Универсального штрафа "до 6 000 000 ₽ за сайт" нет. Ответственность зависит от конкретного нарушения при обработке персональных данных, статуса нарушителя и обстоятельств дела. В статье 13.11 КоАП РФ предусмотрены разные составы и размеры санкций, в том числе выше 6 млн ₽.
Для владельца бизнеса полезнее проверить не абстрактное "соответствие сайта требованиям РКН", а конкретные процессы: какие данные сайт собирает, кому передаёт и что происходит с ними после отправки формы. Наличие политики обработки персональных данных и чекбокса само по себе не отвечает на эти вопросы.
За какие нарушения предусмотрены миллионные штрафы
Статья 13.11 КоАП РФ предусматривает для юридических лиц, в частности, следующие штрафы за неправомерную передачу персональных данных:
- 3–5 млн ₽, если передача затронула от 1 000 до 10 000 субъектов персональных данных и/или от 10 000 до 100 000 идентификаторов;
- 5–10 млн ₽, если затронула от 10 000 до 100 000 субъектов и/или от 100 000 до 1 млн идентификаторов;
- 10–15 млн ₽, если затронула более 100 000 субъектов и/или более 1 млн идентификаторов.
Это санкции за определённые правонарушения, а не единый штраф за отсутствие документа, использование виджета или наличие сайта. Число посетителей сайта нельзя автоматически подставлять в эту шкалу: значение имеют обстоятельства неправомерной передачи и предусмотренные законом критерии.
Отдельно та же статья предусматривает для юридических лиц штраф 1–3 млн ₽ за невыполнение или несвоевременное выполнение обязанности уведомить об утечке, повлекшей нарушение прав субъектов персональных данных. Ответственность за сам инцидент и за несвоевременное уведомление о нём нужно рассматривать раздельно.
Поэтому сообщение "вашему сайту грозит штраф до 6 млн ₽" без указания конкретной нормы не позволяет оценить риск. Прежде чем принимать решение о доработках, стоит выяснить, какое именно нарушение предполагается и на каких фактах основан вывод.
Зарубежный сервис на сайте — уже нарушение?
Нет, одного названия или зарубежного происхождения сервиса недостаточно для такого вывода. Нужно установить, обрабатывает ли он персональные данные, происходит ли их передача за пределы России и соблюдён ли необходимый порядок.
Поводом для проверки могут быть формы заявок, системы аналитики, онлайн-чаты и другие внешние интеграции. Но наличие каждого из этих элементов само по себе не доказывает трансграничную передачу.
Попросите разработчика и поставщика сервиса описать:
- какие сведения получает сервис;
- куда они отправляются и где обрабатываются;
- кто получает к ним доступ;
- какие настройки влияют на состав передаваемых данных.
Неправомерная передача и трансграничная передача — не одно и то же. Из факта передачи данных за границу нельзя автоматически сделать вывод о нарушении или размере штрафа.
Что проверить при трансграничной передаче
До начала трансграничной передачи оператор должен уведомить Роскомнадзор. Ведомство вправе ограничить или запретить такую передачу. Порядок описан на портале персональных данных Роскомнадзора.
Для передачи в страны, не обеспечивающие адекватную защиту прав субъектов персональных данных, действует дополнительное условие: до истечения 10 рабочих дней после подачи уведомления передавать данные нельзя, кроме предусмотренного законом исключения для защиты жизненно важных интересов.
Уведомление о трансграничной передаче не заменяет общее уведомление об обработке персональных данных: это разные обязанности. На странице формы уведомления о намерении осуществлять трансграничную передачу Роскомнадзор указывает электронную подачу через Госуслуги.
Не стоит воспринимать отправку уведомления как универсальное разрешение на любую передачу. Для конкретного процесса необходимо учитывать предусмотренный порядок и возможные решения ведомства.
С чего начать проверку сайта
Начните с фактического движения данных, а не с замены текста политики. Иначе документ может описывать один процесс, а сайт продолжит работать иначе.
1. Соберите перечень точек сбора данных
Проверьте формы обратной связи, заказа и регистрации, подписки, личный кабинет, аналитику и виджеты. Для каждого элемента зафиксируйте:
- какие сведения он собирает;
- зачем они нужны бизнесу;
- куда поступают после сбора;
- кто отвечает за настройки и доступы.
Например, для формы заявки стоит описать не только поля "имя" и "телефон", но и дальнейший маршрут сведений: почта, CRM, внешние сервисы. Это условная схема для проверки, а не утверждение о том, как устроен ваш сайт.
2. Получите техническое описание интеграций
Поручите специалисту установить, какие внешние сервисы действительно подключены и какие данные они получают. Для этой задачи подходит техническая поддержка и интеграции сайта: при постановке задачи запросите перечень подключений, описание потоков данных и список необходимых изменений.
Техническое описание помогает юридической оценке, но не заменяет её. Наличие интеграции нужно отличать от вывода о законности её использования.
3. Сопоставьте документы с работой сайта
Сверьте политику обработки персональных данных, сведения в уведомлениях и реальные процессы. Если документы описывают только получение заявки по электронной почте, а сведения также поступают во внешние системы, такое расхождение нужно разобрать.
Не копируйте документы другого сайта без проверки. У него могут быть иные цели обработки, получатели данных и настройки сервисов.
4. Назначьте ответственных за изменения и инциденты
Определите, кто согласует подключение новых сервисов, хранит сведения об интеграциях и организует действия при подозрении на утечку.
Если инцидент уже произошёл, отдельно проверьте обязанность и сроки уведомления Роскомнадзора. Не откладывайте этот вопрос до завершения всех технических работ: ответственность за несвоевременное уведомление предусмотрена отдельно.
Как понять, что проверка дала полезный результат
Результат проверки — не обещание "штрафов не будет", а понятная картина обработки данных и обоснованный план действий.
Попросите передать вам:
- перечень форм, виджетов и внешних подключений;
- описание собираемых данных, получателей и мест обработки;
- список выявленных расхождений между настройками и документами;
- перечень выполненных изменений и способ их проверки;
- вопросы, по которым требуется отдельное правовое решение.
Без изучения кода, настроек, договоров и географии обработки нельзя достоверно установить, происходит ли трансграничная передача и есть ли нарушение. Покупка услуги, установка чекбокса или публикация политики сами по себе не гарантируют соблюдение всех требований.
Для обсуждения технической части подготовьте адрес сайта, список известных интеграций и описание того, куда поступают заявки; необходимые доступы и способ их безопасной передачи согласуйте со специалистом отдельно.
