Аудит по требованиям РКН: нашли риски штрафов до 2,4 млн ₽ и устранили все

Задача

B2B-маркетплейс стоматологических материалов: клиники размещают заявки на закупку, поставщики отвечают предложениями с ценами. Задача звучала просто — «проверить сайт на соответствие требованиям Роскомнадзора». Требования к работе с персональными данными меняются по несколько раз в год: с сентября 2025 согласие оформляется только отдельным документом, а штраф за вход на сайт через иностранные сервисы — до 700 тысяч рублей — ввели буквально за две недели до нашей проверки. Сайт, который приводили в порядок год назад, сегодня может снова не соответствовать. И главное: обычно аудит заканчивается отчётом «что у вас не так», который ложится в стол, потому что исправлять сайт отчёт не умеет. Мы прошли путь целиком — от проверки до исправлений в коде работающего сервиса.

Что мы сделали

• Аудит занял 60 минут: разобрали сайт технически — страницы, формы, сетевые запросы, домен, хостинг, реестры, — а параллельно сверяли требования по первоисточникам: федеральным законам и документам регулятора в действующих редакциях, а не по чужим чек-листам
• Сайт устроен как приложение: юридические тексты «зашиты» внутрь кода, простым просмотром страниц их не увидеть. Извлекли документы прямо из опубликованного сайта и проанализировали их ещё до того, как получили доступ к коду
• Нашли 6 критических несоответствий с потенциальными штрафами от 1,2 до 2,4 млн рублей по действующим нормам. Ситуация типовая: такой набор сейчас у большинства сайтов, которые давно не проверяли
• Убрали с сайта всё зарубежное: вход через Google заменили на Яндекс ID, зарубежную капчу — на Яндекс SmartCaptcha, шрифты Google перенесли на собственный сервер, Google Tag Manager отключили. Трансграничной передачи данных больше нет
• Юридические документы написали заново под реальную работу сервиса. Старые оказались необработанными шаблонами из интернета — вплоть до пункта о праве передавать данные пользователей «на платной основе», о котором владелец и не подозревал. Теперь на сайте: политика обработки данных, отдельное согласие, публичная оферта на подписку и переписанное пользовательское соглашение
• Перечень собираемых данных составили по коду сайта, а не по памяти: прошли по всем формам и обеим ролям — заказчикам и поставщикам. Нашли неочевидное: в заявку можно вручную вписать почту стороннего поставщика, а это данные третьего лица — в документах появился отдельный блок на этот случай
• Согласия оформили, как требует закон с сентября 2025: отдельная галочка — только про персональные данные, принятие пользовательского соглашения — отдельно, по нажатию кнопки. Заказчик предлагал объединить всё «в одну галочку» — объяснили, почему так нельзя
• Поставили cookie-баннер: аналитика запускается только после «Принять все», выбор посетителя хранится 12 месяцев, передумать можно в один клик через футер
• Попутно починили то, что ломалось незаметно: страница политики не открывалась из-за ошибки в коде сайта, цели Яндекс.Метрики молча перестали считаться после удаления Google Tag Manager, кнопки cookie-баннера на телефонах перехватывал сторонний виджет чата, а сам сайт оказался полностью закрыт от поисковиков — забытая настройка со времён разработки
• Работали без риска для живого сервиса: одна задача за раз, каждая правка сначала проверялась на тестовой копии, на боевой сайт — только после подтверждения заказчика. Итого 18 задач доведены до рабочей версии
• Бонусом починили тестовый контур: почта на нём не работала несколько лет, и проверить регистрацию там было невозможно — теперь у команды снова есть полноценная среда для проверок

Как это выглядит на сайте