Аудит персональных данных по 152-ФЗ: проверка сайта, CRM и процессов

Павел Шабанов  |  Актуализировано: 10 ноября 2026 года  |  Время чтения: 14 мин.

Чтобы системно найти нарушения при обработке персональных данных, проверьте весь маршрут сведений: от формы на сайте до CRM, подрядчиков, архивов и удаления. Аудит должен сопоставлять документы с реальными действиями сотрудников и настройками систем. Иначе политика обещает одно, интеграция делает другое, а директор узнаёт о расхождении последним. Ниже — порядок проверки и мини-аудит из 20 вопросов. [ст. 18.1, 19 152-ФЗ]

Зачем бизнесу аудит персональных данных?

Аудит нужен, чтобы обнаружить несоответствия требованиям закона и собственным правилам компании, оценить последствия и определить последовательность исправлений. Внутренний контроль и/или аудит предусмотрен пунктом 4 части 1 статьи 18.1 закона № 152-ФЗ. [ст. 18.1 152-ФЗ]

Проверяй исполнение, а не папку

Подписанное положение о доступах ещё не доказывает, что права настроены правильно. Поэтому предлагаемый порядок проверки строится вокруг трёх вопросов: что написано, что происходит и чем это подтверждается.

Учебный пример. По инструкции менеджер видит только своих клиентов. При демонстрации CRM выясняется, что он может выгрузить всю базу. Проблема не в отсутствии документа. Проблема — в расхождении документа и настройки.

В результате директор должен получить список конкретных действий. Не туманное «усилить защиту».

Не путай аудит с пентестом

Юридико-организационный аудит проверяет законность обработки, документы и процедуры. Техническое обследование помогает оценить системы и защитные меры; тестирование на проникновение требует отдельного согласования объёма и методов.

Статья 18.1 не устанавливает для любого бизнеса обязанность ежегодно покупать внешний аудит. При этом пункт 17 постановления № 1119 предусматривает контроль выполнения требований к защите в информационных системах не реже раза в три года — это отдельное требование. [постановление № 1119]

Интервью и границы проверки

Начните с согласования охвата: какие организации, подразделения, сайты, системы и процессы проверяются и какие работы останутся за пределами договора.

Поговорите с владельцами процессов

Предлагаемый маршрут интервью:

• Директор: структура бизнеса, ответственность, известные инциденты
• Продажи: источники контактов, CRM, звонки, выгрузки
• Маркетинг: формы, аналитика, рассылки, рекламные кабинеты
• HR и бухгалтерия: работники, кандидаты, выплаты, архивы
• IT и подрядчики: серверы, интеграции, доступы, резервирование

Спрашивай не «Соблюдаете ли вы 152-ФЗ?», а «Покажите, куда поступает новая заявка». Второй вопрос быстрее приводит к проверяемому результату.

Зафиксируйте глубину обследования

[ст. 18.1, 19 152-ФЗ](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)

Экспресс-аудит и комплексное обследование: модель согласования работ на основе статей 18.1 и 19 закона № 152-ФЗ. Названия пакетов и их состав закон не устанавливает.

Параметр	Экспресс-аудит	Комплексное обследование
Охват	Согласованный сайт и ключевой процесс	Перечень подразделений, систем и процессов
Методы	Интервью, публичная проверка, выборочная демонстрация	Расширенные интервью, документы, настройки и контрольные сценарии
Результат	Подтверждённые замечания и вопросы для углубления	Карта обработки, реестр рисков и план изменений
Ограничение	Нельзя делать вывод обо всей компании по одному сайту	Вывод действует в согласованных границах и на дату обследования

Заранее определите безопасный доступ аудитора. Предпочтите демонстрацию экрана, тестовые записи и временные права вместо передачи полного архива клиентов.

Как инвентаризировать данные и сервисы?

Составь карту обработки по целям и проследи каждый маршрут: источник, сведения, субъект, основание, система, получатель и завершение обработки. Именно цели, категории, способы и сроки должны раскрываться в локальных правилах оператора. [ст. 18.1 152-ФЗ]

Пройдите путь одной заявки

Для начала выберите типовой сценарий: запрос коммерческого предложения или запись на услугу.

