Большая часть написанного в интернете про обработку персональных данных – чушь.

Нельзя копировать политику персональных данных у конкурентов, нельзя сделать ее грамотно через нейросети, нельзя просто поставить чекбокс «я согласен» и думать, что вы защищены.

– Что должно быть на ресурсах бизнеса, чтобы обезопасить себя от штрафов по обработке ПДн

– Почему отсутствие политики и согласий может стоить вам сделки с инвестором или тендера с госкорпорацией

– Как выявить критические ошибки в обработке персональных данных до того, как к вам придёт проверка

– Реальные кейсы: как стартап потерял $250 000 инвестиций, а IT-компания едва не получила штраф на 6 млн ₽ — и что их спасло или погубило

– Что делать, если данные уже утекли, пользователь подал жалобу или пришло письмо от РКН — пошаговый антикризисный план

Это как с управлением автомобилем: наличие водительских прав подтверждает ваше право сесть за руль, но их отсутствие вовсе не освобождает от ответственности за то, как вы едете.

Если человек без прав устроит ДТП — его накажут и за то, что у него не было прав, и за то, что он подверг опасности других участников движения. Право и ответственность — разные вещи, и одно не отменяет другое.

Важно: Пользователь дает согласие не на политику, а на конкретное согласие. Политика - не оферта, с ней соглашаться не нужно. Согласие дается на каждый конкретный раз, когда собираются данные

– Если у вас несколько форм или продуктов (например, сайт + мобильное приложение), — политика должна учитывать все каналы сбора данных.

– Документ должен быть актуальным и на русском языке (если вы работаете с гражданами РФ).

– Существует правило: ”'одна цель — одно согласие”. В каждой точке сбора персональных данных — будь то на сайте или в офлайн-каналах — должно запрашиваться отдельное согласие, в котором чётко указаны конкретная цель обработки и перечень собираемых данных

– Она должна быть доступна с любой страницы сайта — обычно ссылка размещается в подвале (footer) и под всеми формами сбора данных.

– Политика должна быть индивидуальной и содержать полный перечень категорий субъектов персональных данных (таких как посетители, пользователи, агенты, поставщики) с указанием целей обработки и подробным описанием обрабатываемых данных для каждой категории

Важно: если данные обрабатываются через CRM, сайт, виджет — должен быть способ подтвердить, что пользователь дал согласие

– Раздельные ссылки на документы:
одна на политику конфиденциальности, вторая — на полное согласие с формулировками, соответствующими ФЗ-152

– Активное действие пользователя — согласие не может быть «по умолчанию». Пользователь должен поставить галочку или нажать кнопку, подтверждающую согласие.

На что смотрит проверка:

– Есть ли HTTPS (замочек в адресной строке)
– Безопасен ли сертификат (не просрочен)
– Работают ли все формы на HTTPS, а не на HTTP (особенно это часто забывают на поддоменах)

– Баннер или pop-up при заходе на сайт с текстом:
«Мы используем cookies и сторонние сервисы для аналитики. Продолжая пользоваться сайтом, вы соглашаетесь с условиями Политики конфиденциальности.»

– Ссылка на вашу политику, где подробно указано, какие трекеры используются и как отказаться

Важно: это особенно критично для тех, кто использует ретаргетинг, lookalike-аудитории и поведенческий маркетинг.

– Страница «Публичная оферта» на сайте

– Ссылка на оферту рядом с кнопкой оплаты / оформлением заявки

– Соответствие политики обработки данных с условиями оферты

– Кто вы (название, ИНН, ОГРН, адрес),
– Что вы предлагаете
– Как принимается оплата
– Условия возврата
– Ответственность сторон
– Как вы обрабатываете данные.

Что должно быть размещено:

– Название компании или ФИО ИП
– ИНН / ОГРН
– Фактический или юридический адрес
– Контактный e-mail
– Телефон (по возможности)
– Ответственное лицо по работе с ПДн (опционально, но желательно)

– предупредить, что пользователь передаёт персональные данные,
– дать ссылку на политику конфиденциальности,
– запросить согласие (например, с помощью кнопки: «Продолжая, вы соглашаетесь с условиями...»).

Команда не ответила, а письмо проигнорировали

Спустя две недели пользователь отправил жалобу в Роскомнадзор.

А дальше всё пошло по сценарию, который никто из разработчиков даже не представлял.

Важно: У пользователя должна быть возможность удалить свои персональный данные из системы.

Общий штраф составил 650 000 рублей.

Когда инвестор запросил документы, подтверждающие юридическую чистоту обработки персональных данных — показать было нечего. Ни политики, ни согласий, ни договоров.

Переговоры были остановлены. Сделка не состоялась. Команда осталась без финансирования. Разработка приостановлена.

– Сбор персональных данных происходил без согласия

– Telegram-бот не содержал никаких юридических предупреждений

– Рассылки отправлялись без оснований

– Данные хранились у подрядчиков без договора об обработке ПДн

– В компании не было процедуры реагирования на инциденты

– Кто за что отвечает
– Как действовать при жалобе
– Как не попасть под штраф по незнанию

– Добавили блоки по обработке данных, которые защищают обе стороны

– Без этого формально незаконна даже тестовая реализация проекта с ПДн

– Политика конфиденциальности
– Формы согласий
– Внутренние регламенты и обязательства сотрудников
– Инструкции по реагированию на инциденты

– Проверили сайт, код, CRM, каналы хранения и передачи
– Выявили критичные несоответствия требованиям ФЗ-152

📌 Их решения собирают и хранят персональные данные: сотрудников, клиентов, пользователей.

📌 При этом — нет договоров с заказчиками на обработку этих данных.

📌 Нет политики конфиденциальности и документов о согласии.

📌 Компания не зарегистрирована как оператор ПДн.

📌 Серверы — на стороне подрядчика, без юридической фиксации.

📌 Внутренние сотрудники не подписывали обязательств по ПДн.

– Что именно нужно изменить на вашем сайте, в чат-ботах, CRM или лендингах

– Какие документы и процессы обязательны именно в вашей модели бизнеса

– Как закрыть юридические «дыры» в ближайший месяц— без сложных схем и юридического бюрократа

– Ответы на все ваши вопросы, разбор реальных рисков и рекомендаций по вашей отрасли

Важно: с вами будет работать не менеджер-продаж, а практикующий юрист, специализирующийся на персональных данных и цифровом праве.

Мы предлагаем вам бесплатную консультацию с юристом, где вы получите не общие советы из интернета, а пошаговый план действий под ваш бизнес.