Не дадим РКН шансов: 16 технических шагов по защите персональных данных после 30 мая 2025

С 30 мая 2025 года вступают в силу новые нормы, усиливающие ответственность за работу с персональными данными: штрафы до 18 млн ₽ и блокировки сайтов.

28.05.2025

Время прочтения: 1 минута

753 просмотра

Автор статьи

Людмила Фоменко Исполнительный директор

Содержание статьи

С 30 мая 2025 года вступают в силу новые нормы, усиливающие ответственность за работу с персональными данными: штрафы до 18 млн ₽ и блокировки сайтов. Если вы до сих пор используете старые формы, чекбоксы и сторонние скрипты без проработки согласий и безопасности — рискуете сотнями тысяч, а то и миллионами. В этой статье — 16 универсальных и технически подробных шагов, которые выведут ваши рассылки, обзвоны и лид-магниты в полную законность.

Кто под ударом

Риск фактически для любого сайта:

Формы заявок. Заполняете формы — значит, обрабатываете ПД.
Сторонние сервисы. Google Analytics, YouTube, Telegram-виджеты — передача данных за рубеж.
Нет баннера о cookie. Отсутствие уведомления — штраф.
Не подано уведомление в РКН. Тоже штраф.
Реквизиты спрятаны в футере. Неполная информация об операторе ПД — ещё один штраф.

Что мы делаем для своих клиентов

Maximus Media — не просто студия, которая «делает сайты». Как партнёр Битрикс24 мы ежедневно работаем с ПД клиентов и отлично знаем все процессы их сбора и обработки в бизнесе.

Сейчас мы проводим тотальный аудит сайтов и внедряем требования Роскомнадзора: отвечаем за результат, а не «сдали проект и забыли».

Под ключ мы:

Актуализируем и согласуем политику обработки ПД — юридически корректно и с реальными целями.
Обновим все формы: добавим чек-боксы согласия, оформим тексты по закону.
Найдём и отключим иностранные скрипты (Google, Meta, YouTube, Telegram), заменив их российскими аналогами или настроив локальную загрузку.
Настроим pop-up-баннер о cookie с блокировкой до согласия пользователя.
Проверим отображение реквизитов, контактов и сведений об операторе ПД.
Подскажем, как уведомить Роскомнадзор.

Стоимость: от 15 000 до 30 000 ₽ — в зависимости от объёма и сложности сайта.

Почему мы в это вовлечены

Мы строим долгосрочные отношения с клиентами: на сопровождении более 40 активных компаний (сайты, реклама, SEO) и не можем допустить, чтобы кто-то пострадал из-за технической мелочи.

Большинство предпринимателей не вникает в юридические тонкости, и мы их понимаем. Поэтому берём всё на себя — от аудита до внедрения. Вы продолжаете работать спокойно, не опасаясь проверок и блокировок.

Кому стоит проверить сайт в первую очередь

Сайты с любой формой обратной связи.
Сайты с YouTube-роликами, картами Google или Telegram-виджетами.
Ресурсы, созданные до 2024 года — почти все не соответствуют новым требованиям.
Сайты-шаблоны и конструкторы — чаще всего вовсе не адаптированы.

Пошаговая инструкция

1. Провести технический и организационный аудит

Что делать:

Инвентаризируйте все каналы сбора ПД: веб-формы, CRM, сторонние API, мобильные приложения.
Составьте «карту данных» — граф потоков данных от формы до хранилища и бэкап-системы.
Оцените реальные сценарии использования данных и сопоставьте их с целями, заявленными в политике.

Зачем: аудит выявит «тёмные зоны» — неучтённые трекеры, не задокументированные интеграции, устаревшие скрипты, через которые могут утекать данные.

2. Обновить и опубликовать политику обработки ПД

Что делать:

Составьте «Политику в отношении обработки персональных данных» с чётким перечислением целей (ст. 6 ФЗ-152), категорий обрабатываемых данных и сроков хранения.
Проверьте, чтобы фактические процессы совпадали с описанными в документе (исключите общие формулировки «для маркетинга»).
Разместите политику в footer сайта и обеспечьте её доступность по прямой ссылке (п. 2 ст. 18.1 ФЗ-152).


<footer><a href="/privacy-policy" target="_blank" rel="noopener">Политика конфиденциальности</a></footer>

3. Создать и вести реестр обработки ПД

Что делать:

Оформите реестр в виде таблицы: категории субъектов, виды данных, цели, правовые основания, сроки хранения, методы уничтожения и ответственные лица.
Храните реестр в зашифрованном хранилище с версионированием (см. требования к локальным актам в ст. 18.1 ФЗ-152).

Зачем: реестр — обязательная основа для оценки рисков и подтверждения соответствия при проверках.