Учебный пример. Форма отправляет данные в CRM и почту. Интеграция дополнительно создаёт уведомление в мессенджере. Руководитель получает еженедельную выгрузку.

В карте должно быть четыре направления, а не одно слово «сайт». Отдельно проверьте, кто видит сведения и где сохраняются копии.

Не забудьте бумажные документы, записи разговоров и мобильные устройства сотрудников. Это отдельные объекты обследования, даже если закупкой программ занимается один системный администратор.

Установите размещение баз

Запросите у поставщиков подтверждения о размещении соответствующих баз и резервных копий. Название российского бренда само по себе не описывает всю инфраструктуру.

При сборе персональных данных граждан России проверьте соблюдение части 5 статьи 18 закона № 152-ФЗ: использование зарубежных баз для перечисленных в ней операций не допускается, кроме предусмотренных законом исключений. Наличие российской копии само по себе не подтверждает соблюдение требования. [ч. 5 ст. 18 152-ФЗ]

Требование локализации при сборе и правила последующей трансграничной передачи следует проверять раздельно. Такое различие раскрыто в письме Минцифры от 12 мая 2025 года № П25-44929; письмо носит разъяснительный, а не нормативный характер. [разъяснения Минцифры]

До начала трансграничной передачи проверьте действующий перечень государств, обеспечивающих адекватную защиту прав субъектов, и применимый порядок начала передачи. Направление уведомления не означает, что в любую страну можно передавать данные немедленно: статья 12 предусматривает разные условия для государств, включённых и не включённых в перечень. [ст. 12 152-ФЗ]

Документы, основания и подрядчики

Сверьте документы с картой обработки: для каждой цели должны находиться применимое основание, правила работы и подтверждения исполнения. Наличие согласия не отменяет остальные обязанности оператора. [ст. 6 152-ФЗ]

Проверь связность комплекта

Включите в обследование политику, локальные акты, назначение ответственного, оценку вреда, договоры, согласия и сведения уведомления РКН.

Смотри на противоречия. Например, политика говорит только о покупателях, а компания также хранит резюме и ведёт рекламные подписки.

Отдельно проверьте B2B-контакты. Договор между двумя организациями не означает автоматической применимости договорного основания к любой обработке данных их работников: пункт 5 части 1 статьи 6 связывает основание с ролью самого субъекта. [ст. 6 152-ФЗ]

Организация обязана назначить ответственного за организацию обработки ПДн. Проверяйте не только приказ, но и полномочия, подотчётность и участие человека в процессах. [ст. 22.1 152-ФЗ]

Разберите договоры с исполнителями

Определите роль каждого получателя. Не любой контрагент обрабатывает сведения по поручению: некоторые самостоятельно определяют цели.

Если применяется поручение, проверьте условия части 3 статьи 6: данные, операции, цели, конфиденциальность, безопасность, подтверждение мер и сообщения об инцидентах. [ст. 6 152-ФЗ]

Соглашение о неразглашении закрывает только часть вопросов. Фраза «подрядчик отвечает за всё» тоже не освобождает оператора от ответственности перед субъектом за действия обработчика. [ст. 6 152-ФЗ]

Что проверяют на сайте?

Аудит сайта по 152-ФЗ должен охватывать точки сбора, основания обработки, доступность политики, доказательства согласий и фактическую передачу сведений подключённым сервисам. [разъяснения Минцифры]

Сопоставьте форму и цель

Соберите список форм: заявка, обратный звонок, регистрация, подписка, отзыв, загрузка резюме. Проверь мобильные версии и отдельные посадочные страницы.

Для каждой формы выясните:

• Зачем запрашивается каждое поле
• Кто получает отправленные сведения
• Какое основание выбрано
• Доступна ли политика на странице сбора
• Как подтверждается согласие, если обработка основана на нём

Закон допускает разные основания обработки. Поэтому аудит не должен автоматически превращаться в установку одинакового чекбокса под каждой кнопкой. [ст. 6 152-ФЗ]

С 1 сентября 2025 года согласие оформляют отдельно от другой подтверждаемой или подписываемой информации. При этом обязательная письменная форма нужна не для всех случаев обработки. [изменения 2025 г.]

