Аудит персональных данных по 152-ФЗ
Аудит показывает, какие персональные данные вы собираете на самом деле, где они лежат, кто имеет к ним доступ и что из этого нарушает 152-ФЗ. На выходе — перечень несоответствий с оценкой риска, план устранения по срокам и полный комплект документов оператора: политика обработки, приказ о назначении ответственного, перечень мест хранения, формы согласий и регламент реагирования на инциденты. Срок 5–10 рабочих дней, стоимость от 150 000 ₽. С 30 мая 2025 года за повторную утечку персональных данных установлен оборотный штраф — от 1 до 3% выручки за предыдущий год, но не менее 20 млн ₽ (ФЗ № 420-ФЗ от 30.11.2024), поэтому цена вопроса изменилась и для тех, у кого «данных немного».
- Стоимость
- от 150 000 ₽комплект документов оператора входит в стоимость
- Срок
- 5–10 рабочих днейФиксируется в договоре
- Если сорвём срок
- минус 20%Стоимость работ по договору снижается на 20%. Пункт 3.2 образца
Отвечаем обычно в течение двух рабочих дней. Если задача не наша — скажем сразу.
Когда это нужно
Если узнали свою ситуацию хотя бы в одном пункте — задача решается. Если ни в одном, скажем прямо, что услуга вам не нужна.
Собираете данные, но уведомление не подавали
Форма на сайте, база клиентов в CRM, записи разговоров — это обработка персональных данных, и она требует уведомления в Роскомнадзор. Многие узнают об этом от проверяющего, а не заранее.
Документы скачаны из интернета
Политика обработки взята с чужого сайта, в ней остались чужие цели и чужой перечень данных. Такой документ не защищает: несоответствие заявленного фактическому — самостоятельное нарушение.
Данные разъехались по сервисам
Клиенты лежат в CRM, переписка в мессенджере, таблицы у менеджеров на личных дисках, рассылка — в зарубежном сервисе. Никто не может перечислить все места хранения, а перечень обязателен.
Готовитесь к проверке или к сделке
Крупный заказчик или инвестор запросил документы по защите данных. Собирать их за неделю до срока дороже и хуже, чем разобраться заранее.
Проверьте себя за пять минут — бесплатно
Десять вопросов, разбор сразу на экране. Ответы не уходят на сервер: весь расчёт идёт в вашем браузере, и мы их не видим. Если по итогам всё в порядке — платить нам не за что, и разбор так и скажет.
Отвечено 0 из 10. Разбор можно получить и раньше — по отвеченным вопросам.
Снимки работающих систем
Экраны того, что запущено и работает сегодня.
Первые вопросы проверки персональных данных
Видны реальные вопросы самопроверки и варианты ответов для тестового прохождения.
Самопроверка показывает прогресс ответов
После девяти ответов отображается прогресс 9 из 10 и доступна кнопка разбора.
Разбор результатов проверки по 152-ФЗ
После завершения теста открыт блок с баллами риска, нарушением и рекомендацией.
Что входит в работу
Оплата поэтапная: 50% перед этапом, 50% после подписания акта приёмки этапа. Аванса за весь проект нет.
Обследование потоков данных
- Проходим по всем точкам сбора: сайт, формы, мессенджеры, телефония, офлайн
- Составляем перечень мест хранения, включая личные диски и зарубежные сервисы
- Смотрим, кто имеет доступ и на каком основании
- Проверяем договоры с подрядчиками: есть ли поручение на обработку по ч. 3 ст. 6
Остаётся у вас Карта потоков персональных данных и перечень мест хранения — документ, который обязателен сам по себе.
Оценка несоответствий
- Сверяем фактическое с требованиями 152-ФЗ и подзаконных актов
- Определяем уровень защищённости информационной системы
- Оцениваем каждое несоответствие по риску: что грозит и насколько вероятно
Остаётся у вас Перечень несоответствий с оценкой риска и ссылками на конкретные нормы — без формулировок «рекомендуется усилить».
Комплект документов оператора
- Политика обработки персональных данных под ваши реальные цели и состав данных
- Приказ о назначении ответственного за организацию обработки
- Формы согласий, включая согласие на распространение по форме Роскомнадзора
- Регламент реагирования на инциденты — по закону на уведомление есть 24 часа
- Проект уведомления в Роскомнадзор
Остаётся у вас Готовый к подписанию комплект под вашу деятельность, а не шаблоны с подставленным названием.
План устранения и разбор
- Раскладываем найденное по срокам: что закрыть на этой неделе, что за квартал
- Разбираем результаты с вами и вашим ответственным
- Отвечаем на вопросы 14 дней после сдачи
Остаётся у вас План устранения с приоритетами и оценкой трудоёмкости каждого пункта.
Что не входит
Перечисляю до договора, чтобы это не выяснилось после оплаты. Часть пунктов берём отдельно, часть проще сделать самим.
- Подача уведомления в Роскомнадзор от вашего имени — подписывает и подаёт оператор, то есть вы
- Аттестация информационной системы и лицензируемые работы по технической защите информации
- Внедрение средств защиты: сертифицированные СЗИ покупаются и устанавливаются отдельно
- Перенос данных из зарубежных сервисов в российский контур — это отдельный проект
- Представление ваших интересов при проверке и в суде
- Ответственность за исполнение плана: оператором остаётесь вы, и это не передаётся договором
На чём делаем и почему
Стек выбран так, чтобы вы могли сменить подрядчика без переписывания проекта.
