Какие требования 152-ФЗ применяются к сайтам госучреждений
Государственные и муниципальные учреждения — школы, больницы, библиотеки, администрации, МФЦ — являются операторами персональных данных. Если на сайте есть формы обратной связи, запись на приём, личный кабинет или счётчики аналитики, учреждение обрабатывает данные посетителей и обязано соблюдать закон.
Применяются те же нормы, что и для коммерческих организаций: согласие субъекта до начала обработки cookie и трекеров, политика обработки персональных данных на сайте, локализация данных граждан России в базах на территории страны. Если данные передаются за рубеж — требуется уведомление Роскомнадзора.
Одно из требований — уведомление Роскомнадзора о намерении обрабатывать персональные данные. Если сайт изменился, важно проверить, соответствует ли поданное уведомление фактической работе сайта: какие данные собираются, куда передаются, какие внешние сервисы используются.
Что чаще всего не соответствует закону на сайтах госучреждений
Счётчики аналитики и cookie запускаются до согласия посетителя. Яндекс.Метрика, Google Analytics, виджеты социальных сетей начинают работать сразу при загрузке страницы, хотя обработка данных без согласия может создавать риск.
Политика обработки персональных данных написана давно и не соответствует тому, что происходит на сайте сейчас. В документе не указаны внешние сервисы, которые получают данные, или цели обработки сформулированы обобщённо.
Данные передаются иностранным сервисам без уведомления Роскомнадзора. Например, форма обратной связи интегрирована с внешним сервисом, который хранит данные за границей, или аналитика отправляет запросы на серверы за пределами России.
Cookie-баннер отсутствует или не даёт возможности отказаться от обработки до её начала. Посетитель видит информационное сообщение без выбора, либо трекеры стартуют раньше, чем человек успевает принять решение.
Как проверить сайт госучреждения на соответствие 152-ФЗ
Проверка начинается с осмотра сайта глазами нового посетителя — с чистой сессии, до любого согласия. Фиксируется, какие данные собираются, куда отправляются запросы, в какой момент запускаются трекеры и есть ли возможность отказаться.
Dobrolex открывает сайт, записывает сетевой обмен браузера, делает снимки экрана и анализирует документы: политику обработки, согласия, реквизиты оператора. Каждый установленный факт сопоставляется с нормой закона.
В заключении — резюме с эпизодами, которые могут создавать риск, установленные обстоятельства со снимками и временем фиксации, правовая квалификация по каждому эпизоду с рекомендацией, что исправить. Если признаков нарушений не найдено, отчёт подтверждает: на осмотренных публичных страницах сайт в порядке.
Что делать, если на сайте обнаружены риски по 152-ФЗ
Отчёт даёт рекомендации: что исправить в первую очередь, какие изменения внести в код, настройки или документы. Например, перенести запуск счётчиков под управление cookie-баннера, дополнить политику обработки актуальными сведениями о внешних сервисах.
Если нужна помощь юриста — тариф «Исправление с юристом» включает подготовку документов под конкретный сайт, сопровождение правок и итоговую проверку. Государственное учреждение получает не только список рекомендаций, но и готовые решения, которые можно передать подрядчику или внедрить силами своего IT-отдела.
Проверьте сайт госучреждения по 152-ФЗ
- 01Политика обработки опубликована и соответствует сайту. На сайте есть политика обработки персональных данных, в которой описаны внешние сервисы и цели обработки, которые соответствуют тому, что происходит сейчас.
- 02Cookie-баннер даёт выбор до начала обработки. Посетитель может отказаться от необязательных cookie и трекеров до их запуска, а не только прочитать информационное сообщение.
- 03Счётчики аналитики запускаются после согласия. Яндекс.Метрика, Google Analytics и другие трекеры не отправляют запросы до того, как посетитель принял решение.
- 04Проверено, уходят ли данные за границу. Если формы, виджеты или аналитика могут передавать данные иностранным сервисам, важно зафиксировать этот факт и проверить соответствие требованиям закона.
- 05Работа сайта сопоставлена с требованиями закона. Какие данные собираются, какие внешние сервисы их получают, в какой момент запускаются трекеры — эти факты помогают понять, что может потребовать исправления.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Небольшой проектный сайт
Эпизодов с признаками нарушений по результатам осмотра не выявлено — отчёт подтверждает, что сайт в порядке.
- — Отрицательный результат тоже документ: снимки, цитаты и пределы проверки фиксируются так же
Частые вопросы
Чем требования 152-ФЗ для госучреждений отличаются от коммерческих сайтов?
Нормы о согласии, политике, локализации и трансграничной передаче применяются одинаково. К госсектору — повышенное внимание надзора, важно проверять соответствие сайта требованиям закона.
Может ли проверка Dobrolex показать, соответствует ли сайт уведомлению в Роскомнадзоре?
Проверка фиксирует, какие данные собираются сейчас и куда передаются. Эти сведения помогают сопоставить работу сайта с уведомлением, но саму проверку соответствия проводит специалист.
Можно ли использовать Google Analytics на сайте госучреждения?
Проверка фиксирует, в какой момент запускаются счётчики и куда уходят запросы. Если данные передаются иностранному сервису до согласия или без уведомления Роскомнадзора — это может создавать риск.
Что будет, если на сайте госучреждения нет cookie-баннера?
Если трекеры и cookie запускаются без согласия, это создаёт риск. Проверка фиксирует, в какой момент стартуют скрипты и есть ли возможность отказаться до начала обработки.
Что даёт заключение Dobrolex при проверке или жалобе?
Заключение содержит снимки экрана, цитаты из документов, время фиксации и правовую квалификацию. Если эпизодов не найдено, отчёт подтверждает: на осмотренных публичных страницах признаков нарушений нет. Заключение не заменяет консультацию юриста.
Проверяет ли Dobrolex закрытые разделы сайта госучреждения?
Нет, проверяются только публичные страницы без входа в аккаунт и без отправки форм. Закрытые разделы, серверная часть и внутренние процессы остаются за пределами проверки.
Сколько стоит проверка сайта госучреждения?
Аудит сайта с заключением в PDF; аудит и план действий с решениями для кода, настроек и документов; исправление с юристом — подготовка документов, сопровождение правок и итоговая проверка.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.