Посмотрите фактические отправки

Проверь сетевые запросы, виджеты, аналитику, чат и обработчики форм на тестовых данных. Наличие внешнего домена — повод исследовать передачу, но не готовый вывод о нарушении.

Для cookie и аналитики определите состав сведений, получателей и основание. Баннер без изучения работы сервисов не заменяет эту проверку.

Рекламу оцените отдельно: предварительное согласие адресата требуется по статье 18 закона № 38-ФЗ, а доказать его получение должен рекламораспространитель. [ст. 18 закона «О рекламе»]

Зафиксируйте версию сайта и условия теста. Иначе после обновления разработчик и юрист будут обсуждать разные страницы.

CRM, доступы и внутренние процессы

Проверка CRM на персональные данные должна охватывать роли, выгрузки, интеграции, журналы, сроки хранения и действия при увольнении или инциденте. Правила доступа и контроль защитных мер предусмотрены статьёй 19. [ст. 18.1, 19 152-ФЗ]

Проверьте реальные полномочия

Предлагаемый набор контрольных действий: открыть тестовую карточку, проверить видимость чужих клиентов, возможность экспорта, административные роли и доступ интегратора.

Дополнительно посмотрите:

• Не используются ли общие учётные записи
• Кто хранит ключи интеграций
• Как отзываются доступы уволенных работников
• Какие действия фиксируются в журналах
• Ограничены ли публичные ссылки на файлы

Многофакторную аутентификацию, ограничения экспорта и другие настройки оценивайте применительно к угрозам и системе. Не выдавайте одну техническую настройку за универсальную формулировку закона.

Глубокое техническое тестирование согласуйте отдельно: обычная юридическая проверка не должна незаметно превращаться во вмешательство в рабочую инфраструктуру.

Протестируйте завершение обработки

Попросите показать, что происходит после отзыва согласия. Продолжение обработки возможно при наличии другого законного основания, поэтому команда не должна ни удалять всё автоматически, ни игнорировать отзыв. [ст. 6 152-ФЗ]

Проверьте уничтожение и его подтверждение. Для автоматизированной обработки приказ РКН № 179 предусматривает акт и выгрузку из журнала регистрации событий. [приказ РКН № 179]

Если установлен факт неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлёкший нарушение прав субъектов, оператор уведомляет Роскомнадзор: в течение 24 часов — об инциденте и первоначальных мерах; в течение 72 часов — о результатах внутреннего расследования. Оба срока исчисляются с момента выявления инцидента в порядке части 3.1 статьи 21 закона № 152-ФЗ. [ст. 21 152-ФЗ]

Что показывает практика 2026 года?

Практика подтверждает необходимость проверять не только тексты на сайте, но и контроль подрядчиков, безопасность и доказательства принятых мер. [сообщение РКН]

Подрядчик не снимает обязанности

В постановлении от 21 января 2026 года № 5-АД25-119-К2 Верховный суд оставил в силе наказание Минтруду. Суд отклонил довод о невиновности из-за доступа злоумышленника через инфраструктуру подрядчика. Штраф составил 100 тысяч рублей — обстоятельства дела не стоит связывать с расположенными рядом многомиллионными санкциями. [дело ВС № 5-АД25-119-К2]

Инцидент произошёл в 2023 году. Это решение нельзя использовать как пример назначения новых штрафов за утечки 2026 года. [дело ВС № 5-АД25-119-К2]

«Между тем доказательств, подтверждающих, что Министерством были приняты такие меры, материалы дела не содержат».

И. Н. Переверзева, судья Верховного суда РФ, постановление № 5-АД25-119-К2.

Санкции оценивают по составу

Ниже — отдельные составы нарушений, а не полный перечень ответственности. Суммы приведены для юридических лиц соответствующей категории; не переносите их автоматически на всех операторов.