Используйте готовый шаблон (CSV/Excel) со столбцами:


subject_category,data_category,purpose,legal_basis,storage_period,storage_location,responsible

Для каждой записи указывайте:

категорию субъекта (клиенты, подписчики, сотрудники),
конкретные поля (email, телефон, IP),
цели и основания (согласие, договор),
сроки хранения (в днях/годах),
место хранения (ЦОД, сервер),
ответственное лицо.

Храните реестр в зашифрованном хранилище (например, в BitLocker или LUKS-томе) с версионированием.

4. Процедуры согласия: от фронта до бэка

Фронт: каждый чекбокс — собственное поле, без pre-checked «галочек».
Валидация: JavaScript/HTML5 не пропускает отправку без true.
Бэкенд: в базе сохранять метку времени, IP и текст формулировки, на которую согласился пользователь.

Примеры кода и готовые шаблоны

Чтобы вы не начинали всё «с нуля», ниже — практические фрагменты и шаблоны, которые можно сразу адаптировать под свой сайт или внутренние процедуры.

Фронт-энд: для каждого типа согласия (ПД, маркетинг) используйте отдельный <input type=»checkbox»> с required.

Бэкенд: сохраняйте вместе с лидом JSON-поле consents, пример структуры:


{
“personal_data”: {“given”: true, “timestamp”: “…”, “ip”: “…”, “text”: “…”},
“marketing”: {“given”: true, “timestamp”: “…”, “ip”: “…”, “text”: “…”}
}

Отзыв согласия: создайте endpoint /revoke-consent, который по ссылке из письма позволит пользователю отозвать конкретное согласие.

Что здесь важно:

Два отдельных поля consent_personal и consent_marketing.
Атрибутrequired не даёт отправить форму без явного клика.
Ссылку на политику оформляем как <a>, открывающую PDF или страницу документа.

5. Cookie-баннер с категоризацией и блокировкой

CMP (Consent Management Platform): e.g. open-source решения или платные (OneTrust, Cookiebot).
Категории: обязательные, функциональные, аналитические, маркетинговые.
Техблокировка: через window.dataLayer и gtag(‘consent’, ‘update’,…) или кастомный запрет вставки <script> до разрешения.
Реализуйте логическую загрузку скриптов:


CMP.on(‘consentGiven’, (category) => {
if (category===’analytics’) loadScript(‘ga.js’);
if (category===’marketing’) loadScript(‘fb-pixel.js’);

6. Отключение нежелательных внешних скриптов

Что делать:

Google Tag Assistant (Chrome-расширение):
- Установите расширение Google Tag Assistant Legacy.
- Перейдите на страницы сайта и активируйте запись сеанса. Расширение покажет все обнаруженные теги (GA, GTM, YouTube, Facebook Pixel и др.) и их статусы.
Lighthouse Audit (встроенный в DevTools):
- Откройте DevTools (F12) → вкладка Lighthouse.
- В настройках аудита включите категорию Privacy → запустите проверку.
- Раздел “Third-Party Usage” покажет скрипты, влияющие на приватность и скорость, и укажет точные URL и инициативные точки загрузки Patterns.

Зачем:

Выявить вендорские скрипты, которые автоматически загружают и передают ПД.
Получить список «кандидатов» для отложенной загрузки или полной замены.

Блокировка загрузки до «marketing»-согласия

Что делать:

Интеграция с CMP (Consent Management Platform):
Выберите CMP (например, open-source klaro.js или коммерческие Cookiebot/OneTrust).
Настройте категорию marketing и убедитесь, что ни один маркетинговый скрипт не подгружается без её активации.

Google Tag Manager (опционально):

В GTM для каждого тега в Advanced Settings → Consent Settings укажите, что тег активируется только при наличии marketing-согласия.

Зачем:

Перенос загрузки всех аналитических и медиатегов под явное управление согласием пользователя.
Исключить автоматическую передачу ПД до момента, когда пользователь дал разрешение.

Альтернатива сторонним трекерам: Matomo на своём сервере

Что делать:

Установка Matomo On-Premise:

Скачайте Matomo с официального сайта и разверните на российском сервере (Debian/Ubuntu):


wget https://builds.matomo.org/matomo.zip
unzip matomo.zip -d /var/www/matomo
chown -R www-data:www-data /var/www/matomo

Создайте базу данных MySQL/MariaDB (рекомендуется MySQL 8+ или MariaDB) и подключите её в файле config/config.ini.php.

Настройка JavaScript-трекера:

После установки скопируйте код трекера:


var _paq = window._paq = window._paq || [];
_paq.push([‘trackPageView’]);
_paq.push([‘enableLinkTracking’]);
(function() {
var u=”//analytics.yourdomain.ru/”;
_paq.push([‘setTrackerUrl’, u+’matomo.php’]);
_paq.push([‘setSiteId’, ‘1’]);
var d=document, g=d.createElement(‘script’), s=d.getElementsByTagName(‘script’)[0];
g.async=true; g.src=u+’matomo.js’; s.parentNode.insertBefore(g,s);
})();

Оберните загрузку точно так же через CMP-callback, чтобы _paq-трекер подгружался только при согласии категории analytics или marketing.

