Почему сайт аутсорсера — первое, на что стоит обратить внимание
Когда вы выбираете бухгалтерскую компанию или кадровое агентство, вы доверяете им данные своих сотрудников: ФИО, паспортные данные, ИНН, СНИЛС, зарплату, больничные. Если у подрядчика есть проблемы с соблюдением закона о персональных данных, риски ложатся на вас тоже.
Сайт аутсорсера — это публичная витрина, которая показывает, насколько серьёзно компания относится к требованиям закона. Если на сайте нет политики обработки персональных данных, cookie-баннер запускает трекеры до согласия посетителя или данные уходят иностранным сервисам — это сигнал, что внутренние процессы могут быть устроены так же.
Проверка сайта не заменит аудит внутренних процессов подрядчика, но покажет, есть ли повод для дополнительных вопросов.
Что проверить на сайте аутсорсинговой компании
Начните с публичной части сайта — это то, что видит любой посетитель до регистрации или отправки заявки. Обратите внимание на несколько моментов.
Есть ли политика обработки персональных данных. Её должно быть легко найти — обычно ссылка размещается в подвале сайта. В политике указываются цели обработки, категории данных, сроки хранения, права субъектов и контакты оператора. Если политики нет или она недоступна, это может создавать риск санкций.
Как работает cookie-баннер. Если на сайте есть аналитика или реклама, должен быть баннер с возможностью отказаться от необязательных cookie. Проверьте, можно ли отклонить согласие одним нажатием, есть ли настройка категорий. Если баннер есть, но трекеры запускаются до того, как посетитель нажал кнопку — это признак нарушения.
Куда уходят данные посетителей. Если сайт использует иностранные сервисы аналитики, рекламы или авторизации — данные могут передаваться за рубеж. Это не запрещено, но требует выполнения ряда условий. Сам факт запроса к иностранному домену — повод уточнить у подрядчика, как устроена обработка данных внутри компании.
Как Dobrolex проверяет сайт на соответствие требованиям закона
Dobrolex открывает сайт с чистой сессии — как новый посетитель, который ещё ничего не принял и не заполнил. Фиксируются все сетевые запросы браузера, снимки экрана, тексты документов и время каждого действия.
В отчёте вы увидите: какие данные собирает сайт, куда они уходят, запускаются ли трекеры до согласия посетителя, опубликована ли политика и корректно ли оформлены согласия на веб-формах. Каждый установленный факт связывается с нормой закона и получает оценку серьёзности.
Если признаков нарушений не найдено — отчёт это подтверждает. Если найдены эпизоды с рисками — вы получаете список с приоритетами: что исправить в первую очередь, а что можно отложить. Заключение оформляется в PDF, его можно передать подрядчику или показать юристу.
На что обратить внимание в работе с аутсорсером
Закон устанавливает санкции за конкретные нарушения: обработку данных без законных оснований, без согласия (когда оно обязательно), отсутствие политики, утечки. Размер штрафов зависит от вида нарушения и его последствий.
Если у подрядчика произошла утечка данных ваших сотрудников — закон предусматривает санкции за саму утечку и за непредставление уведомления регулятору. Кто именно получит штраф — зависит от обстоятельств конкретного случая.
Проверка сайта — это первый шаг. Дальше стоит обсудить с подрядчиком, как устроена обработка данных внутри компании, где они хранятся, кто имеет доступ и какие меры защиты применяются. Если на сайте обнаружены риски — это повод задать эти вопросы до подписания договора.
Чек-лист: что проверить у бухгалтерского аутсорсера
- 01Политика обработки персональных данных. Откройте сайт подрядчика, найдите ссылку на политику (обычно в подвале). Проверьте, указаны ли цели обработки, категории данных, сроки хранения и контакты оператора.
- 02Cookie-баннер и трекеры. Зайдите на сайт в режиме инкогнито. Если появился баннер — проверьте, можно ли отказаться от необязательных cookie одним нажатием. Если баннера нет, а сайт использует аналитику — это сигнал риска.
- 03Передача данных иностранным сервисам. Обратите внимание, какие сервисы подключены на сайте: Google Analytics, Facebook Pixel, Яндекс Метрика. Если используются иностранные сервисы — уточните у подрядчика, как оформлена трансграничная передача.
- 04Реквизиты и контакты оператора. Проверьте, указаны ли на сайте ИНН, ОГРН, юридический адрес и контакты для обращений по вопросам персональных данных. Их отсутствие затрудняет идентификацию оператора.
- 05Согласия на веб-формах. Если на сайте есть форма заявки или обратной связи — проверьте, оформлено ли согласие на обработку персональных данных. Оно должно быть активным действием, а не галочкой по умолчанию.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Отвечаю ли я за нарушения подрядчика по 152-ФЗ?
Закон устанавливает штрафы за конкретные нарушения: обработку без оснований, без согласия, отсутствие политики, утечки. Кто получит санкцию в случае нарушения — зависит от обстоятельств. Проверка сайта подрядчика покажет, есть ли у него признаки рисков.
Может ли бухгалтерский аутсорсер хранить данные за рубежом?
Есть требование о хранении данных граждан РФ в России; нарушение влечёт санкции. Если на сайте подрядчика данные уходят иностранным сервисам — это повод уточнить, где хранятся ваши данные и данные ваших сотрудников.
Как проверить, что аутсорсер соблюдает закон о персональных данных?
Начните с сайта: есть ли политика, корректно ли работает cookie-баннер, не уходят ли данные за рубеж до согласия. Проверка публичной части — первый шаг; дальше стоит обсудить с подрядчиком внутренние процессы и меры защиты.
Нужно ли согласие сотрудников на передачу их данных бухгалтерскому подрядчику?
Закон предусматривает штрафы за обработку без согласия, когда оно обязательно, но условия, при которых согласие обязательно или не обязательно для трудовых отношений, в публичных материалах не раскрыты. Это вопрос для юриста.
Что будет, если у аутсорсера произойдёт утечка данных моих сотрудников?
Закон предусматривает штрафы за утечку и за непредставление уведомления регулятору; размер зависит от числа пострадавших и повторности нарушения. Кто именно получит санкцию — зависит от обстоятельств конкретного случая.
Можно ли по сайту аутсорсера понять, есть ли у него проблемы с 152-ФЗ?
Сайт показывает, как компания относится к требованиям закона в публичной части. Если нет политики, трекеры стартуют до согласия или данные уходят за рубеж — это сигнал, что стоит задать подрядчику дополнительные вопросы.
Что проверяет Dobrolex на сайте бухгалтерского подрядчика?
Dobrolex фиксирует, какие данные собирает сайт, куда они уходят, запускаются ли трекеры до согласия, опубликована ли политика и корректно ли оформлены согласия. Результат — заключение в PDF с фактами, рисками и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.