Как проходит проверка сайта на соответствие 152 ФЗ в Магнитогорске
В этой статье
- Карта данных: что собирает сайт на самом деле
- Личный кабинет и авторизация под лупой
- Резервные копии как отдельный риск
- Документы, которые нужны сайту
- Как читать отчёт и в каком порядке править
- Нужен ли аудит корпоративному сайту без интернет-магазина
- Как часто повторять проверку
- Кто такой ответственный за обработку данных на практике
В Магнитогорске к нам обращаются подрядчики комбината, поставщики оборудования, автосервисы, базы отдыха и горнолыжные комплексы. Общее у них одно: сайт собирает контакты, а внутри компании никто не может сказать, где эти контакты в итоге оказываются. Аудит отвечает на этот вопрос предметно, страница за страницей.
Карта данных: что собирает сайт на самом деле
Первый документ, который мы делаем, – это карта потоков данных. В ней видно каждую форму, каждое поле, адресата заявки и место хранения. Обычная картина для промышленного сайта: заявка на расчёт уходит на два личных ящика, дублируется в мессенджер руководителя, попадает в таблицу отдела продаж, а вечером выгружается в CRM. Пять копий одних и тех же данных, и ни одна не под контролем.
По каждому потоку в карте фиксируем:
- цель сбора и правовое основание;
- состав данных: имя, телефон, почта, должность, файл резюме;
- получателей, включая сторонние сервисы;
- срок хранения и способ удаления.
Личный кабинет и авторизация под лупой
Если на сайте есть вход для дилеров или клиентов, проверка глубже. Смотрим, передаётся ли пароль по защищённому протоколу, как он хранится, есть ли ограничение попыток входа, что видно в кабинете соседнего пользователя при подмене номера в адресе. Такие дыры встречаются на самописных сайтах чаще всего, и они опаснее отсутствующей галочки: это уже прямая утечка.
Резервные копии как отдельный риск
Копии базы живут своей жизнью. Их складывают в облако, скачивают на ноутбук программиста, отдают подрядчику при переносе сайта. В отчёте мы отдельным блоком пишем, сколько копий существует, где они лежат и кто может их достать. Бэкапы должны быть на сервере в России, зашифрованы и доступны ограниченному кругу людей.
Документы, которые нужны сайту
Юридическая часть аудита сверяет опубликованное с фактическим. Читаем политику: указан ли оператор, совпадают ли перечисленные данные с реальными формами, описан ли порядок обращения человека за своими данными и их удалением. Дальше проверяем сведения, которые нужны для уведомления оператора в Роскомнадзор: перечень данных, цели, способы обработки, места хранения. Если сайт менялся после подачи уведомления, сведения устарели.
Как читать отчёт и в каком порядке править
Отчёт по итогам аудита строится по риску, а не по разделам сайта. Сначала то, что видно снаружи и может стать поводом для жалобы, потом внутренние процессы:
- формы без согласия, недоступная или чужая политика, открытый доступ к выгрузкам;
- хранение и копии за пределами РФ, слабая авторизация в кабинете;
- лишние поля, неучтённые скрипты, отсутствие сроков хранения;
- организационное: разграничение доступов, журнал действий, инструкция для менеджеров.
Правки делают наши разработчики, а после сдачи сайт удобно держать на поддержке, чтобы каждая новая форма появлялась уже с согласием. Приведение в соответствие с ФЗ № 152 для среднего сайта укладывается в неделю работ.
Нужен ли аудит корпоративному сайту без интернет-магазина
Да, если на сайте есть хотя бы форма обратного звонка. Оператором данных делает не продажа онлайн, а сам факт сбора телефонов и адресов.
Как часто повторять проверку
Раз в год и обязательно после любого изменения сайта: нового лендинга, редизайна, подключения чата или коллтрекинга. Именно свежие доработки чаще всего выпадают из документов.
Кто такой ответственный за обработку данных на практике
Это конкретный сотрудник, который знает, какие данные собирает сайт, и отвечает на запросы людей. Мы передаём ему карту данных и отчёт, чтобы он работал с фактами, а не с догадками.
Хотите увидеть свой сайт глазами проверяющего? Звоните: +7 (917) 818-43-57. Посмотреть, как мы делаем сайты с нуля уже с корректной обработкой данных, можно в портфолио и в разделе создания сайтов.