Что включить в образец журнала ПДн для сайта
Универсального бланка, который одинаково подходит каждому сайту, нет. Рабочая запись должна описывать не только название процесса, но и его фактическую механику: что вводит посетитель, что получает браузер и какие действия выполняет оператор.
Для формы обратной связи это может быть отдельная строка с полями формы, целью обращения, текстом согласия, получателями данных и документом, который объясняет обработку. Для аналитики и cookie нужно указать сценарий запуска и связать его с настройками согласия.
- название процесса и страницу, где он происходит
- категории персональных данных и цель обработки
- источник данных и выполняемые операции
- сервисы, получающие запросы или данные
- ссылка на политику, согласие или другой документ
- дата проверки и приложенные материалы
Как проверить, совпадает ли журнал с сайтом
Запись нельзя составлять только по политике или техническому заданию. Сайт открывают глазами нового посетителя до согласия, а затем сравнивают фактические элементы страницы с тем, что указано в журнале.
Если аналитика или cookie стартуют раньше выбора посетителя, это фиксируют как обстоятельство с правовым риском. Запрос к внешнему сервису также записывают отдельно: это технический сигнал для дополнительной проверки, а не готовый вывод о нарушении.
- откройте страницу в чистой сессии
- зафиксируйте состояние до любого согласия
- проверьте формы, cookie и сетевые запросы
- сохраните снимки экрана и цитаты документов
Как описать внешние и иностранные сервисы
Не стоит автоматически писать в журнале, что обнаружена трансграничная передача или нарушение. Корректнее указать установленный технический факт, источник наблюдения и вопрос, который нужно проверить по договорным, серверным и внутренним процессам.
Такой подход отделяет наблюдение от правовой квалификации. Он особенно важен для авторизации, аналитики, виджетов и других интеграций, которые могут получать запросы посетителя ещё до отправки формы.
- название внешнего сервиса и адрес запроса
- страница и момент, когда запрос наблюдался
- видимые данные или параметры, если они установлены
- почему обстоятельство требует дополнительной проверки
Что исправить после сверки
Если журнал расходится с сайтом, сначала зафиксируйте конкретное расхождение: отсутствующий процесс, лишнюю категорию данных, неописанный сервис, несоответствующую цель или документ, которого не видно посетителю. Затем определите, что требует изменения в коде, настройках или документах.
Публичная проверка не показывает серверную часть, закрытые разделы и внутренние процессы. Поэтому итог должен прямо разделять установленные обстоятельства, вопросы для дополнительной проверки и пределы осмотра, а не превращать журнал в подтверждение полного соответствия закону.
- сверьте цели в журнале с политикой и согласиями
- проверьте реквизиты оператора и контакты
- сопоставьте состав данных с полями форм
- отдельно отметьте закрытые и непроверенные процессы
- составьте очерёдность исправлений по серьёзности эпизодов
Что проверить в журнале прямо сейчас
- 01Зафиксируйте состав данных. Определите, какие категории персональных данных сайт получает через формы, регистрацию, обратный звонок и аналитику.
- 02Сопоставьте цели. Сверьте цели обработки в журнале с политикой, согласиями и фактическими сценариями сайта.
- 03Проверьте сервисы. Укажите в рабочей записи оператора, сервисы и основания передачи данных, не ограничиваясь названием виджета.
- 04Проверьте загрузку до согласия. Отдельно отметьте cookie и трекеры, которые запускаются до выбора посетителя.
- 05Добавьте доказательства. Запишите дату проверки, страницу, обнаруженный факт и документ или настройку, где он подтверждается.
- 06Сверьте документы. Проверьте, что публичные документы содержат сведения об операторе и понятный порядок обработки данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Есть ли обязательный образец журнала ПДн?
Единого универсального бланка для всех сайтов нет. Журнал должен отражать ваши процессы: категории данных, цели, источники, операции, сервисы, документы и результаты проверок.
Достаточно ли заполнить образец журнала ПДн?
Нет. Запись в журнале не подтверждает сама по себе, что сайт действует законно: фактические запросы, настройки форм, cookie и документы нужно сопоставлять между собой.
Какие процессы сайта заносить в журнал?
Включите формы, регистрацию, авторизацию, обратную связь, аналитику, рекламные инструменты и другие сценарии, где посетитель или браузер передаёт сведения.
Что приложить к записи в журнале?
Отмечайте только подтверждённые обстоятельства: страницу, время фиксации, запрос или документ и его дословный фрагмент. Сетевой обмен фиксируется как технический сигнал, требующий дополнительной проверки.
Нужно ли отражать cookie в журнале ПДн?
Проверьте не только текст баннера, но и реальный запуск аналитики и cookie до выбора посетителя. Наличие такого запуска создаёт правовой риск, но окончательная квалификация зависит от обстоятельств.
Может ли журнал заменить проверку сайта?
Публичный осмотр не охватывает закрытые разделы, серверную часть и внутренние процессы. Поэтому отсутствие эпизодов на просмотренных страницах не означает полного соответствия закону.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.