Аудит персональных данных по 152-ФЗ
Аудит показывает, какие персональные данные вы собираете на самом деле, где они лежат, кто имеет к ним доступ и что из этого нарушает 152-ФЗ. На выходе — перечень несоответствий с оценкой риска, план устранения по срокам и полный комплект документов оператора: политика обработки, приказ о назначении ответственного, перечень мест хранения, формы согласий и регламент реагирования на инциденты. Срок 5–10 рабочих дней, стоимость от 150 000 ₽. С 30 мая 2025 года за повторную утечку персональных данных установлен оборотный штраф — от 1 до 3% выручки за предыдущий год, но не менее 20 млн ₽ (ФЗ № 420-ФЗ от 30.11.2024), поэтому цена вопроса изменилась и для тех, у кого «данных немного».
- Стоимость
- от 150 000 ₽
- комплект документов оператора входит в стоимость
- Срок
- 5–10 рабочих дней
- Фиксируется в договоре
Отвечаю лично, обычно в течение двух рабочих дней. Если задача не моя — скажу сразу.
Когда это нужно
Если узнали свою ситуацию хотя бы в одном пункте — задача решается. Если ни в одном, скажу прямо, что услуга вам не нужна.
Собираете данные, но уведомление не подавали
Форма на сайте, база клиентов в CRM, записи разговоров — это обработка персональных данных, и она требует уведомления в Роскомнадзор. Многие узнают об этом от проверяющего, а не заранее.
Документы скачаны из интернета
Политика обработки взята с чужого сайта, в ней остались чужие цели и чужой перечень данных. Такой документ не защищает: несоответствие заявленного фактическому — самостоятельное нарушение.
Данные разъехались по сервисам
Клиенты лежат в CRM, переписка в мессенджере, таблицы у менеджеров на личных дисках, рассылка — в зарубежном сервисе. Никто не может перечислить все места хранения, а перечень обязателен.
Готовитесь к проверке или к сделке
Крупный заказчик или инвестор запросил документы по защите данных. Собирать их за неделю до срока дороже и хуже, чем разобраться заранее.
Проверьте себя за пять минут — бесплатно
Десять вопросов, разбор сразу на экране. Ответы не уходят на сервер: весь расчёт идёт в вашем браузере, и мы их не видим. Если по итогам всё в порядке — платить нам не за что, и разбор так и скажет.
Отвечено 0 из 10. Разбор можно получить и раньше — по отвеченным вопросам.
Что входит в работу
Оплата поэтапная: 50% перед этапом, 50% после подписания акта приёмки этапа. Аванса за весь проект нет.
Обследование потоков данных
- Проходим по всем точкам сбора: сайт, формы, мессенджеры, телефония, офлайн
- Составляем перечень мест хранения, включая личные диски и зарубежные сервисы
- Смотрим, кто имеет доступ и на каком основании
- Проверяем договоры с подрядчиками: есть ли поручение на обработку по ч. 3 ст. 6
Что остаётся у вас: Карта потоков персональных данных и перечень мест хранения — документ, который обязателен сам по себе.
Оценка несоответствий
- Сверяем фактическое с требованиями 152-ФЗ и подзаконных актов
- Определяем уровень защищённости информационной системы
- Оцениваем каждое несоответствие по риску: что грозит и насколько вероятно
Что остаётся у вас: Перечень несоответствий с оценкой риска и ссылками на конкретные нормы — без формулировок «рекомендуется усилить».
Комплект документов оператора
- Политика обработки персональных данных под ваши реальные цели и состав данных
- Приказ о назначении ответственного за организацию обработки
- Формы согласий, включая согласие на распространение по форме Роскомнадзора
- Регламент реагирования на инциденты — по закону на уведомление есть 24 часа
- Проект уведомления в Роскомнадзор
Что остаётся у вас: Готовый к подписанию комплект под вашу деятельность, а не шаблоны с подставленным названием.
План устранения и разбор
- Раскладываем найденное по срокам: что закрыть на этой неделе, что за квартал
- Разбираем результаты с вами и вашим ответственным
- Отвечаем на вопросы 14 дней после сдачи
Что остаётся у вас: План устранения с приоритетами и оценкой трудоёмкости каждого пункта.
Что не входит
Перечисляю до договора, чтобы это не выяснилось после оплаты. Часть пунктов берём отдельно, часть проще сделать самим.
- Подача уведомления в Роскомнадзор от вашего имени — подписывает и подаёт оператор, то есть вы
- Аттестация информационной системы и лицензируемые работы по технической защите информации
- Внедрение средств защиты: сертифицированные СЗИ покупаются и устанавливаются отдельно
- Перенос данных из зарубежных сервисов в российский контур — это отдельный проект
- Представление ваших интересов при проверке и в суде
- Ответственность за исполнение плана: оператором остаётесь вы, и это не передаётся договором
На чём делаем и почему
Стек выбран так, чтобы вы могли сменить подрядчика без переписывания проекта.
Нормативная база
- 152-ФЗ
- ПП РФ № 1119
- приказ ФСТЭК № 21
Проверяем по действующим нормам с прямыми ссылками, чтобы каждое замечание можно было перепроверить.
Методика
- ISO/IEC 27001
- COBIT
- модель угроз ФСТЭК
Аудиторская методика, а не чек-лист из интернета: оценка риска, а не перечень «желательно».
Результат
- отчёт
- комплект документов
- план устранения
Документы передаются в редактируемом виде — дорабатывать их сможете вы сами.
Сколько это стоит
Вилка зависит от объёма, а не от того, насколько срочно вам нужно. Точную цену называем после обследования и фиксируем в договоре — до запуска она не меняется.
| Класс задачи | Стоимость | Срок | Что двигает цену |
|---|---|---|---|
| Малый бизнес: один сайт и CRM | 150 000 – 250 000 ₽ | 5–7 рабочих дней | Число точек сбора, наличие зарубежных сервисов, состояние текущих документов |
| Несколько систем и подрядчиков | 250 000 – 450 000 ₽ | 10–15 рабочих дней | Число информационных систем, объём договоров с обработчиками, распределённые подразделения |
| Специальные категории данных | от 450 000 ₽ | от 3 недель | Медицинские, биометрические данные, высокий уровень защищённости, требования отраслевого регулятора |
Проекты дешевле 150 000 ₽ не берём: на таком бюджете не получается ни обследования, ни документации, ни гарантии — а без них работа превращается в лотерею для обеих сторон. Если задача меньше, честнее сказать об этом сразу, чем растянуть её до нужной суммы. Все цены.
Документы можно посмотреть заранее
Без формы и обмена на контакты: откройте файл и прочитайте условия до того, как о чём-то договариваться.
- Образец договора на разработкуФиксированная цена, срок со скидкой 20% за просрочку по нашей вине, репозиторий на вашем аккаунте с первого дня, 14 дней бесплатных доработок, переход исключительных прав.Открыть PDF
- Образец технического заданияОбезличенное ТЗ по ГОСТ 34.602-2020 на реальном проекте — чтобы заранее видеть, что именно получите на первом этапе.Открыть PDF
Частые вопросы
Вопросы, которые задают до договора. Если вашего здесь нет — спросите, отвечу так же прямо.
Расскажите, что нужно сделать
Достаточно пары предложений о задаче. Если она решается дешевле или другим способом — скажу об этом, даже когда это значит отказаться от заказа.
Отвечаю лично, обычно в течение двух рабочих дней. Если задача не моя — скажу сразу.