Ошибки в политике конфиденциальности, за которые штрафуют по 152-ФЗ

Штраф по 152-ФЗ за политику конфиденциальности приходит не за отсутствие документа, а за несоответствие того, что написано, тому, что сайт делает на самом деле: собирает телефон в форме, передаёт данные подрядчику, ставит метрику — а политика молчит об этом. Исправляется это сверкой текста с реальными процессами сбора данных, не переписыванием шаблона.

какие ошибки в политике конфиденциальности чаще всего находят проверяющие

Жалобы на нарушения в обработке персональных данных повторяются от сайта к сайту — набор типовых ошибок довольно узкий и одинаковый что для интернет-магазина, что для сайта услуг на пять страниц. Подать жалобу через личный кабинет стало проще, чем несколько лет назад, поэтому реагируют даже на разовые случаи вроде одного нежелательного письма. Вот что находят чаще всего:

• ✓политика скопирована с чужого сайта и упоминает не ту компанию — остались реквизиты студии, которая делала сайт несколько лет назад, а иногда и название совсем другого бизнеса;
• ✓в тексте нет ни слова о передаче данных третьим лицам, хотя форма заявки уходит в CRM, а оттуда — в сервис рассылок, колл-центр на аутсорсе или курьерскую службу;
• ✓отсутствует согласие на обработку — форма отправляет данные без чекбокса, либо чекбокс стоит формально и никуда не ведёт;
• ✓ссылка на политику открывает страницу 404 или спрятана в подвале сайта таким мелким текстом, что её не находит даже юрист компании;
• ✓нет ни слова про cookie и счётчики — Яндекс.Метрика, рекламные пиксели и виджеты чатов стоят на каждой странице, а в политике об этом ничего не сказано.

По отдельности каждая ошибка кажется мелочью. Но при проверке или жалобе оценивают не намерения, а буквальное совпадение текста и практики — и любого из пяти пунктов достаточно, чтобы получить предписание.

почему возникает несоответствие политики фактической работе сайта

Типичный случай: интернет-магазин мебели в Москве, около 150 заявок в месяц через форму «узнать цену». Через полгода после запуска сайта подключили CRM, ещё через год — колл-центр на аутсорсе для обзвона заявок и сервис email-рассылок для брошенных корзин. Политика конфиденциальности осталась той же, что была на старте: «данные используются для обратной связи». Клиентка, оставившая заявку на кухонный гарнитур, через месяц получила рекламное письмо от партнёра по рассылке — и пожаловалась в Роскомнадзор, потому что нигде не давала согласия на передачу данных за пределы магазина.

Владелец сайта не пытался никого обмануть — но сайт менялся: формы, интеграции, подрядчики, а текст политики трогали последний раз при запуске. Каждое подключение нового сервиса тихо расширяло список тех, кто получает данные посетителя, поэтому документ, который должен это описывать, устаревал незаметно для всех. Разработчик, который делал сайт, за обновление юридических текстов не отвечает — это не входит в техническое задание на верстку формы, поэтому расхождение годами остаётся незамеченным, пока его не находит клиент, конкурент или проверка.

Если расхождение не найти до жалобы, ставка растёт: помимо штрафа по ст. 13.11 КоАП РФ бизнес получает предписание устранить нарушение в срок, тратит время юриста на переписку с Роскомнадзором и рискует повторной проверкой — а за повторное нарушение суммы уже не сопоставимы с первым. Для компании с оборотом в несколько миллионов в месяц три недели переписки с надзорным органом обходятся дороже, чем полдня работы над текстом документа.

почему для проверки хватает жалобы одного клиента

Плановые проверки Роскомнадзора идут по графику и затрагивают ограниченный круг компаний в год, поэтому многие считают риск невысоким. Но внеплановую проверку запускает и одна жалоба через личный кабинет — от клиента, которому не понравилась чужая рассылка, или от конкурента, который сверил чужую политику со своей. Масштаб бизнеса тут ни при чём: небольшой сайт услуг проверяют по той же процедуре, что и крупный интернет-магазин.

кто чаще всего попадает на штраф: типичный профиль сайта

По практике аудитов чаще всего под предписание попадают не сайты без политики вовсе — таких сейчас мало, шаблон при запуске ставит почти любая студия — а сайты, которые живут дольше двух-трёх лет и за это время обросли интеграциями: CRM, сквозная аналитика, чат-виджет, форма подбора товара, рассрочка через партнёра. Каждая новая система — ещё один получатель данных, о котором политика молчит.

Второй частый профиль — сайт, где формы ведёт один подрядчик, а юридические тексты писал другой, и между ними нет процесса синхронизации: маркетолог подключает новый виджет обратного звонка, не сообщая об этом никому, кто отвечает за юридические тексты. Третий профиль — B2B-сайт с формой заявки на коммерческое предложение: данные там кажутся «служебными», поэтому про них забывают чаще, хотя телефон и email — такие же персональные данные, как на розничном сайте.

как исправить политику конфиденциальности, чтобы она соответствовала 152-ФЗ

Переписывать документ по шаблону из интернета бессмысленно — исправление начинается со сверки текста с тем, что сайт делает на практике:

• ✓собрать все точки сбора данных: формы, чат-виджет, авторизацию, метрику, рекламные пиксели, интеграции с CRM и подрядчиками;
• ✓для каждой точки зафиксировать, какие данные собираются, для какой цели, кому передаются и сколько хранятся;
• ✓переписать документ под этот список, а не под чужой образец из интернета;
• ✓обновить реквизиты оператора и порядок отзыва согласия;
• ✓добавить уведомление о cookie, если на сайте работают метрика и рекламные системы.

