Что проверяет Роскомнадзор на сайте при дистанционной проверке: чек-лист

Большинство проверок сайтов сейчас проходит без выезда и без переписки. Инспектор или автоматическая система открывает сайт как обычный посетитель и фиксирует, что видит. Если видит нарушения, компании приходит запрос пояснений или предостережение. Понимание того, что именно смотрят, позволяет подготовиться за несколько дней.

Два режима проверки

Мониторинг. Систематическое наблюдение за сайтами без взаимодействия с компанией. Так работает автоматизированная система, о которой мы писали в статье про бота Роскомнадзора. Признаки нарушений фиксируются, потом по ним принимается решение о дальнейших действиях.

Контрольное мероприятие. Плановое или внеплановое, по основаниям из закона о контроле: жалоба, индикаторы риска, поручение. Здесь уже запрашиваются документы, и к сайту добавляются политика, приказы, согласия, договоры с обработчиками.

Для компании с сайтом важен первый режим: именно он находит типовые нарушения, и именно его результаты становятся поводом для второго.

Что смотрят на сайте

Чек-лист собран из предписаний, которые мы разбирали с клиентами, и из рекомендаций ведомства.

1. Политика обработки персональных данных. Опубликована ли, есть ли ссылка в подвале и рядом с формами, открывается ли, актуальна ли: указан ли оператор, его реквизиты, цели, категории, сроки, права субъекта.
2. Согласие в формах. Есть ли чекбокс, не отмечен ли он заранее, ведёт ли на текст согласия и политику, разделены ли согласия на разные цели. Форма с полем email и кнопкой «Отправить» без чекбокса это нарушение, которое видно за секунду.
3. Cookie и счётчики. Есть ли уведомление о cookie, можно ли отказаться, запускаются ли счётчики аналитики до согласия. Яндекс Метрика, запущенная до клика по баннеру, сейчас одно из самых частых замечаний.
4. Передача данных за рубеж. Иностранные шрифты, карты, капчи, виджеты и аналитика, которые получают IP-адрес и данные о посетителе. Это признак трансграничной передачи, о которой в реестре ничего нет.
5. Соответствие реестру. Есть ли компания в реестре операторов, совпадают ли цели в реестре с тем, что делает сайт.
6. Реквизиты оператора. Можно ли по сайту понять, кто оператор: наименование, ИНН, адрес, контакт для обращений субъектов.
7. Форма обратной связи для запросов субъектов. Куда писать человеку, который хочет узнать о своих данных или отозвать согласие, и указан ли срок ответа.
8. Защита соединения. HTTPS, отсутствие форм, отправляющих данные по открытому каналу.

Что находят чаще всего

По нашей выборке сайтов, прошедших через сканер, на первом месте счётчики до согласия, на втором формы без чекбокса или с предотмеченным чекбоксом, на третьем отсутствие реквизитов оператора в политике. Отсутствие политики как таковой встречается реже, зато почти всегда соседствует с отсутствием записи в реестре.

Любопытно, что сложные нарушения, вроде некорректной локализации, при дистанционной проверке почти не фиксируются: их не видно снаружи. Они всплывают уже на контрольном мероприятии по документам.

Как подготовиться за неделю

• День 1. Прогнать сайт через сканер, получить список форм, счётчиков и внешних сервисов. Проверить себя в реестре операторов.
• День 2–3. Привести формы в порядок: чекбокс, ссылки на политику и согласие, отдельные согласия на рассылку. Поставить cookie-баннер с реальным выбором, перевести счётчики на загрузку после согласия.
• День 4. Обновить политику: реквизиты оператора, цели, категории, сроки, права, контакт для обращений. Убедиться, что она совпадает с реестром.
• День 5. Разобраться с иностранными сервисами: заменить на российские или оформить трансграничную передачу.
• День 6–7. Подать или обновить уведомление в Роскомнадзор, записать всё сделанное в журнал внутреннего контроля.

Если неделя кажется оптимистичной оценкой, так и есть для компании с несколькими сайтами и системами. Для них этот список становится планом аудита персональных данных с распределением по неделям и сметой.