Для коммерческих организаций статья 13.11 КоАП предусматривает:

• Незаконная или несовместимая с целями обработка: 150 000–300 000 рублей, часть 1. [ст. 13.11 КоАП РФ]
• Отсутствие обязательного письменного согласия или нарушение требований к нему: 300 000–700 000 рублей, часть 2. [ст. 13.11 КоАП РФ]
• Нарушение обязанности обеспечить доступ к политике: 30 000–60 000 рублей, часть 3. [ст. 13.11 КоАП РФ]
• Нарушение обязанности уведомить о намерении обрабатывать ПДн: 100 000–300 000 рублей, часть 10. [ст. 13.11 КоАП РФ]
• Неуведомление о предусмотренном законом инциденте: 1–3 млн рублей, часть 11. [ст. 13.11 КоАП РФ]
• Нарушение обязанности по локализации баз персональных данных: 1–6 млн рублей, часть 8. [ст. 13.11 КоАП РФ]

По частям 12–14 штрафы за утечки достигают 3–15 млн рублей в зависимости от установленных порогов. При повторности по части 15 предусмотрены 1–3% установленной законом выручки, минимум 20 млн, максимум 500 млн рублей. [ст. 13.11 КоАП РФ]

Для специальных категорий персональных данных и биометрии предусмотрены отдельные составы — штрафы 10–15 млн и 15–20 млн рублей соответственно. Поэтому 15 млн рублей — не общий максимум первичного штрафа за любую утечку.

Отдельного универсального штрафа с названием «не назначили DPO» не выделяйте: квалификация требует установить конкретный состав нарушения.

Отчёт и план исправлений

Результатом аудита должен стать проверяемый реестр замечаний с приоритетами и заданиями, а не только заключение «компания не соответствует 152-ФЗ».

Отделите факт от предположения

Предлагаемый формат каждого замечания:

• Факт: что обнаружено и при каких условиях
• Доказательство: документ, демонстрация, настройка или тест
• Основание: применимое требование
• Статус: нарушение, риск либо недостаточно сведений
• Исправление: конкретное действие
• Приёмка: как подтвердить результат

Учебный пример. «Поставщик не подтвердил размещение базы» — пробел в доказательствах. «База размещена за рубежом с нарушением применимого требования» — юридический вывод, для которого нужны дополнительные факты.

Учебный пример фрагмента реестра замечаний — не результаты проверки конкретной компании.

Что обнаружено	Статус	Что требуется сделать
Сотрудник может выгрузить всю клиентскую базу, хотя по роли работает только со своими клиентами	Требует оценки обоснованности доступа	Согласовать матрицу прав, проверить ограничения выгрузки
Не получено подтверждение размещения используемой базы	Недостаточно сведений	Запросить сведения у поставщика и проверить конкретную услугу
Политика не описывает фактически действующую форму подбора персонала	Требует правовой оценки и актуализации документов	Сопоставить цель, состав данных, основание и фактическую обработку

Не смешивайте эти статусы ради внушительного отчёта.

Расставьте приоритеты

Используйте управленческую градацию: срочно ограничить продолжающееся раскрытие; затем восстановить основания и обязательные процедуры; после — устранить остальные документальные и организационные пробелы.

Это предложенная методика, не государственная шкала риска.

1. Ограничьте риск. Закройте подтверждённый неправомерный доступ, сохранив необходимые сведения об инциденте.
2. Назначьте исполнителей. Разделите задачи директора, юриста, IT и подрядчиков.
3. Согласуйте сроки. Учтите законные сроки и зависимости между работами.
4. Внесите изменения. Исправьте документы, формы, договоры и настройки.
5. Проверьте результат. Повторите контрольный сценарий и сохраните подтверждение.

От чего зависит стоимость аудита персональных данных?

Цену содержательно рассчитывают после определения охвата, методов и результата: проверка одного сайта и обследование всей компании — разные задания.

Что влияет на смету

Для расчёта подготовьте перечень юридических лиц, сайтов, CRM, подразделений, подрядчиков и нестандартных процессов.

Уточните количество интервью, глубину технического обследования, проверку договоров, объём выборки и необходимость повторного контроля.

Не сравнивайте предложения только по числу страниц отчёта. Попросите показать обезличенный пример замечания и задания на исправление.