Нормативная база
- 152-ФЗ
- ПП РФ № 1119
- приказ ФСТЭК № 21
Проверяем по действующим нормам с прямыми ссылками, чтобы каждое замечание можно было перепроверить.
Методика
- ISO/IEC 27001
- COBIT
- модель угроз ФСТЭК
Аудиторская методика, а не чек-лист из интернета: оценка риска, а не перечень «желательно».
Результат
- отчёт
- комплект документов
- план устранения
Документы передаются в редактируемом виде — дорабатывать их сможете вы сами.
Сколько это стоит
Вилка зависит от объёма, а не от того, насколько срочно вам нужно. Точную цену называем после обследования и фиксируем в договоре — до запуска она не меняется.
| Класс задачи | Стоимость | Срок | Что двигает цену |
|---|---|---|---|
| Малый бизнес: один сайт и CRM | 150 000 – 250 000 ₽ | 5–7 рабочих дней | Число точек сбора, наличие зарубежных сервисов, состояние текущих документов |
| Несколько систем и подрядчиков | 250 000 – 450 000 ₽ | 10–15 рабочих дней | Число информационных систем, объём договоров с обработчиками, распределённые подразделения |
| Специальные категории данных | от 450 000 ₽ | от 3 недель | Медицинские, биометрические данные, высокий уровень защищённости, требования отраслевого регулятора |
Проекты дешевле 150 000 ₽ не берём: на таком бюджете не получается ни обследования, ни документации, ни гарантии — а без них работа превращается в лотерею для обеих сторон. Если задача меньше, честнее сказать об этом сразу, чем растянуть её до нужной суммы. Все цены.
Документы можно посмотреть заранее
Без формы и обмена на контакты: откройте файл и прочитайте условия до того, как о чём-то договариваться.
- Образец договора на разработкуФиксированная цена, срок со скидкой 20% за просрочку по нашей вине, репозиторий на вашем аккаунте с первого дня, 14 дней бесплатных доработок, переход исключительных прав.Открыть PDFСкачать в Word, чтобы править
- Образец технического заданияОбезличенное ТЗ по ГОСТ 34.602-2020 на реальном проекте — чтобы заранее видеть, что именно получите на первом этапе.Открыть PDFСкачать в Word, чтобы править
Частые вопросы
Вопросы, которые задают до договора. Если вашего здесь нет — спросите, ответим так же прямо.
Да. Закон не устанавливает нижнего порога по числу субъектов: оператором становится любой, кто обрабатывает персональные данные, включая ИП с одной формой на сайте. Разница только в объёме работ и цене аудита. Если данных действительно мало и всё в порядке, аудит закончится коротким отчётом — и это нормальный результат, за который не стыдно взять деньги, потому что вы получите документы и определённость.
Шаблон описывает вымышленную организацию. Нарушением считается не отсутствие бумаги, а расхождение между тем, что написано, и тем, что происходит на самом деле: политика обещает хранение в РФ, а рассылка идёт через зарубежный сервис. Аудит начинается с того, что мы смотрим, как у вас устроено на самом деле, и документы пишутся уже под это.
Да, для этого сделана самопроверка: 8–12 вопросов, разбор сразу на экране, ответы не уходят на сервер. Она не заменяет аудит, но показывает, есть ли у вас крупные дыры и стоит ли вообще об этом думать сейчас. Если по её итогам всё в порядке — платить нам не за что, и скажем об этом прямо.
Оператор, то есть вы. Это прямая норма закона, и договором она не передаётся — ни нам, ни любому другому подрядчику, что бы он ни обещал. Что мы можем: найти несоответствия до проверяющего, дать документы и план, объяснить, что закрыть в первую очередь. Обещание «берём ответственность на себя» в этой области — признак того, что продавец либо не читал закон, либо рассчитывает, что не читали вы.
С 30 мая 2025 года действует ФЗ № 420-ФЗ: за первую утечку штраф для организации вырос до 150 000 – 300 000 ₽, а за повторную считается от оборота — от 1 до 3% выручки за предыдущий календарный год, но не менее 20 млн ₽ и не более 500 млн ₽. Отдельно есть риск приостановки обработки: на практике это остановка продаж, если заявки собираются через сайт. Точную цифру под ваш оборот навскидку не назову — она зависит от квалификации нарушения, и тот, кто называет её сразу, продаёт вам страх.
Собственный комплект оператора PROMAREN: политика обработки, приказ о назначении ответственного, перечень мест хранения, формы согласий и регламент реагирования на инциденты. Он написан для нас самих и используется, а не лежит для вида. Это же и есть проверка компетенции: подрядчик, у которого своего комплекта нет, вряд ли соберёт его вам.
Расскажите, что нужно сделать
Достаточно пары предложений о задаче. Если она решается дешевле или другим способом — скажем об этом, даже когда это значит отказаться от заказа.
Отвечаем обычно в течение двух рабочих дней. Если задача не наша — скажем сразу.