Что проверяет Роскомнадзор, когда на сайт поступает жалоба

Большинство историй начинается одинаково: человек получил рассылку, на которую не подписывался, или заметил, что его данные ушли куда-то ещё, и написал обращение. Обращение попадает в территориальное управление, и дальше проверяют не жалобу целиком, а конкретный сайт — потому что это самое быстрое, что можно сделать, не выходя из кабинета.

Шаг первый: смотрят сайт снаружи

Сначала открывают сайт как обычный посетитель. На это уходит десять минут, и уже здесь находится большая часть замечаний:

• есть ли в подвале ссылка на политику обработки персональных данных и открывается ли она
• есть ли баннер согласия на cookies и можно ли в нём отказаться
• ставятся ли идентификаторы аналитики до нажатия кнопки
• есть ли в формах галочка согласия и не отмечена ли она заранее
• указаны ли наименование владельца сайта, адрес и электронная почта
• какие сторонние сервисы подключены и куда они передают данные

Шаг второй: сверяют сайт с реестром

Дальше ищут организацию в реестре операторов персональных данных. Здесь всплывают два типовых расхождения. Первое — записи нет вообще, хотя на сайте есть формы и счётчики. Второе — запись есть, но в ней указаны одни цели обработки, а в политике на сайте другие, и трансграничная передача не заявлена, хотя на сайте стоят Google Analytics и reCAPTCHA.

Шаг третий: запрос документов

Если замечания нашлись, запрашивают документы. Готовиться к этому нужно заранее, потому что срок на ответ короткий:

1. политика обработки персональных данных в действующей редакции
2. приказ о назначении ответственного за организацию обработки
3. перечень обрабатываемых данных и целей по каждой категории субъектов
4. доказательства согласия по конкретному обращению: когда получено, на что, каким текстом
5. сведения о том, кому данные передаются, включая зарубежные сервисы
6. документы о мерах защиты: модель угроз, порядок доступа к данным

Самый болезненный пункт — четвёртый. Флаг «согласие получено» в базе на вопрос «на что именно он согласился» не отвечает. Нужна запись с текстом согласия, временем и снимком того, что человеку показали на экране.

Что подготовить заранее

Полная подготовка занимает несколько дней, а не месяцев, и делается один раз. Порядок такой, чтобы сначала закрыть то, что видно снаружи:

1. привести в порядок политику и опубликовать её по постоянной ссылке
2. поставить баннер согласия, который действительно блокирует счётчики до ответа посетителя
3. добавить галочку согласия во все формы и начать сохранять текст согласия, а не только флаг
4. подать или обновить уведомление в Роскомнадзор, включая трансграничную передачу
5. оформить приказ об ответственном и перечень обрабатываемых данных
6. убрать зарубежные сервисы, без которых сайт обходится

Чего делать не стоит

• исправлять сайт втихую после получения запроса — дата изменений видна, а протокол уже составлен
• отвечать формально «нарушений нет», не проверив сайт своими глазами
• копировать политику у конкурента: в ней будет чужой оператор и чужие цели
• считать, что маленький сайт никого не интересует — проверяют по обращению, а не по размеру

Проверка на этой странице повторяет первый шаг инспектора: открывает сайт в реальном браузере и фиксирует то же, что увидели бы при проверке. Это дешёвый способ узнать, что о вашем сайте видно снаружи, до того как это увидит кто-то другой.