Аудит контура персональных данных: сайт, формы, CRM, чат-боты, AI

Бесплатные сканеры проверяют несколько витринных признаков. Внешняя экспресс-проверка фиксирует публичные формы, согласия, политику, cookie и внешние технологии без тестовых отправок. Полный веб-аудит с разрешения владельца добавляет тестовые заявки, проверку маршрута данных до CRM/БД/AI и логирование согласий.

После реформы мая 2025 года для юрлиц: отсутствие политики - до 60 тыс. руб. (ст. 13.11 ч. 3 КоАП), сбор данных без согласия - до 700 тыс. (ч. 2), повторно - до 1,5 млн (ч. 2.1), хранение данных с сайта вне России - до 6 млн (ч. 8), утечка - от 3 млн (ч. 12). С 2026 года дела рассматривают мировые судьи. В отчете показываю вилки именно для вашей организационной формы.

Зависит от целей, состава обработки и применимых исключений. Форма заявки, аналитика или бот могут означать обработку персональных данных, поэтому в аудите я проверяю фактический путь данных и наличие оператора в реестре, а не делаю вывод только по типу сайта.

Да, отдельным модулем: где бот запрашивает данные, есть ли согласие до сбора, куда сохраняются данные и в какой юрисдикции, упомянут ли бот в политике. Боты - канал сбора персональных данных, требования те же.

Внешняя экспресс-проверка - 24-48 часов. Полный веб-аудит - 3-5 рабочих дней. Веб-аудит с исправлением под ключ - 5-10 рабочих дней.

В отчете - план устранения по приоритетам. Вы можете исправить пункты самостоятельно, силами своей студии или заказать внедрение под ключ. Если стандартное исправление заказано в течение 7 календарных дней после передачи полного аудита, оплаченные 39 900 руб. засчитываются в пакет 59 900 руб.; условие и объем фиксируются в договоре.

Оператор персональных данных - это любая организация, ИП или самозанятый, который сам или через подрядчиков собирает и обрабатывает данные людей: имя, телефон, email, IP-адрес, идентификаторы cookie. Сайт с формой заявки, Яндекс.Метрикой или чат-ботом делает вас оператором автоматически, независимо от размера бизнеса. Оператор обязан иметь политику, получать согласия и, за редкими исключениями, уведомить Роскомнадзор (ст. 3 и ст. 22 152-ФЗ).

Сам по себе баннер закон не требует - требуется согласие посетителя до того, как сайт начнет собирать идентификаторы cookie и данные аналитики. На практике баннер - единственный рабочий способ получить и зафиксировать такое согласие. Баннер, под которым счетчики все равно срабатывают до нажатия "Принять", согласием не считается - это самое частое нарушение, которое я нахожу.

Нет. Метрика собирает идентификаторы cookie, IP-адрес и поведение посетителя - Роскомнадзор относит их к персональным данным. Счетчик должен загружаться только после согласия, а до него не должно быть ни одного запроса к серверам аналитики. Аналогично для пикселей VK, Google Analytics и рекламных идентификаторов. В аудите проверяю это на техническом уровне, а не по наличию баннера.

Срок указан в самом требовании, типично - до 10 рабочих дней, и его нужно уточнять по документу. За это время реально: разобрать требование по пунктам, устранить нарушения на сайте и в документах, подготовить письменный ответ с подтверждениями. Разбор требования делаю в день обращения, приоритизирую нарушения по риску и помогаю с ответом регулятору.

Для персональных данных граждан РФ - нет. Данные из Google Forms сохраняются на зарубежных серверах, а ст. 18 ч. 5 152-ФЗ требует, чтобы запись, хранение и обновление данных россиян велись в базах на территории России. Штраф для юрлиц - от 1 до 6 млн руб., повторно - до 18 млн (ст. 13.11 ч. 8 и ч. 9 КоАП). То же относится к зарубежным конструкторам форм, таблицам и CRM. В аудите показываю, куда физически уходят данные из каждой формы, и предлагаю замену на российские сервисы.

Да. В форме должна быть галочка или явная формулировка согласия со ссылкой на политику обработки персональных данных, и согласие должно фиксироваться: дата, время, с чем именно согласился человек. Предотмеченная галочка или фраза "нажимая кнопку, вы соглашаетесь" без ссылки на политику - нарушение. Проверка текста, механики и логирования согласий входит в аудит.