Чек-лист соответствия 152-ФЗ: 12 пунктов самопроверки для малого бизнеса

Проверка соответствия 152-ФЗ не требует юриста на старте. Ниже 12 пунктов в три блока: что видно проверяющему снаружи, что должно лежать внутри и что отвечает за инциденты. По каждому — как проверить, что делать при пробеле и цена риска. Честно про время: первые четыре пункта (внешние — их проверяют первыми) займут около 15 минут, внутренние блоки — по часу-другому на инвентаризацию.

Блок А. Что видно снаружи (это проверяют первым)

1. Ваш бизнес есть в реестре операторов ПД. Как проверить: поиск по своему ИНН в реестре на сайте Роскомнадзора — минута. Если нет: подайте уведомление — это бесплатно (инструкция). Риск: высокий — самый частый штраф: 100 000 – 300 000 ₽ и для ИП, и для юрлиц (ч. 10 ст. 13.11 КоАП).

2. Политика обработки ПД опубликована. Как проверить: откройте свой сайт, найдите ссылку в подвале. Проверьте, что она открывается и в ней указан действующий оператор — ваши реквизиты, а не шаблонные «ООО Ромашка». Если нет: составьте и опубликуйте — как сделать корректно. Риск: средний — 10 000 – 20 000 ₽ для ИП, 30 000 – 60 000 ₽ для юрлиц (ч. 3), и проверяется удалённо за минуту.

3. У каждой формы — основание. Как проверить: перечислите формы сайта (обычно их 2–4: заказ, заявка, подписка). Заказ товара/услуги работает на договорном основании, а вот подписка на рассылку требует согласия — отдельным документом, не пунктом оферты (156-ФЗ, с 01.09.2025). Если нет: добавьте к форме ссылку на отдельное согласие. Требования к нему. Риск: высокий — отсутствие согласия на рассылку стоит до 300 000 ₽ для юрлиц (ч. 1 ст. 13.11); письменное согласие с дефектом состава — до 700 000 ₽ (ч. 2).

4. Рассылки идут только по согласившимся. Как проверить: откуда база — свои клиенты с галочкой согласия или «купленная»? Реклама по SMS/email без предварительного согласия адресата запрещена (ст. 18 38-ФЗ), и доказывать согласие будете вы. Это отдельный от 152-ФЗ состав — ст. 14.3 ч. 4.1 КоАП, для юрлиц до 1 000 000 ₽. Если нет: остановите рассылку по несогласившимся и начните собирать согласия — одна жалоба получателя запускает проверку ФАС. Риск: средний-высокий — по жалобе, но жалуются на спам охотно.

Блок Б. Внутренние документы (спросят по запросу)

5. Приказ о назначении ответственного за обработку ПД (для юрлиц). Как проверить: документ существует, подписан, в нём стоит реальный человек. Обязанность назначить ответственного ст. 22.1 ч. 1 152-ФЗ возлагает только на операторов-юрлиц — ИП такой приказ издавать не обязан (в форме уведомления РКН предприниматель указывает себя). Если нет (и вы — юрлицо): одностраничный приказ, подписывается за пять минут. Риск: средний — первый документ, который запрашивают вместе с политикой.

6. Положение об обработке персональных данных. Как проверить: найдите файл с внутренним регламентом «кто, что и как обрабатывает» — с датой и подписью. Не путать с публичной политикой — в чём разница. Если нет: возьмите за основу типовое положение и адаптируйте под свои процессы. Риск: средний — запрашивается при любой проверке.

7. Договоры-поручения с обработчиками. Как проверить: выпишите сервисы, которые касаются данных клиентов (CRM, онлайн-запись, хостинг, рассыльщик — обычно 3–5 штук), и по каждому найдите договор или пункт в оферте сервиса с элементами из ч. 3 ст. 6 152-ФЗ: перечень данных, операции, цели, конфиденциальность, требования к защите. Если нет: у крупных сервисов условия поручения обычно уже в их оферте — найдите и сохраните ссылку; для остальных подпишите поручение отдельно. Ответственность перед клиентом в любом случае остаётся на вас. Риск: средний — всплывает при инцидентах на стороне подрядчика.

