Каким должен быть образец реестра ПДн для сайта
Реестр — это не только перечень полей из веб-форм. Его задача — показать, зачем сайт обрабатывает данные, чьи данные получает, какие действия с ними выполняет и с какими документами это связано.
Для сайта удобно вести отдельные строки или блоки по заявке через форму, аналитике, cookies, регистрации, авторизации и обратной связи. Если один сервис участвует в нескольких сценариях, это лучше отразить отдельно, чтобы не потерять различия в целях и составе данных.
- цель обработки и конкретный сценарий сайта
- категории субъектов и персональных данных
- основание обработки и используемые документы
- срок хранения и действия с данными
- получатели, внешние сервисы и трансграничные сценарии
- ответственный оператор и реквизиты
Почему заполненного реестра недостаточно
Документ описывает заявленную модель обработки, но сайт может работать иначе. Например, аналитика или cookie-файлы могут запускаться до выбора пользователя, а форма — отправлять сведения внешнему сервису, который не отражён в документах.
Поэтому проверяйте реестр в связке с публичными страницами и техническим поведением браузера. Запрос к внешнему сервису — технический сигнал для дополнительной проверки, а не самостоятельное доказательство нарушения или трансграничной передачи.
- политика обработки персональных данных
- согласия и тексты у веб-форм
- cookie-баннер и настройки категорий
- оферта и реквизиты оператора
- страницы авторизации и регистрации
Как проверить реестр ПДн на реальном сайте
Начните с просмотра глазами нового посетителя: какие сведения запрашиваются, какие согласия показываются и какие документы доступны до отправки формы. Затем проверьте, не стартуют ли необязательные трекеры раньше согласия и есть ли у пользователя равнозначный отказ.
Публичный осмотр проводится без входа в аккаунт, отправки форм и ввода данных. Полезно сохранить снимки экранов, время фиксации и цитаты из документов, чтобы каждое расхождение можно было связать с конкретным сценарием.
- откройте сайт в чистой сессии без входа в аккаунт
- зафиксируйте баннер, кнопки отказа и настройки категорий
- не отправляйте формы и не вводите реальные данные
- снимите документы и дословные цитаты
- сопоставьте сетевые обращения с описанием обработки
Что делать, если реестр и сайт не совпадают
Сначала отделите установленный факт от вопроса, который требует дополнительной проверки. Видимый текст формы, отсутствие нужного элемента интерфейса или запуск запроса можно зафиксировать; правовую квалификацию и обстоятельства серверной обработки нужно оценивать с учётом контекста.
При внешней проверке публичной части можно получить заключение в PDF с фактами, серьёзностью эпизодов, правовой квалификацией, снимками и очерёдностью исправлений. В нём также указываются пределы осмотра: отсутствие найденных эпизодов на доступных страницах не является гарантией соответствия всему закону.
- сначала исправьте несоответствия между формами и документами
- отдельно разберите запуск трекеров до согласия
- уточните роль внешних и иностранных сервисов
- проверьте реквизиты и сведения об операторе
- оставьте вопросы, требующие серверной или юридической проверки
Что проверить в реестре ПДн и на сайте
- 01Состав данных и цели. Определите для каждой формы и сценария, какие сведения о посетителе собираются и для какой цели.
- 02Политика и фактический сбор. Проверьте, опубликована ли политика обработки персональных данных и совпадают ли её положения с фактической работой сайта.
- 03Согласия посетителя. Зафиксируйте, какие согласия показываются до отправки формы и можно ли отказаться от необязательных действий.
- 04Трекеры до согласия. Откройте сайт в чистой сессии и проверьте, запускаются ли аналитика и cookie до выбора пользователя.
- 05Внешние сервисы. Посмотрите, нет ли обращений к иностранным сервисам и сценариев авторизации, которые могут затрагивать персональные данные.
- 06Сведения об операторе. Сверьте документы сайта с реквизитами оператора и проверьте, описаны ли основания, цели и способы обработки.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Частые вопросы
Где взять образец реестра ПДн?
Единого универсального шаблона для всех сайтов нет: состав зависит от форм, целей обработки, категорий данных и используемых сервисов. Реестр удобно вести как рабочую таблицу, а его сведения сверять с политикой, согласиями и фактическими запросами сайта.
Что включить в образец реестра ПДн для сайта?
В реестре обычно связывают цель обработки с категориями субъектов и данных, источником, основанием, сроком хранения, действиями с данными и привлечёнными сервисами. Для сайта важно отдельно описать формы, cookies, аналитику, авторизацию и передачу данных внешним получателям.
Достаточно ли заполнить реестр ПДн и опубликовать политику?
Нет. Документ может быть составлен аккуратно, но фактическая обработка всё равно должна ему соответствовать. Если трекер запускается до согласия или форма передаёт сведения внешнему сервису, это повод отдельно проверить правовое основание и настройки.
Нужно ли включать в реестр зарубежные сервисы и cookies?
Технический обмен браузера помогает увидеть внешние запросы, но сам по себе не доказывает нарушение. Нужно установить, какие данные передаются, при каких условиях, кому они могут быть доступны и как это описано в документах.
Как проверить, что реестр ПДн соответствует сайту?
Сначала сопоставьте реестр с сайтом: пройдите публичные страницы без входа и отправки форм, проверьте баннер, документы, формы и сетевые обращения. Затем зафиксируйте расхождения и определите, что требует дополнительной юридической или технической проверки.
Можно ли по реестру понять, что сайт полностью соответствует 152-ФЗ?
Публичная проверка покажет только доступные без авторизации страницы и наблюдаемые сценарии. Она не раскрывает серверную часть, закрытые разделы и внутренние процессы, поэтому отсутствие найденных эпизодов не означает полного соответствия закону.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.