Проверка сайта по 152-ФЗ о персональных данных

Штраф по ч. 3 ст. 13.11 КоАП: для организации 30–60 тыс. ₽, для ИП 10–20 тыс. ₽, для должностного лица 6–12 тыс. ₽. Политика должна описывать то, что сайт делает на самом деле: какие данные собирает, зачем, куда передаёт, сколько хранит. Скопированная чужая политика не помогает — проверяющие сравнивают её с реальной работой сайта, и расхождения видны сразу. Ссылка на политику должна быть доступна с каждой страницы, обычно в подвале, и рядом с каждой формой.

Про cookie и IP-адреса закон прямо не говорит. Их относят к персональным данным, когда в сочетании с другими сведениями они позволяют определить человека, — например, когда счётчик связывает посещения с номером телефона из формы. Поэтому счётчики и cookie мы проверяем отдельно и отмечаем спорные случаи как риск, а не как нарушение.

Минимальный набор для небольшого сайта: политика обработки персональных данных, отдельное согласие у каждой формы (если основание — согласие), счётчики только после согласия на cookie, уведомление в Роскомнадзор. Для ИП по ряду составов ст. 13.11 КоАП штрафы такие же, как для организаций: например, за хранение данных за рубежом и за утечки.

Отдельное согласие — это отдельная галочка и отдельный текст (или ссылка на отдельный документ), где указаны оператор, цель, перечень данных, действия с ними, срок и порядок отзыва (ч. 4 ст. 9). Если у формы несколько целей, например заявка и рассылка, для каждой нужна своя галочка. Доказать, что согласие получено, должен оператор (ч. 3 ст. 9).

Правильно: галочка по умолчанию не отмечена, кнопка отправки неактивна, пока человек её не поставит, рядом — ссылка на текст согласия. Сервис проверяет каждую найденную форму, в том числе во всплывающих окнах, квизах и виджетах чатов.

Уведомление подаётся на портале Роскомнадзора, электронно или на бумаге, по форме приказа РКН № 180. При изменении сведений (новые цели, новые сервисы, передача данных за рубеж) подаётся уведомление об изменении — не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Исключений из обязанности уведомлять три (ч. 2 ст. 22): государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; обработка исключительно без средств автоматизации; обработка по законодательству о транспортной безопасности. Прежние исключения (п. 1–6 ч. 2) с 1 сентября 2022 года утратили силу. Сайт с формой, счётчиком или личным кабинетом работает с автоматизацией и под эти исключения не подпадает. Сервис находит вашу запись в реестре по ИНН с сайта и сообщает, если её нет.

Основные составы (суммы по тексту ст. 13.11 КоАП в ред. 420-ФЗ). Если в части статьи для ИП суммы не названы, он отвечает как должностное лицо (примечание к ст. 2.4); как юридическое лицо — по ч. 1.1 и 8–18 (примечание 1 к ст. 13.11).

* В ч. 10–18 «должностное лицо» — только должностное лицо государственного или муниципального органа либо некоммерческой организации, а «юридическое лицо» — оператор, не являющийся таким органом или организацией (примечания 2 и 3 к ст. 13.11).

Повторные нарушения наказываются строже: повторное нарушение по ч. 1 — 300–500 тыс. ₽ для организации (ч. 1.1), по ч. 2 — 1–1,5 млн ₽ (ч. 2.1), повторная утечка (ч. 15 и 18) — от 1 до 3% годовой выручки, но не менее 20 и не более 500 млн ₽. По одному сайту могут одновременно вменить несколько составов. Скидка в половину штрафа при оплате в течение 20 дней (ч. 1.3-3 ст. 32.2 КоАП) к штрафам по ст. 13.11 не применяется: эта статья прямо исключена из ч. 1.3-3. Малое предприятие из реестра МСП может получить штраф от половины минимума (ч. 2 ст. 4.1.2 КоАП): так было в двух делах Арбитражного суда г. Москвы, где организации назначили 50 тыс. ₽ вместо минимума 100 тыс. ₽ (ч. 10) и 75 тыс. ₽ вместо 150 тыс. ₽ (ч. 1).

Именно поэтому наш сервис смотрит на сайт так же, как внешний проверяющий: открывает страницы в браузере, изучает формы, документы и сетевые запросы. Внутренние документы (приказы, журналы, договоры с подрядчиками) снаружи не видны — их проверяют по анкете или юрист.