Преимущества Matomo:
- Полный контроль над данными: всё хранится на ваших серверах, соответствие локализации ФЗ-152.
- Отсутствие «бэкдора» третьих сторон и возможность донастройки безопасности и приватности.

Зачем:

Избежать рисков, связанных с международными аналитическими сервисами (Google, Facebook и др.).
Сохранить детальную аналитику без компромиссов по защите ПД.

Следуя этим трём шагам, вы полностью возьмёте под контроль загрузку всех сторонних скриптов, сведёте к нулю «автоматическое» их исполнение и предотвратите несанкционированную передачу персональных данных.

7. Двухфакторная аутентификация для админов

TOTP: Google Authenticator, Authy.
U2F-ключи: для топ-менеджеров, максимальная защита.
Политика паролей: минимум 12 символов, спецсимволы, регулярная ротация раз в 90 дней.

8. Шифрование данных и каналов связи

TLS 1.2+: сертификаты от Let’s Encrypt или коммерческих CA, HSTS, отключение слабых шифров.
БД-шифрование: Transparent Data Encryption (TDE) в PostgreSQL/MySQL или на уровне ОС (LUKS).
Ключи: хранить в секретном хранилище (HashiCorp Vault, AWS KMS).

9. Локализация баз данных в РФ

Сервисы: аренда выделенных серверов или VPS в российских ЦОД.
Контроль: провайдер должен иметь все необходимые сертификаты ФСТЭК.
VPN-каналы: для соединения офисов через российские точки обмена трафиком.

10. Договоры с подрядчиками и суб-подрядчиками

Процессор: каждый хостинг, подрядчик по email-рассылкам и кол-центру.
Пункты: цели, сроки, ответственность, меры безопасности (п. 19.2–19.3 ФЗ-152).
Контроль: годовой аудит подрядчиков, подтверждение соответствия.

11. Инструменты управления доступом (RBAC/ABAC)

RBAC: роли «администратор», «маркетолог», «техподдержка» с чёткими разрешениями.
ABAC: контроль по атрибутам (время доступа, IP офиса).
Логи: сохранять все авторизации и операции CRUD над записями ПД.

12. Алгоритмы работы с запросами субъектов

Шаблоны: уведомление о предоставлении копии, запрос на удаление и блокировку.
Верификация: двухфакторная проверка личности по закрытым признакам.
Автоматизация: интеграция с CRM/Helpdesk, SLA не более 30 дней.

13. Мониторинг, логирование и SIEM-системы

Логирование: системные, прикладные, сетевые логи — минимум 90 дней.
SIEM: ELK/Graylog/QRadar для корреляции событий и выявления подозрительных действий.
Аналитика: предупреждения при аномальной активности, утечке или brute-force.

14. Инцидент-менеджмент и уведомления

План реагирования: определение критичности, этапы расследования, коммуникации.
Уведомления: РКН и субъекты данных — в течение 72 часов с момента обнаружения.
Шаблоны: письма, пресс-релизы, внутренняя рассылка.

Шаблон уведомления в Роскомнадзор


В Роскомнадзор
От: ООО “Ваша Компания”
ИНН 1234567890, ОГРН 1091234567890
Адрес: 123456, г. Москва, ул. Примерная, д. 1
Уведомление о начале обработки персональных данных
Мы, ООО “Ваша Компания”, уведомляем о начале обработки
персональных данных следующих категорий субъектов:
– посетители сайта https://example.ru;
– клиенты, оставившие заявки через формы обратной связи;
– подписчики рассылки.
Перечень обрабатываемых данных: ФИО, e-mail, телефон, IP-адрес.
Цели обработки: выполнение договора, маркетинговые коммуникации.
Способ обработки: автоматизированная обработка средствами CRM.
Местонахождение баз: ЦОД “Название” (г. Москва).
Ответственное лицо: Иванов И.И., +7 (123) 456-78-90, email@example.ru.
Дата начала обработки: 30 мая 2025 г.
Приложение: копия политики конфиденциальности.

15. Обучение и внутренние проверки

Регулярность: тренинги раз в полгода, онлайн-курсы по GDPR и ФЗ-152.
Тестирование: фишинговые рассылки, «red team»-упражнения.
Отчёты: акты проверок, планы корректирующих мер.

16. Интеграция в DevOps-процесс

CI/CD-пайплайн: статический анализ кода (SAST), проверка отсутствия «жёстко прописанных» токенов.
IaC-аудит: Terraform/Ansible проверяются на утечки секретов (тулзы типа tfsec).
Контейнеры: сканирование образов (Clair, Trivy) на уязвимости.