8. Кадровый блок (если есть сотрудники). Как проверить: на каждого сотрудника — подписанное согласие и обязательство о неразглашении; плюс общее положение об обработке ПД работников. Состав по главе 14 ТК. Если нет: подписать при ближайшем визите сотрудников, новых — оформлять при приёме. Риск: средний — актуализируется при трудовых спорах.

9. Журналы учёта. Как проверить: заведены ли журнал обращений субъектов (запросы «удалите мои данные» — на них закон даёт фиксированные сроки ответа) и журнал инцидентов, есть ли в них хоть одна запись или отметка «обращений не поступало». Если нет: завести шаблоны — полчаса; пустой журнал лучше отсутствующего. Риск: низкий сам по себе, но именно журналы просят как доказательство живых процессов.

Блок В. Безопасность и инциденты

10. Данные граждан РФ хранятся в России. Как проверить: где физически стоит база — у российского хостера или на зарубежном сервисе? Ответ обычно в договоре с хостингом или настройках сервиса. Если нет: мигрируйте базу к российскому провайдеру — с 01.07.2025 использование зарубежных БД для персональных данных россиян не допускается (23-ФЗ). Риск: высокий — прямое нарушение свежей нормы, которую активно проверяют.

11. Есть модель угроз и оценка вреда. Как проверить: найдите два файла — «модель угроз ИСПДн» (нужна, если данные живут в информационной системе, хоть в одной CRM) и «оценка вреда субъектам». Если нет: формальные документы, генерируются по шаблону под ваш состав данных. Риск: низкий-средний — запрашивают при углублённой проверке.

12. Регламент инцидентов с реальными контактами. Как проверить: в документе написано, кто и куда сообщает при утечке, и указаны контакты РКН. Если нет: заведите регламент раньше остальных внутренних документов — при реальной утечке времени на «сейчас составим» не будет. Риск: максимальный во всём чек-листе — неуведомление об утечке стоит 1 – 3 млн ₽, для ИП без скидок (ч. 11 ст. 13.11).

Что делать с непройденными пунктами

Порядок закрытия — по цене риска: реестр (п. 1) → регламент инцидентов (п. 12) → согласия у форм (п. 3) → политика (п. 2) → остальное. Первые два пункта закрываются за вечер.

Если пробелов больше трёх, быстрее собрать комплект целиком: конструктор задаёт вопросы о вашем бизнесе и генерирует все нужные документы под него за 10 минут — 2 990 ₽. А если проверка уже не гипотетическая — пришло письмо от Роскомнадзора — сначала зафиксируйте срок ответа: на запрос его 10 рабочих дней.

Частые вопросы

Сколько всего документов должно быть? Базовый обязательный комплект — 18 документов, с условными (видеонаблюдение, сайт, дети, биометрия) — до 38. Полный перечень с разбором.

Я прохожу по всем пунктам, кроме журналов. Это критично? Журналы — из наименее рискованных пунктов, но именно их запрашивают при проверке как доказательство, что процессы живые. Завести шаблоны — полчаса.

Чек-лист пройден. Я могу забыть про 152-ФЗ? До первого изменения: новая форма на сайте, новый сервис рассылок, первый сотрудник — любой из этих шагов добавляет требования. Возвращайтесь к чек-листу при каждом изменении процессов.

Итог

Соответствие 152-ФЗ для малого бизнеса — это конечный список, а не бесконечный проект: 12 пунктов, из которых снаружи проверяются четыре, и именно они дают самые частые штрафы. Пройдите интерактивную версию чек-листа — она посчитает ваши пробелы, а бесплатная проверка в конструкторе превратит их в конкретный список документов для вашего бизнеса.