Заключение о рисках сайта по 152-ФЗ: как превратить его в план работ команды
Соответствие сайта закону о персональных данных давно перестало быть заботой одного юриста. Счётчики ставит маркетолог, формы собирает подрядчик, виджеты подключает отдел продаж, политику пишет юрист, и каждый видит только свой участок. Когда по итогам осмотра появляется перечень эпизодов с рисками, нередко оказывается, что отвечать за него в целом некому.
Поэтому самое трудное начинается не во время проверки, а после неё. Ниже речь пойдёт о том, как превратить заключение в понятный план работ, распределить задачи между командами и объяснить руководству, что именно показал осмотр и чего он показать в принципе не может.
Почему заключение застревает между отделами
Типичный эпизод из заключения выглядит так: на чистой сессии, ещё до клика по баннеру, браузер отправил запросы к сервису аналитики и записал cookie. Для юриста это вопрос оснований обработки, для маркетолога — настройка счётчика, для разработчика — порядок загрузки скриптов. Если документ просто переслать в общий чат, каждый увидит в нём чужую задачу. В итоге проходит месяц, а сайт ведёт себя так же, как в день осмотра.
Вторая причина в том, что команды говорят на разных языках. Заключение связывает факт с нормой и описывает серьёзность эпизода, но не подсказывает, в каком контейнере менеджера тегов искать нужный триггер. Разработчику нужны конкретные запросы и домены, юристу — формулировки политики, руководителю — масштаб последствий. Полезно сразу после получения отчёта провести короткую встречу, на которой один человек переводит эпизоды на язык каждой команды.
Какие точки риска фиксирует осмотр и как оценивают каждую из них, подробно описано в разборе Dobrolex об оценке рисков сайта по 152-ФЗ. Здесь же сосредоточимся на том, что происходит, когда документ уже лежит на столе.
Кому что достаётся: раскладываем эпизоды по владельцам
Начинать удобнее не с вопроса «что нарушено», а с вопроса «кто может это исправить». Почти каждый эпизод сводится к одному из нескольких типов работ, и у каждого типа есть свой естественный владелец. Такое распределение сразу показывает, где нужны совместные решения, а где хватит одного исполнителя.
- Трекеры и пиксели, которые стартуют до согласия, — маркетолог вместе с разработчиком: правила запуска в менеджере тегов и порядок загрузки скриптов
- Баннер без равнозначного отказа и настройки категорий — продуктовая команда и дизайнер интерфейса
- Запросы к иностранным сервисам аналитики, рекламы и авторизации — руководитель направления, который решает, оставить сервис или заменить его
- Веб-формы без согласия и без ссылки на политику — разработчик и отдел-владелец формы
- Политика обработки данных и реквизиты оператора — юрист
Формам стоит уделить отдельное внимание: их часто добавляют разные отделы без общего согласования. Особенно чувствительны сценарии, где о человеке собирают много сведений, например отклики на вакансии. Мы отдельно разбирали, что проверить перед сбором резюме на карьерных страницах.
С баннером похожая история: дизайн согласуют маркетинг и бренд-команда, а требования к кнопке отказа остаются вне поля зрения. Если баннер попал в заключение, пригодится наш прошлый материал, где мы уже разбирали, что проверять в cookie-баннере до запуска.
Очерёдность определяет не то, насколько эпизод заметен, а то, как с ним связаны остальные. Если политика описывает одни цели, а сайт передаёт данные в другие сервисы, переписывать текст первым делом бессмысленно. Сначала решают, какие сервисы остаются, затем меняют настройки, и только потом приводят документы в соответствие с фактическим поведением сайта.
Как говорить с руководителем и не обещать лишнего
Руководителю важно услышать три вещи: что обнаружено, чем это грозит и сколько работы потребуется. Говорить лучше языком риска. Например, расхождение между политикой и реальной работой сайта создаёт риск квалификации по ч. 1 ст. 13.11 КоАП, где для юрлиц предусмотрен штраф от 150 до 300 тыс. ₽. Отсутствие опубликованной политики рассматривается как отдельный эпизод по ч. 3 ст. 13.11 КоАП с диапазоном от 30 до 60 тыс. ₽. Такие формулировки помогают обосновать задачи для разработки и не превращают разговор в запугивание.
Так же важно честно обозначить пределы. Автоматический осмотр охватывает только публичные страницы: он не входит в личный кабинет, не отправляет формы и не вводит данные. Сетевые запросы — это технический сигнал для дополнительной проверки, а не готовое доказательство. Если эпизодов не нашли, значит, на осмотренных страницах признаков нарушений нет, а серверная обработка, закрытые разделы и внутренние процессы остались за рамками.
Заключение — не приговор и не справка о чистоте. Это карта: она показывает, где искать, но не заменяет разговора с юристом.
Отсюда практическое правило: после исправлений сайт стоит снова открыть с чистой сессии и сравнить его поведение с исходным заключением. Повторный осмотр подтверждает закрытие эпизодов и показывает руководителю результат, а не отчёт о проделанной работе. Если же в компании сложные процессы — личные кабинеты, интеграции с внешними системами, — заключение становится отправной точкой для более глубокого аудита с привлечением специалистов.
Ценность проверки сайта на 152-ФЗ определяется не числом найденных эпизодов, а тем, сколько из них закрыто через месяц. Для этого у каждого эпизода должен быть владелец, должна быть понятная очерёдность, а команда должна трезво представлять границы осмотра. Тогда заключение становится рабочим документом для маркетинга, разработки и юристов, а не файлом, который открыли один раз и забыли.