Ниже — совпадения формулировок в тексте документа. Это не вывод Роскомнадзора: фрагмент стоит проверить, и только потом смотреть норму и вилку штрафа.
-
высокий риск
Яндекс.Метрика / cookie без отдельного согласия
Cookie и идентификаторы аналитики Роскомнадзор считает персональными данными, если по ним можно выделить пользователя. Счётчики нельзя прятать за акцептом оферты — нужно информирование и согласие на необязательные cookie.
Если формулировка подтвердится
- Норма
- ст. 3, 6, 9, ч. 2 ст. 18.1 152-ФЗ; позиция Роскомнадзора об идентификаторах как ПДн
- Санкция
- ч. 1 и ч. 2 ст. 13.11 КоАП РФ
- Штраф для юрлица
- 150 000–300 000 ₽; при отсутствии надлежащего согласия — 300 000–700 000 ₽
- Что сделать
- Описать cookie по категориям, цели и сроки; необязательные (Метрика, реклама) — только после отдельного согласия. Отказ не должен ломать сервис.
-
высокий риск
Нет порядка реакции на утечку
При инциденте оператор обязан уведомить Роскомнадзор: 24 часа на первичное сообщение и 72 часа на результаты расследования, плюс взаимодействие с субъектами, если их права нарушены.
Если формулировка подтвердится
- Норма
- ч. 3.1 ст. 21 152-ФЗ
- Санкция
- ч. 11 ст. 13.11 КоАП РФ — не уведомили об инциденте; отдельно ч. 12–18 за саму утечку
- Штраф для юрлица
- неуведомление — 1 000 000–3 000 000 ₽; утечка — от 3 000 000 до 15 000 000 ₽, биометрия — до 20 000 000 ₽, повтор — 1–3% выручки (20–500 млн ₽)
- Что сделать
- Описать внутренний порядок: фиксация, 24/72 часа, уведомление РКН, информирование субъектов, устранение причины.
-
средний риск
Нет порядка удаления и отзыва согласия
Субъект вправе отозвать согласие, потребовать уточнения, блокирования или уничтожения. Оператор обязан ответить в срок и описать, как это сделать.
Если формулировка подтвердится
- Норма
- ст. 14, 15, 21 152-ФЗ; ч. 2 ст. 9 152-ФЗ (отзыв согласия)
- Санкция
- ч. 4 ст. 13.11 КоАП РФ (не дали сведения); ч. 5 — не уточнили / не удалили в срок
- Штраф для юрлица
- 40 000–80 000 ₽ (ч. 4); 50 000–90 000 ₽, повторно 300 000–500 000 ₽ (ч. 5)
- Что сделать
- Контакт для запросов, срок ответа, последствия отзыва согласия, что происходит с данными после удаления.
-
средний риск
Вход через Яндекс / VK / Telegram не описан
…ства и настоящим Условиям, в том числе, включая, но не ограничиваясь, следующим требованиям: - 2.3.1. Размещена в социальной сети MAX и/или Вконтакте (ранее и далее совместно — «Социальная сеть») и является каналом/сообществом в социальной сети MAX и/или Вконтакте; - 2.3.2. Если количеств…
Фрагмент, который стоит проверить
OAuth передаёт оператору набор ПДн от третьей стороны. Политика должна назвать провайдера, какие поля приходят, зачем, на каком основании и уходит ли что-то обратно.
Если формулировка подтвердится
- Норма
- ст. 5, 6, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ
- Штраф для юрлица
- 150 000–300 000 ₽
- Что сделать
- Отдельный блок: Яндекс ID / VK ID / Telegram Login — перечень получаемых полей, цель, основание, хранение, возможность отключить вход.
-
средний риск
Политика не описывает реальные данные по категориям
Для каждой категории персональных данных политика должна называть цель, правовое основание, действия с данными, срок хранения, способ уничтожения и получателей.
Если формулировка подтвердится
- Норма
- ст. 5, ч. 2 ст. 18.1 152-ФЗ; состав сведений политики — практика Роскомнадзора по проверкам операторов
- Санкция
- ч. 1 ст. 13.11 КоАП РФ (обработка не по заявленной цели / без законного основания); ч. 3 ст. 13.11 — если политика формально не обеспечивает неограниченный доступ к сведениям об обработке
- Штраф для юрлица
- 150 000–300 000 ₽ (ч. 1); 30 000–60 000 ₽ (ч. 3)
- Что сделать
- Составить таблицу: категория → цель → ст. 6/9/10/11 152-ФЗ → действия → срок → уничтожение → кто ещё получает данные.
-
средний риск
Не описана передача обработчикам и подрядчикам
Хостинг, рассылки, облако, поддержка, эквайринг обрабатывают ПДн по поручению. Нужны поручение по ч. 3 ст. 6 152-ФЗ и упоминание таких лиц в политике.
Если формулировка подтвердится
- Норма
- ч. 3 ст. 6, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ; при утечке у подрядчика оператор тоже отвечает
- Штраф для юрлица
- 150 000–300 000 ₽ плюс составы об утечке (ч. 12–18 ст. 13.11)
- Что сделать
- Перечислить категории подрядчиков, страны, цели поручения и наличие договора поручения обработки.
-
средний риск
Не указан срок обработки персональных данных
Срок хранения (или критерий его определения) и судьба данных после истечения срока — обязательная часть информирования субъекта и политики оператора.
Если формулировка подтвердится
- Норма
- п. 7 ч. 1 ст. 6, ст. 5, ч. 4 ст. 21 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ; при отказе уничтожить по требованию — ч. 5 ст. 13.11
- Штраф для юрлица
- 150 000–300 000 ₽; за неуничтожение по требованию — 50 000–90 000 ₽, повторно 300 000–500 000 ₽
- Что сделать
- Для каждой цели указать срок либо критерий (например, «пока действует договор + 3 года исковой давности») и способ уничтожения.
-
средний риск
Нет категории «незарегистрированные посетители»
IP, cookie / session ID, технические метаданные и сведения о действиях на сайте — тоже персональные данные. Их нужно описать отдельно от данных зарегистрированных пользователей.
Если формулировка подтвердится
- Норма
- ст. 3, 5, ч. 1 ст. 6, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ — обработка, не описанная политикой и потому несовместимая с заявленными целями
- Штраф для юрлица
- 150 000–300 000 ₽
- Что сделать
- Добавить категорию субъектов «посетители сайта / незарегистрированные пользователи» и перечислить IP, cookie, идентификаторы сессии, лог-файлы, результат действий.
-
к сверке
Политику нужно сверить с фактической системой
РКН проверяет не красивый PDF, а то, совпадает ли текст с реальной обработкой: какие формы есть на сайте, какие cookie ставятся, куда уходят данные.
Если формулировка подтвердится
- Норма
- ст. 5, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 и ч. 3 ст. 13.11 КоАП РФ, плюс составы, которые вскроет осмотр сайта
- Штраф для юрлица
- от 30 000 ₽ за политику до 300 000–700 000 ₽ за согласия и цели
- Что сделать
- Сверить политику с формами, cookie, кабинетом, CRM, подрядчиками. Отдельный контур: ИИ-агент по фактическому сайту.