Сайт собирает данные клиентов: с чего начать соответствие закону о персональных данных 152-ФЗ?

Самый частый технический косяк — это физическое расположение БД. Если у вас WordPress или самописный движок, сам сайт может хоститься в РФ, но плагин формы отправляет бэкап в стороннее зарубежное облако. Пока не убедитесь, что первая запись на диск происходит именно в России, одними галочками на сайте не отделаетесь.

edit: выше написал неправильно, извините.

На самом сайте прямо сейчас проверьте четыре вещи: 1) Галочка в формах ни в коем случае не должна стоять по умолчанию. 2) Политика конфиденциальности не должна быть типовой рыбой из интернета — укажите точное юрлицо и ИНН. 3) Нужен баннер с предупреждением о сборе cookie. 4) Должно быть четко расписано, для каких именно целей собираются данные и сколько времени они хранятся.

В прошлом году мы получили похожее предупреждение по проверке. Мы заплатили местному специалисту 45 000 RUB за подготовку внутренних регламентов компании и правильную регистрацию в Роскомнадзоре. Когда нужные документы были готовы, процесс утверждения уведомления завершился за две недели. Дорогие пакеты агентств не нужны, но правильно заполнить шаблоны документов обязательно.

галочку в форме пользователь обязательно должеен поставить своей рукой. раньше ставили автоматический тик и всё теперь инспекторы напрямую сканируют формы ботами и смотрят, стоит галочка или нет.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Формы на сайте подключены к CRM или просто падают на корпоративную почту? Ваш почтовый сервер хостится у российского провайдера или вы используете международный общий сервис? Это различие определяющее для правила технической локализации.

Отговорка "мы работаем только с B2B, получаем данные компаний, а не физлиц" не работает. Если в форме есть имя, фамилия и личный телефон, то эта запись — прямо персональные данные. Большая часть проверок начинается с жалобы конкурента или автоматических сканеров сайтов, так что допишите тексты на сайте не откладывая.

Поставить галочку согласия под формой и привязать её к тексту политики специфичному для вашей компании, займёт максимум два часа, сделайте это первым делом.

Я столкнулся с тем же два года назад. Изменение платежных данных никогда не подтверждается через тот же канал.

Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному. Конечно, если ваша ситуация отличается, всё меняется.

Именно так. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Если на один вопрос вы получаете три разных ответа вопрос задан неправильно. Я бы пошел этим путем.

Я сталкивался с тем же. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения. Пишите, если есть вопросы, отвечу по мере возможности.

Взял на заметку, спасибо.

Поделюсь своим опытом. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Пишите если есть вопросы, отвечу по мере возможности.

У нас было так. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Исправьте, если я ошибаюсь.

Я тоже об этом думал. Автоматический отчет о сканировании и пентест — это не одно и то же.

Спасибо, очень помогло. Чем сложнее отменить решение, тем медленнее его принимайте.

мне тоже интересно.

Появились три разных мнения, они дополняют друг друга. Пытаться сделать это в одиночку — самый дорогой путь.

Позвольте подвести итог сказанному выше. Чем сложнее отменить решение, тем медленнее его принимайте.