Регламент доступа к ПДн: что это, зачем он нужен и как сверить его с реальным сайтом

Что такое регламент доступа к ПДн и почему одного документа мало

Регламент доступа к персональным данным — это внутренний документ оператора: он описывает, кто в компании и на каком основании получает доступ к данным посетителей и клиентов, как этот доступ предоставляется и прекращается, как фиксируются действия с данными. Он не заменяет политику обработки персональных данных на сайте и не отменяет согласия: это разные уровни.

Практическая проблема в том, что внутренние правила и публичный контур часто расходятся. На бумаге данные обрабатываются аккуратно, а на сайте в этот момент работает счётчик, который отдаёт сведения о посетителях внешнему сервису, или баннер о cookie предлагает только «принять», без равнозначного отказа. Формально у вас есть документ, фактически — другая картина.

Именно поэтому проверку стоит начинать не с документа, а с фактов о сайте. Когда видно, какие данные уходят и кому, становится понятно, какие правила доступа нужны и кто должен быть в них указан.

Что проверить в публичном контуре сайта прямо сейчас

Публичный контур — это то, что видит и на что влияет посетитель. Его можно осмотреть без специальных знаний: сайт открывается в чистой сессии, до нажатия любых кнопок и до согласия с cookie, и вы смотрите, что происходит.

• Открываются ли счётчики и cookie-файлы раньше, чем посетитель дал согласие, — то есть запускается ли аналитика сама по себе, а не только показывается баннер.
• Есть ли в cookie-баннере равнозначный отказ и настройка категорий, или выбор сводится к одной кнопке согласия.
• Куда уходят данные: какие иностранные сервисы и запросы получают сведения о посетителе.
• Как оформлен сбор данных в веб-формах: что именно запрашивается, какой текст согласия рядом и что происходит при отправке.
• Есть ли на сайте политика обработки персональных данных, согласия, оферта и реквизиты оператора — и указаны ли в них ИНН, ОГРН и контакты.

Как отличить технический сигнал от установленного факта

Это ключевое различие, без которого легко сделать неверный вывод. Сетевой обмен браузера — то, что сайт отправляет наружу, — фиксируется как технический сигнал. Он не доказывает нарушение сам по себе: он показывает, что стоит проверить.

Например, запрос к иностранному сервису говорит о том, что данные могут передаваться за рубеж, и это создаёт риск, который требует оценки. Для трансграничной передачи важны критерии, применимые к стране получателя, и уведомление регулятора; соответствует ли конкретная ситуация требованиям — вопрос разбора, а не автоматического вывода из одного запроса.

Так же стоит относиться к трекеру, который стартовал до согласия: это признак того, что согласие и фактическая обработка расходятся, — и повод проверить, как устроен баннер и какие скрипты подключаются. Юридические выводы в таких случаях формулируются осторожно: поведение сайта может квалифицироваться как нарушение в зависимости от обстоятельств.

Что делать с расхождениями: порядок исправлений

Работает простой принцип: сначала техническая часть, потом текст документов. Если сначала переписать политику и регламент, а потом добавить счётчик или форму, документы снова разойдутся с сайтом — и всю работу придётся повторять.

Начинать разумно с того, что определяет фактическую обработку: настройки cookie и согласия, подключённые внешние сервисы, сценарии входа, состав данных в формах. После этого формулировки политики, согласий и внутренних правил доступа приводятся в соответствие с реальной картиной.

Отдельно стоит держать в голове кадровую и договорную часть: кто из сотрудников и подрядчиков имеет доступ к данным и на каком основании. Это за пределами осмотра публичных страниц, но именно сюда ведут выводы о том, какие данные сайт собирает и какие сервисы получают к ним доступ.

Что показывает проверка сайта в Dobrolex

Проверка показывает, что сайт делает на самом деле: какие данные собирает, куда их отправляет и где возникают правовые риски по 152-ФЗ и 38-ФЗ. Сайт открывается с чистой сессии, глазами нового посетителя, до любого согласия; факты фиксируются снимками экрана и дословными цитатами из документов и связываются с нормами закона.

Результат — заключение в PDF. В нём резюме эпизодов с признаками нарушений, их серьёзность и ориентировочный диапазон санкций; сведения об операторах персональных данных из документов сайта; установленные обстоятельства со снимками экрана и временем фиксации; правовая квалификация по каждому эпизоду со ссылкой на нормы и рекомендацией, что исправить; обстоятельства, требующие дополнительной проверки, например сетевые запросы к внешним сервисам; оговорки, пределы проверки и опись материалов фиксации.

Границы честные: проверяются только публичные страницы — без входа в аккаунт, без отправки форм и ввода данных. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Если эпизодов не найдено, это значит ровно одно: на осмотренных публичных страницах признаков нарушений нет. Это не гарантия соответствия закону — закрытые разделы, серверная часть и внутренние процессы остаются за рамками проверки.