Быстрая проверка за десять вопросов

Кому подойдёт быстрая проверка

Проверка рассчитана на руководителя или владельца небольшой компании и на индивидуального предпринимателя, которые хотят за несколько минут понять, с чего начинать работу с персональными данными по 152-ФЗ. Она полезна, если в компании есть сотрудники, вы принимаете заявки, на сайте стоят формы или счётчики, вы делаете рассылки или передаёте данные подрядчикам.

Готовить ничего не нужно. Достаточно знать, есть ли у вас работники, принимаете ли вы заявки через сайт и кому передаёте данные. Если точного ответа нет, выберите «Не знаю»: такой ответ учитывается и попадает в отдельный список вопросов, которые остаются открытыми.

Форма вопросов: темы и варианты ответа

Первый вопрос — организационная форма: юридическое лицо, индивидуальный предприниматель, физическое лицо или самозанятый, либо «Не знаю». Остальные девять вопросов имеют три варианта ответа: «Да», «Нет» и «Не знаю». Они разбиты по темам: сотрудники, клиенты, формы на сайте, счётчики и пиксели, подрядчики, рассылки, уведомление в Роскомнадзор, политика на сайте и зарубежные сервисы.

Вопросы идут в фиксированной последовательности, по одному на экране, и не подстраиваются под ваши ответы. Более подробный разговор, где следующий вопрос зависит от предыдущих ответов, ведёт анкета: по её ответам сервис показывает состав комплекта документов.

Что вы получите на экране

Результат появляется сразу после ответов и состоит из трёх частей.

• Что нужно проверить. Для каждого ответа, который указывает на обработку данных или на пробел, даётся короткое пояснение и ссылка на норму. Например, ч. 1 ст. 9 152-ФЗ для согласия на обработку или ч. 3 ст. 6 для договоров с подрядчиками.
• Разделы комплекта, которых это касается. Всего их шесть: основные документы, сотрудники, клиенты и контрагенты, сайт и маркетинг, подрядчики и системы, инциденты и контроль. Показываются только названия разделов. Точный состав документов определяется после полной анкеты.
• Ответы «Не знаю». Каждый такой пункт остаётся открытым, пока вы не проверите его по документам, договорам или исходному коду сайта. «Не знаю» не приравнивается к «Нет».

Над результатом стоит статус «Требуется проверка». Для физического лица и самозанятого статус другой — «Нужен эксперт»: быстрая проверка такой случай не разбирает. Это не вывод о том, что обязанностей у вас нет. Комплект для физического лица без ИП собирается по анкете: в вопросе о том, кто оператор, выберите «Физическое лицо без ИП».

Чего проверка не делает

Проверка не выдаёт заключения «у вас всё в порядке». Даже если на все вопросы вы ответили «Нет», результат сообщит, что вывод «обработки нет» из этих ответов не следует. Десять вопросов не заменяют инвентаризацию: чтобы говорить о соблюдении требований, нужно описать все наборы данных, процессы, системы и договоры компании.

Проверка не является юридической консультацией и не подтверждает соблюдение требований. Она не подаёт уведомление в Роскомнадзор и не выдаёт документы. Разбор строится только на ваших ответах: на ваш сайт проверка не заходит. Что видно снаружи, показывает отдельная проверка сайта.

Что проверяют десять вопросов и на какие нормы они опираются

Ниже — за что отвечает каждый вопрос и какие нормы 152-ФЗ, Трудового кодекса и закона «О рекламе» лежат в основе пояснений в результате.

1. Кто ведёт деятельность?

Форма определяет часть обязанностей. Юридическое лицо издаёт документ, определяющий политику в отношении обработки, и локальные акты (п. 2 ч. 1 ст. 18.1 152-ФЗ), а также назначает ответственного за организацию обработки (ч. 1 ст. 22.1). Для предпринимателя состав необходимых и достаточных мер определяется по фактической модели обработки, а не по организационной форме (ч. 1 ст. 18.1). Быстрая проверка случай физического лица без ИП и самозанятого не разбирает. Комплект для физического лица без ИП собирается по анкете: в вопросе о том, кто оператор, выберите «Физическое лицо без ИП».

Подробнее: Самозанятый и обработка персональных данных: что требует 152-ФЗ

2. Есть ли работники в штате или исполнители по гражданско-правовым договорам?

Учитываются и работники в штате, и исполнители по гражданско-правовым договорам; достаточно одного человека. Это два разных случая. Данные штатного работника обрабатываются для исполнения обязанностей работодателя, и основанием служит закон: ст. 86 Трудового кодекса и п. 2 ч. 1 ст. 6 152-ФЗ, а не согласие. Для исполнителя по гражданско-правовому договору основание определяется отдельно: по договору и по каждой операции с его данными. Для штатных работников проверка предлагает сверить состав документов, которые вы собираете при приёме на работу (ст. 65 ТК РФ), а для всех — объём данных по каждой цели.