Если вам предлагают аудит по фиксированной цене, сначала сравните состав работ: сколько сайтов и процессов проверят, какие документы изучат и что будет в итоговом отчёте.

Что оплачивается отдельно

Зафиксируйте, входят ли разработка документов, изменение сайта, настройка CRM, переговоры с подрядчиками и повторная проверка.

Если заказывается внешний контроль выполнения требований постановления № 1119, проверьте наличие у исполнителя лицензии на техническую защиту конфиденциальной информации. Не смешивайте такие работы с юридико-организационным обследованием документов и процессов. [постановление № 1119]

Внешний аудит не заменяет постоянный внутренний контроль и не гарантирует отсутствие будущих нарушений. Полезный результат — понятный объём обследования и применимый план.

Мини-аудит из 20 вопросов

Ответьте на вопросы с подтверждениями: «да» без документа, демонстрации или настройки оставьте как непроверенное утверждение. Этот список помогает подготовить обследование, но не заменяет его.

Источники, документы и сайт

1. Известны ли все места получения персональных данных?
2. Прослежен ли маршрут заявки после отправки формы?
3. Разделены ли цели продаж, кадров и маркетинга?
4. Обоснована ли необходимость собираемых сведений?
5. Определены ли основания для каждой цели?
6. Соответствует ли политика фактической обработке?
7. Доступна ли политика на страницах сбора?
8. Можно ли подтвердить согласие, если оно необходимо?
9. Проверены ли отдельность и содержание согласий?
10. Подтверждаются ли предварительные рекламные согласия?

Системы, люди и реагирование

11. Подтверждено ли размещение используемых баз?
12. Проверены ли зарубежные получатели и передачи?
13. Определены ли роли подрядчиков и условия договоров?
14. Соответствуют ли права в CRM обязанностям работников?
15. Отзываются ли доступы при увольнении?
16. Контролируются ли интеграции, ключи и выгрузки?
17. Установлены ли сроки обработки и хранения?
18. Работает ли процедура обращений и отзывов?
19. Назначены ли ответственный и участники реагирования на инцидент?
20. Сохраняются ли подтверждения контроля и устранения замечаний?

Не превращайте ответы в выдуманный «процент соответствия». Один открытый доступ к базе может требовать более срочного вмешательства, чем несколько пробелов в оформлении.

Для сверки используйте официальные разъяснения и практику Роскомнадзора, а для уничтожения — требования приказа № 179.

Первичную карту и ответы на 20 вопросов разумно собрать своей командой. Внешнего специалиста полезно подключать для независимой проверки оснований, сложных передач и системных расхождений. Покупайте не обещание «всё проверим», а согласованный охват и критерии результата. Исправления тоже должны пройти проверку.

Часто задаваемые вопросы

Можно ли проверить компанию без доступа к CRM?

Можно провести ограниченное обследование. Но выводы о правах, интеграциях и фактическом хранении нужно ограничить полученными доказательствами.

Достаточно ли автоматической проверки сайта?

Нет, для проверки всей компании недостаточно. Публичный сайт не раскрывает кадровые процессы, договоры и внутренние доступы, которые также входят в обязанности оператора. [ст. 18.1 152-ФЗ]

Нужен ли аудит B2B-компании?

B2B-модель не исключает обработку данных людей. Проверяйте контакты представителей, работников и кандидатов; основания определяются применительно к конкретному субъекту и цели. [ст. 6 152-ФЗ]

Нужно ли проходить внешний аудит ежегодно?

Общей ежегодной обязанности покупать внешний аудит нет. Не путайте её с внутренним контролем и специальной периодичностью контроля требований защиты информационных систем. [постановление № 1119]

Придётся ли передать аудитору клиентскую базу?

Для первичного обследования обычно можно согласовать менее рискованные методы. Предложите тестовые записи, обезличенные примеры и демонстрацию настроек; доступ к реальным данным оформляйте отдельно.

Входит ли исправление нарушений в аудит?

Только если это предусмотрено договором. Разделите обследование, внедрение и повторную проверку, чтобы после отчёта не выяснилось, что заниматься замечаниями некому.