кто должен этим заниматься и сколько это занимает

Список точек сбора данных лучше собирает тот, кто технически ведёт сайт — маркетолог или подрядчик, а формулировки под 152-ФЗ проверяет юрист: это разделение экономит время обеим сторонам. Сама сверка списка занимает от пары часов на простом сайте с одной формой до одного-двух дней на сайте с несколькими интеграциями и CRM. Правка текста после того, как список готов, занимает ещё день.

что обязательно должно быть в тексте политики

Закон 152-ФЗ «О персональных данных» не задаёт форму документа, но перечисляет обязательные сведения: цель обработки, перечень собираемых данных, правовые основания, сведения о передаче третьим лицам, срок хранения и порядок отзыва согласия. Если хотя бы один пункт не совпадает с тем, что сайт делает на практике, при проверке это работает так же, как если бы политики не было вовсе.

что делать, если ошибка повторяется после проверки

Если Роскомнадзор уже выдавал предписание, а через полгода-год всплывает та же ошибка, причина почти всегда не в тексте, а в процессе: политику один раз поправили после жалобы, но не завели правило проверять её при каждом новом виджете, форме или подрядчике. Сайт продолжает меняться, документ — нет, и цикл повторяется на следующей интеграции.

как разорвать цикл повторных нарушений

Что убирает повтор: закрепить ответственного — маркетолога или подрядчика, который ведёт сайт, включить проверку политики в чек-лист при любом изменении (новая форма, новый пиксель, новый подрядчик по обработке данных) и вести журнал, когда и какая версия документа действовала. Журнал нужен не для галочки: при повторной проверке он показывает, что компания следит за соответствием, а не игнорирует предыдущее предписание.

Если правок на сайте много, а разбираться в них некогда, эту сверку можно вынести на регулярный внешний аудит сайта по 9 направлениям — там проверку соответствия законодательству РФ проводят наравне с технической частью, и расхождение находят раньше, чем это делает Роскомнадзор.

как предотвратить штраф: регулярный аудит вместо разовой правки

Разовая правка политики закрывает то, что нашли сегодня, но не защищает от того, что появится завтра: новая рекламная система, новый чат-бот, новый подрядчик по логистике снова расширят список получателей данных. Устойчивое решение — не разовое исправление, а проверка, встроенная в жизненный цикл сайта, привязанная не к дате в календаре, а к каждому изменению состава форм и интеграций.

Практический ориентир для малого и среднего бизнеса в Москве: если за последний год на сайте появилась хотя бы одна новая форма, виджет или интеграция — политику конфиденциальности стоит сверить заново, не дожидаясь годовщины прошлой проверки.

В аудит сайта по этому направлению входит сверка политики конфиденциальности с реальными формами, скриптами и интеграциями сайта, проверка cookie-уведомлений и наличия согласий — вместе с восемью другими направлениями, от скорости загрузки до технического SEO. Отчёт приходит с конкретным списком несоответствий и порядком их устранения, а не общими рекомендациями. Состав и стоимость смотрите на странице тарифов; для сайта с несколькими формами и интеграциями сверку стоит планировать не реже раза в год или после каждого крупного обновления сайта.

❓ Частые вопросы

Нужна ли политика конфиденциальности сайту-визитке без форм?

Если сайт не собирает данные вообще — не нужна. Но у большинства визиток есть форма обратной связи или метрика вроде Яндекс.Метрики, а это уже сбор cookie и IP-адреса. В таком случае документ обязателен, даже если сайт состоит из одной страницы «о компании».

Кто отвечает за штраф — владелец сайта или подрядчик, который его делал?

Отвечает оператор персональных данных — то есть компания, которой принадлежит сайт, а не подрядчик-разработчик. Даже если политику писала веб-студия три года назад и с тех пор не обновлялась, штраф по 152-ФЗ выпишут юрлицу, на которое зарегистрирован сайт и который фактически собирает данные посетителей.

Как проверить, соответствует ли текущая политика конфиденциальности реальной работе сайта?

Сверьте документ построчно с тем, что сайт реально делает: какие формы собирают данные, куда они уходят — в CRM, рассылку, колл-центр, какие счётчики и пиксели стоят, есть ли чекбокс согласия. Если хотя бы один пункт из практики не описан в тексте, это и есть несоответствие, которое можно обнаружить при проверке.

Сколько времени занимает исправление политики конфиденциальности?

Сама правка текста занимает один-два дня, если заранее собран список фактических точек сбора данных. Дольше — сам сбор этого списка: нужно поднять все формы, интеграции и скрипты на сайте. При внешнем аудите этот список формируют одновременно с проверкой остальных технических параметров сайта.

Штрафуют ли за политику конфиденциальности малый бизнес, а не только крупные компании?

Да, ст. 13.11 КоАП РФ не делает исключений по размеру бизнеса. Жалобу может подать один клиент, после чего проверку проводят независимо от оборота компании. На практике штрафы получают в том числе небольшие интернет-магазины и сайты услуг на 5-10 страниц.