Ниже — совпадения формулировок в тексте документа. Это не вывод Роскомнадзора: фрагмент стоит проверить, и только потом смотреть норму и вилку штрафа.
-
высокий риск
Нет локализации ПДн граждан РФ
При сборе ПДн граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны идти с использованием баз на территории России. С 1 июля 2025 года первичная запись за рубеж прямо запрещена.
Если формулировка подтвердится
- Норма
- ч. 5 ст. 18 152-ФЗ (в ред., действующей с 01.07.2025)
- Санкция
- ч. 8 ст. 13.11 КоАП РФ; повторно — ч. 9
- Штраф для юрлица
- 1 000 000–6 000 000 ₽; повторно — 6 000 000–18 000 000 ₽
- Что сделать
- Зафиксировать, что первичная база граждан РФ находится в России. Иностранные облака — только после записи в РФ и с оговоркой о трансграничной передаче.
-
высокий риск
Голос / запись звонков без оговорки про биометрию
…олученной/отправленной с использованием Почтового ящика в пределах, определенных условиями использования сервиса Яндекс Диск; - возможность голосового набора сообщения с последующим его преобразованием в текстовый формат, а также возможность звукового воспроизведения полученного в Почтов…
Фрагмент, который стоит проверить
Голос — биометрические ПДн, если по нему устанавливают личность (ст. 11 152-ФЗ). Запись звонка «для качества» тоже ПДн, но не всегда биометрия. Путаница в документе даёт РКН зацепку.
Если формулировка подтвердится
- Норма
- ст. 11 152-ФЗ (биометрия); ст. 6 152-ФЗ, если запись не используется для идентификации
- Санкция
- обработка биометрии без оснований ст. 11 — ч. 1 ст. 13.11 КоАП РФ; утечка биометрии — ч. 17 ст. 13.11
- Штраф для юрлица
- 150 000–300 000 ₽ за незаконную обработку; утечка биометрии — 15 000 000–20 000 000 ₽
- Что сделать
- Прямо написать: голос не используется для идентификации — либо оформить биометрическое согласие и меры по ст. 11.
-
средний риск
Нет даты, версии или реквизитов оператора
У политики и оферты должны быть дата редакции и реквизиты оператора. Без даты нельзя доказать, что документ обновляли после 01.09.2025 и 01.07.2025.
Если формулировка подтвердится
- Норма
- ч. 2 ст. 18.1 152-ФЗ (идентификация оператора и опубликование политики); для оферты — ст. 435, 437 ГК РФ
- Санкция
- ч. 3 ст. 13.11 КоАП РФ — если нельзя понять, чья это политика и актуальна ли она
- Штраф для юрлица
- 30 000–60 000 ₽, плюс составы по содержанию, если редакция старая
- Что сделать
- Дата утверждения/вступления в силу, ИНН/ОГРН, наименование, адрес, контакты для запросов субъектов.
-
средний риск
Нет порядка удаления и отзыва согласия
Субъект вправе отозвать согласие, потребовать уточнения, блокирования или уничтожения. Оператор обязан ответить в срок и описать, как это сделать.
Если формулировка подтвердится
- Норма
- ст. 14, 15, 21 152-ФЗ; ч. 2 ст. 9 152-ФЗ (отзыв согласия)
- Санкция
- ч. 4 ст. 13.11 КоАП РФ (не дали сведения); ч. 5 — не уточнили / не удалили в срок
- Штраф для юрлица
- 40 000–80 000 ₽ (ч. 4); 50 000–90 000 ₽, повторно 300 000–500 000 ₽ (ч. 5)
- Что сделать
- Контакт для запросов, срок ответа, последствия отзыва согласия, что происходит с данными после удаления.
-
средний риск
Вход через Яндекс / VK / Telegram не описан
…предоставления доступа к Программе участникам Семейного аккаунта Пользователя, созданного в соответствии с Условиями использования сервиса Яндекс ID, размещенными по ссылке: https://yandex.ru/legal/id_termsofuse; - функциональным возможностям использования Почты на домене для Корпоративн…
Фрагмент, который стоит проверить
OAuth передаёт оператору набор ПДн от третьей стороны. Политика должна назвать провайдера, какие поля приходят, зачем, на каком основании и уходит ли что-то обратно.
Если формулировка подтвердится
- Норма
- ст. 5, 6, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ
- Штраф для юрлица
- 150 000–300 000 ₽
- Что сделать
- Отдельный блок: Яндекс ID / VK ID / Telegram Login — перечень получаемых полей, цель, основание, хранение, возможность отключить вход.
-
средний риск
Оферта про ПДн, но без политики
Если оферта говорит об обработке персональных данных, у оператора должна быть опубликованная политика, доступная до акцепта.
Если формулировка подтвердится
- Норма
- ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 3 ст. 13.11 КоАП РФ
- Штраф для юрлица
- 30 000–60 000 ₽
- Что сделать
- Опубликовать политику и дать на неё явную ссылку из оферты и форм сбора.
-
средний риск
Не указан срок обработки персональных данных
Срок хранения (или критерий его определения) и судьба данных после истечения срока — обязательная часть информирования субъекта и политики оператора.
Если формулировка подтвердится
- Норма
- п. 7 ч. 1 ст. 6, ст. 5, ч. 4 ст. 21 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ; при отказе уничтожить по требованию — ч. 5 ст. 13.11
- Штраф для юрлица
- 150 000–300 000 ₽; за неуничтожение по требованию — 50 000–90 000 ₽, повторно 300 000–500 000 ₽
- Что сделать
- Для каждой цели указать срок либо критерий (например, «пока действует договор + 3 года исковой давности») и способ уничтожения.
-
к сверке
Политику нужно сверить с фактической системой
РКН проверяет не красивый PDF, а то, совпадает ли текст с реальной обработкой: какие формы есть на сайте, какие cookie ставятся, куда уходят данные.
Если формулировка подтвердится
- Норма
- ст. 5, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 и ч. 3 ст. 13.11 КоАП РФ, плюс составы, которые вскроет осмотр сайта
- Штраф для юрлица
- от 30 000 ₽ за политику до 300 000–700 000 ₽ за согласия и цели
- Что сделать
- Сверить политику с формами, cookie, кабинетом, CRM, подрядчиками. Отдельный контур: ИИ-агент по фактическому сайту.