Применяется ли 152-ФЗ к некоммерческим организациям
НКО — это юридическое лицо, и закон о персональных данных распространяется на все юрлица, которые обрабатывают данные граждан. Не важно, коммерческая организация или нет: если вы собираете анкеты благополучателей, принимаете заявки от волонтёров через форму на сайте, ведёте базу доноров — вы оператор персональных данных.
Это значит: нужно опубликовать на сайте политику обработки персональных данных, получать согласие субъектов и соблюдать требования закона. Если организация передаёт персональные данные за рубеж, необходимо уведомить Роскомнадзор до начала передачи. Другие обязанности оператора — включая общее уведомление регулятора — зависят от характера и объёма обработки данных, их лучше уточнить с юристом.
Какие данные собирает сайт НКО и где возникают риски
Типичный сайт НКО собирает ФИО, телефон, email через формы «Стать волонтёром», «Получить помощь», «Поддержать проект». На сайте работает аналитика — Яндекс Метрика, Google Analytics, пиксели соцсетей. Всё это — обработка персональных данных.
Риск возникает, если трекеры запускаются раньше, чем посетитель согласился на cookie. Другой частый эпизод: данные уходят иностранным сервисам (Google, Facebook, Amplitude) без предупреждения и согласия. Третий: на сайте нет политики обработки персональных данных или в ней не указаны обязательные реквизиты оператора.
Проверка показывает, что происходит на публичных страницах сайта: какие данные собираются, куда они отправляются, запускаются ли трекеры до согласия, есть ли на сайте политика и согласия. Каждый факт фиксируется снимком экрана и связывается с нормой закона.
Что проверить в cookie-баннере и согласиях
Cookie-баннер должен давать равнозначный выбор: кнопка отказа — такая же заметная, как кнопка принятия, и посетитель может настроить категории файлов (например, оставить только технические, отключить аналитику). Если на баннере только «Принять» или «ОК», а отказаться можно, лишь закрыв сайт — это создаёт риск.
Проверка фиксирует, как выглядит баннер, какие кнопки на нём есть, запускаются ли скрипты до выбора посетителя и есть ли на страницах с формами ссылка на политику, текст согласия и реквизиты оператора. Конкретные требования к содержанию и форме согласия зависят от того, какие данные собираются и для каких целей.
Политика обработки персональных данных: что должно быть на сайте
Политика обработки персональных данных — обязательный документ для любого оператора, который размещает информацию в интернете. Политика должна быть доступна посетителю: например, ссылка в подвале сайта или рядом с формой. В документе указываются реквизиты оператора (ИНН, ОГРН, юридический адрес), контакты для обращений по вопросам персональных данных.
Проверка покажет, опубликована ли политика на сайте, доступна ли она без регистрации и указаны ли в ней реквизиты оператора. Если политики нет — это самостоятельный эпизод с признаками нарушения.
Как проверить сайт НКО и что делать с результатами
Проверка проходит с чистой сессии — глазами нового посетителя, до любого согласия. Фиксируются запросы браузера, снимки экранов, тексты документов. В заключении — эпизоды с признаками нарушений, их серьёзность и рекомендации, что исправить в первую очередь.
Сетевые запросы к внешним сервисам — технический сигнал для дополнительной проверки, а не готовое доказательство. Юридическая квалификация строится на совокупности фактов: что собирается, когда, есть ли согласие, опубликованы ли документы.
Если эпизодов не найдено — значит, на осмотренных публичных страницах признаков нарушений нет. Это не гарантия полного соответствия закону: закрытые разделы, серверная часть и внутренние процессы остаются за рамками проверки. План действий даёт готовые решения для кода, настроек и документов к каждому риску.
Чек-лист: что проверить на сайте НКО прямо сейчас
- 01Политика обработки персональных данных. Откройте главную страницу сайта, найдите ссылку на политику в подвале или рядом с формами. Проверьте, указаны ли в документе ИНН, ОГРН, юридический адрес и контакты для обращений.
- 02Cookie-баннер и равнозначный отказ. Откройте сайт в режиме инкогнито. Посмотрите на баннер: есть ли кнопка отказа, такая же заметная, как «Принять», можно ли настроить категории файлов.
- 03Трекеры до согласия. Откройте инструменты разработчика (F12), вкладка «Сеть». Обновите страницу, не нажимая на баннер. Посмотрите, уходят ли запросы к Google, Яндексу или другим сервисам.
- 04Согласия в веб-формах. Найдите на сайте форму (заявка на помощь, регистрация волонтёра). Проверьте, есть ли под формой текст согласия или ссылка на него, указаны ли реквизиты оператора.
- 05Реквизиты оператора. Проверьте, есть ли на сайте страница «Контакты» или «Реквизиты», где указаны ИНН, ОГРН, юридический адрес. Эти данные должны совпадать с реквизитами в политике и согласиях.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Частые вопросы
Нужно ли НКО подавать уведомление в Роскомнадзор
НКО — это юридическое лицо. Если организация передаёт персональные данные за рубеж, уведомление Роскомнадзора до начала передачи обязательно. Другие требования к уведомлению зависят от характера и объёма обработки данных — это лучше уточнить с юристом.
Можно ли использовать Google Analytics на сайте НКО
Можно, если трекер запускается только после согласия посетителя и в политике указано, что данные передаются иностранным сервисам. Если аналитика стартует до согласия или передача не раскрыта — это создаёт риск.
Какое согласие нужно для сбора данных о здоровье благополучателей
Требования к согласию зависят от категории данных и целей их обработки. Проверка сайта покажет, есть ли на страницах с формами согласие и реквизиты оператора. Конкретную форму и содержание согласия стоит обсудить с юристом.
Можем ли мы хранить базу доноров в Google Таблицах
Требование о хранении персональных данных граждан России на территории страны установлено законом. Проверка сайта не охватывает серверную инфраструктуру и внутренние базы — только публичные страницы.
Что будет, если на сайте НКО нет политики обработки персональных данных
Отсутствие опубликованной политики — самостоятельное нарушение, которое может квалифицироваться по соответствующей норме КоАП. Политика обязательна для любого оператора, который размещает информацию в интернете.
Можно ли передавать данные благополучателей грантодателю
Проверка покажет, раскрыта ли на сайте информация о получателях данных в политике и согласиях. Правовые условия передачи данных третьим лицам и требования к дополнительному согласию стоит уточнить с юристом.
Что покажет проверка сайта НКО
Проверка покажет, какие данные собираются на публичных страницах, куда они отправляются, запускаются ли трекеры до согласия, есть ли политика и согласия. Каждый факт связывается с нормой закона и получает рекомендацию, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.