Как оценить риски аутсорсера по персональным данным

Передавая бухгалтерский учёт или кадровое делопроизводство на внешнее сопровождение, компания фактически открывает подрядчику доступ к персональным данным сотрудников и клиентов: ФИО, паспортные серии, зарплатные ведомости, больничные. Если у исполнителя окажутся проблемы с соблюдением требований по защите информации, риски лягут не только на него. Публичная часть сайта аутсорсера — доступная точка входа для первичной оценки: она покажет, насколько внимательно компания подходит к юридической стороне работы с данными.

Такая проверка не заменит внутренний аудит процессов подрядчика, но даст понять, стоит ли задавать дополнительные вопросы до заключения контракта.

Выбор аутсорсера требует оценки не только цены и условий, но и подхода к работе с данными

Какие сигналы можно считать с публичной части сайта

Сайт подрядчика — это первый уровень контакта с аудиторией, и то, как компания выстраивает эту точку взаимодействия, косвенно отражает культуру внутренних процессов. Если на публичных страницах отсутствуют обязательные документы или технические решения создают риски по обработке данных, есть вероятность, что внутренняя работа устроена так же.

Первое, на что стоит обратить внимание — наличие и доступность политики обработки персональных данных. Этот документ должен быть легко обнаружим, обычно ссылка размещается в нижней части страниц. Политика раскрывает цели сбора информации, категории обрабатываемых данных, сроки хранения и контакты для обращений. Отсутствие такого документа создаёт риск санкций по ч. 3 ст. 13.11 КоАП РФ — штраф для юридических лиц от 30 000 до 60 000 ₽.

Второй момент — механика работы баннера о файлах cookie. Если на сайте подключены инструменты аналитики или рекламные сети, посетитель должен иметь возможность отказаться от необязательных категорий одним нажатием, а не искать настройки в глубине интерфейса. Критичнее другое: запускаются ли трекеры до того, как человек дал согласие. Если скрипты аналитики начинают работу сразу при загрузке страницы, это может квалифицироваться как обработка без оснований — риск по ч. 1 ст. 13.11 КоАП РФ с суммой штрафа от 150 000 до 300 000 ₽.

Третье — передача данных иностранным сервисам. Если сайт использует аналитические платформы, рекламные сети или системы авторизации, расположенные за пределами России, данные посетителей могут уходить за рубеж. Сам по себе такой обмен не запрещён, но требует выполнения ряда условий, включая уведомление регулятора. Наличие запросов к доменам иностранных сервисов — повод уточнить у подрядчика, как устроена работа с трансграничной передачей внутри компании и соблюдаются ли требования ч. 8 ст. 13.11 КоАП РФ о хранении данных граждан России на территории страны.

Проверка сайта занимает несколько минут, но помогает выявить системные проблемы

Как технически зафиксировать, что происходит на сайте

Чтобы оценить реальное поведение сайта, нужно посмотреть на него глазами нового посетителя — без сохранённых файлов cookie, без истории сеанса. Технически это означает открытие страниц в режиме инкогнито с фиксацией всех сетевых запросов браузера. Такой подход позволяет увидеть, какие скрипты загружаются при первом визите, куда отправляются данные и в какой момент запускаются трекеры.

Проверка включает снятие снимков экрана, сохранение текстов политик и согласий, запись временных меток каждого действия. В результате формируется картина: какие данные собирает сайт, какие внешние домены получают запросы, опубликованы ли необходимые документы, корректно ли оформлены формы для ввода информации. Каждый зафиксированный эпизод сопоставляется с нормами закона и получает оценку по степени серьёзности. Мы уже разбирали, как использовать такое заключение для планирования исправлений.

Если признаков нарушений не обнаружено, отчёт это фиксирует. Если выявлены эпизоды с рисками — документ содержит перечень с указанием приоритетов: что требует немедленного внимания, а что можно отложить. Заключение оформляется в формате PDF и может быть передано юристу или показано подрядчику для обсуждения.

Что обсудить с подрядчиком до подписания договора

Проверка публичной части — стартовая точка. Дальше стоит перейти к вопросам внутренней организации процессов. Где физически хранятся данные, кто из сотрудников подрядчика имеет к ним доступ, какие технические и организационные меры защиты применяются — эти детали не видны на сайте, но критичны для оценки рисков.

Если на сайте обнаружены эпизоды с риском по обработке данных, это повод задать подрядчику прямые вопросы: как выстроены внутренние процессы, есть ли назначенный ответственный за обработку, подано ли уведомление в Роскомнадзор, предусмотрены ли процедуры реагирования на утечки. Закон устанавливает санкции не только за саму утечку — от 3 до 15 млн ₽ в зависимости от числа пострадавших субъектов по ч. 12–14 ст. 13.11 КоАП РФ, — но и за несвоевременное уведомление регулятора: от 1 до 3 млн ₽ по ч. 11 той же статьи.

1. Политика обработки персональных данных доступна и содержит все обязательные разделы
2. Баннер о файлах cookie позволяет отказаться от необязательных категорий, трекеры не стартуют до согласия
3. Данные не передаются иностранным сервисам без уведомления или передача оформлена в соответствии с требованиями
4. На сайте указаны реквизиты оператора: ИНН, ОГРН, юридический адрес и контакты для обращений
5. Формы для ввода данных содержат явное согласие на обработку, без предустановленных галочек

Кто именно получит санкцию в случае нарушения — зависит от обстоятельств конкретной ситуации. Но наличие проблем на публичной части сайта подрядчика — сигнал, что внутренние процессы могут быть выстроены недостаточно надёжно. Проверка перед заключением договора снижает вероятность неприятных сюрпризов в будущем. Сервис Dobrolex фиксирует такие эпизоды автоматически, проверяя публичные страницы с чистой сессии и формируя заключение с указанием рисков и приоритетов.

Диалог с подрядчиком о процессах работы с данными — необходимый этап выбора

Оценка подрядчика по его сайту не даёт полной гарантии, но позволяет отсечь компании с явными пробелами в комплаенсе и сосредоточить внимание на тех, кто уделяет этой стороне должное внимание. В условиях, когда штрафы за нарушения исчисляются миллионами, такая предварительная проверка становится разумной частью процесса выбора исполнителя.