Подробнее: Нужно ли согласие на обработку персональных данных при приёме на работу

3. Собираете ли данные клиентов или заказчиков — физических лиц?

Речь о физических лицах: заказчиках и покупателях, чьи заявки, договоры, доставки и обращения в поддержку вы обрабатываете, а также участниках программы лояльности. Любое действие с такими данными, включая сбор и хранение, считается обработкой (п. 3 ст. 3 152-ФЗ). Для каждой цели основание определяется отдельно. Согласие — лишь одно из оснований статьи 6, и для исполнения договора обычно требуется не оно.

4. Есть ли на сайте форма, через которую посетитель что-то отправляет?

Форма на сайте — это заявка, обратный звонок, подписка, регистрация, чат. Сама форма не означает, что нужно согласие: сначала определяется основание обработки для цели формы. Если основанием выбрано согласие, оно должно быть конкретным, предметным, информированным, сознательным и однозначным и оформлено отдельно от других документов, которые подписывает или подтверждает человек (ч. 1 ст. 9 152-ФЗ). Если формы есть, но вы не уверены, где именно, перечислите все точки сбора, включая встроенные виджеты и чаты.

Подробнее: Согласие на обработку персональных данных на сайте: когда оно нужно форме и счётчику

5. Стоят ли на сайте счётчики или рекламные пиксели?

Вопрос про Яндекс.Метрику, Google Analytics и пиксели рекламных систем. Роскомнадзор относит cookie и подобные идентификаторы к персональным данным. Это позиция регулятора, а не норма закона; судебная практика неоднородна. Поэтому проверка не делает вывод по самому факту наличия счётчика, а предлагает проверить назначение каждого идентификатора, становится ли посетитель определяемым и как устроено получение согласия, если оно является основанием. Состав счётчиков сверяется по исходному коду сайта, а не по памяти.

Подробнее: Согласие на обработку персональных данных на сайте: когда оно нужно форме и счётчику

6. Передаёте ли данные тем, кто обрабатывает их за вас?

Здесь имеются в виду те, кто обрабатывает данные за вас: бухгалтерия на аутсорсе, CRM, хостинг, сервис рассылок, облачное хранилище, колл-центр. Поручение обработки оформляется договором с составом условий, который задаёт ч. 3 ст. 6 152-ФЗ: перечень действий, цели, обязанность конфиденциальности и требования к защите. Проверка предлагает посмотреть, есть ли эти условия в действующих договорах.

7. Делаете ли рассылки или рекламу по своим контактам?

Вопрос про email, SMS, мессенджеры и звонки с предложениями. Обработка данных для продвижения путём прямых контактов допускается только при предварительном согласии, и доказывать его наличие должен оператор (ч. 1 ст. 15 152-ФЗ). Для рекламы по сетям электросвязи действует такое же требование (ч. 1 ст. 18 закона «О рекламе»). Если вы не знаете, по каким спискам и на каком основании идут отправки, это первое, что нужно выяснить.

8. Подано ли уведомление в Роскомнадзор об обработке персональных данных?

Уведомление об обработке подаётся до её начала (ч. 1 ст. 22 152-ФЗ), но закон предусматривает исключения (ч. 2 ст. 22). Распространяется ли обязанность на вас, определяется после полной инвентаризации, а не по одному ответу. Если уведомление подано, сведения из него нужно сверить с фактической моделью обработки: об изменении сведений оператор сообщает в уполномоченный орган. Факт подачи проверяется по реестру операторов и по вашим документам.

Подробнее: Нужно ли подавать уведомление в Роскомнадзор об обработке персональных данных

9. Опубликована ли на вашем сайте политика обработки персональных данных?

Оператор обязан опубликовать документ, определяющий политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите, либо иным образом обеспечить к ним неограниченный доступ (ч. 2 ст. 18.1 152-ФЗ). Если данные собираются через сайт, политика публикуется на сайте. Наличие и содержание опубликованной политики проверяется по сайту, а не по памяти.

10. Используете ли зарубежные сервисы для хранения или обработки данных?

Вопрос про иностранные хостинг, CRM, рассылки, облачные диски и аналитику. Из самого факта использования такого сервиса не следует ни нарушение, ни обязанность уведомления. Проверяется другое: какие операции с данными выполняет сервис, расположены ли базы для записи и хранения данных граждан России на территории страны (ч. 5 ст. 18 152-ФЗ), есть ли у иностранного лица фактический или разрешённый договором доступ и происходит ли передача ему (ч. 3 ст. 12). Для этого нужен перечень систем с указанием, где физически расположены базы.

Что делать после проверки

Результат показывает, какие вопросы открыты. Дальше можно пройти анкету: по её ответам сервис показывает состав комплекта документов и то, что нужно уточнить до сборки. Комплект собирает специалист по заявке из анкеты. Если на сайте есть формы и счётчики, запустите отдельную проверку сайта: она покажет, что видно снаружи. Условия и цены на подготовку комплекта — на странице тарифов.

Заполнить анкету Проверить сайт Тарифы Как работает сервис