12 ч. 3, ст. 18 ч. 5 152-ФЗст. 13.11 ч. 1 КоАП

Штраф юрлицу150 000 – 300 000 ₽
при квалификации как нарушение локализации (ч. 8) — 1–6 млн ₽

Что требует закон

При установленной трансграничной передаче применяются требования ст. 12, включая отдельное уведомление; локализация при сборе регулируется отдельно ст. 18 ч. 5. Сам запрос к иностранному сервису ещё не устанавливает нарушение этих требований.

Как определяем

Сравниваем адреса всех запросов главной страницы с каталогом сервисов (он ниже). У Google под одним адресом бывают разные сервисы, поэтому смотрим и на начало пути: www.google.com/maps — это карта, www.google.com/recaptcha — капча. В отчёте каждый сервис назван своим именем, с числом запросов.

Как квалифицируем

Запрос к иностранному сервису — технический факт. IP-адрес получает сервер соединения; наличие cookie и состав Referer подтверждаем отдельно по наблюдаемому запросу. По одному имени сервиса не устанавливаем состав данных, иностранного получателя и нарушение.

Что проверить

Фактические данные и получателя, основание обработки, требования статьи 12 и отдельно локализацию при сборе по статье 18 части 5. Одного уведомления недостаточно, чтобы признать обработку законной.

Проверка доступности политики

ст. 18.1 ч. 2 152-ФЗст. 13.11 ч. 3 КоАП

Штраф юрлицу30 000 – 60 000 ₽

Что требует закон

Политика обработки персональных данных публикуется на сайте в неограниченном доступе.

Как определяем

Ищем ссылку на главной и на всех открытых страницах — по подписи и по адресу. Узнаём десятки вариантов названия: «Политика конфиденциальности», «Политика в отношении обработки персональных данных», «Положение об обработке и защите ПДн», «Персональные данные». Текст приводим к одному виду: регистр, «ё», невидимые пробелы, латинские буквы-двойники внутри русских слов.

Предел вывода

Если ссылка не найдена, указываем проверенные URL и число страниц. Это не доказывает отсутствие политики на всём сайте. HTTP-ошибка или таймаут означают недоступность при проверке; нужны повтор и ручная сверка. PDF считаем найденным документом, содержание автоматически не оцениваем. Отсутствие ключевых слов в HTML требует чтения, а не автоматического заключения о неполноте.

Элементы согласия у форм

ст. 6 ч. 1 п. 1, ст. 9 ч. 1 152-ФЗст. 13.11 ч. 1 КоАП

Штраф юрлицу150 000 – 300 000 ₽повторно — 300 000 – 500 000 ₽

Что требует закон

Обработка требует основания по ст. 6. Если основание — согласие, оно должно быть подтверждаемым, конкретным, предметным, информированным, сознательным, однозначным и отдельным от иных подтверждаемых информации и документов; письменная форма обязательна в случаях, установленных законом.

Как определяем

На каждой открытой странице находим формы с полями персональных данных: имя, телефон, почта, сообщение. У каждой смотрим: есть ли галочка согласия (или переключатель), не стоит ли она заранее, есть ли рядом ссылка на текст согласия и политику. Форма входа в личный кабинет с паролем — это не сбор заявок, её не считаем.

Основание и согласие

По статье 6 согласие — одно из оснований обработки. Отсутствие чекбокса само по себе не доказывает нарушение. Если основание — согласие, оно должно отвечать статье 9 и подтверждаться оператором, быть отдельным от иной подтверждаемой информации и документов. Письменная форма обязательна в предусмотренных законом случаях. Предустановленная галочка не доказывает волеизъявления.

Каждую форму обозначаем URL и идентификатором; разные замечания не скрывают друг друга. Клиентские формы не отправляем и работоспособность согласия этим способом не проверяем.

Cookie и счётчики без уведомления

ст. 3, ст. 6 ч. 1, ст. 18.1 152-ФЗст. 13.11 ч. 1 КоАП

Штраф юрлицу150 000 – 300 000 ₽

Что требует закон

Если cookie и идентификаторы относятся к определяемому лицу, их обработка требует основания по ст. 6 и отражения фактической обработки в политике; обязательный формат всплывающего окна законом не установлен.

Три отдельных наблюдения

Ищем видимое уведомление и в обычном подвале, и в закреплённом блоке. Отдельно фиксируем cookie до действий и запросы аналитики. Наличие текста не подтверждает согласие и не доказывает блокировку счётчика. Отсутствие попапа не является самостоятельным нарушением: сначала проверяем, относятся ли данные к определяемому лицу, основание обработки и содержание политики.

Компании нет в реестре операторов

ст. 22 ч. 1 152-ФЗст. 13.11 ч. 10 КоАП

Штраф юрлицу и ИП100 000 – 300 000 ₽

Что требует закон

Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки.

Как определяем

По ИНН ищем запись в открытом реестре операторов на pd.rkn.gov.ru. ИНН проверяем по контрольной сумме до запроса. Без ИНН реестр не сверяем: по названию сайта юрлицо однозначно не определить.

Предел вывода

Реестр ответил «записей не найдено» — фиксируем отсутствие записи по ИНН; прежде чем делать вывод об обязанности уведомления, проверяем основания и исключения. Отсутствие записи требует отдельной оценки обязанности уведомления. Если реестр не ответил или ответил непонятно, мы ничего не пишем: сказать «вас нет в реестре» можно только по настоящему ответу реестра.

Сайт без HTTPS

ст. 19 ч. 1–2 152-ФЗ

Штрафотдельного нет

Что требует закон

Оператор принимает технические меры защиты данных при их передаче; прямой нормы про HTTPS нет, отдельного штрафа нет.

Как определяем

Открываем сайт по https://. Если защищённое соединение выдаёт ошибку, открываем по http:// и отмечаем, что HTTPS сломан. Отдельно проверяем, перенаправляет ли http:// на https://.

Когда это замечание

Сайт работает только по http:// или с ошибкой сертификата — важное замечание: данные форм могут передаваться без шифрования при отправке по HTTP; сами формы мы не отправляем. Нет перенаправления с http:// на https:// — совет. Штраф за это не показываем.