152-ФЗ для бизнеса: чек-лист без паники

152-ФЗ пугает формулировками, но для большинства компаний задача практическая: понять, какие данные вы собираете, зачем, где храните и кто к ним имеет доступ. Ниже — рабочий чек-лист без «юридического тумана».

1. Инвентаризация: что у вас уже есть

Составьте список источников ПДн: формы на сайте, CRM, Excel «у менеджеров», чаты поддержки, заявки из рекламы, кадровый контур. Для каждого источника зафиксируйте поля (телефон, ФИО, email), цель обработки и срок хранения.

• маркетинг и лиды;
• договоры и счета;
• сотрудники и подрядчики;
• логи доступа и резервные копии.

2. Документы, без которых спотыкаются на проверке

Минимальный пакет для сайта и CRM обычно включает политику обработки ПДн, согласие на обработку, поручение обработки (если данные отдаёте подрядчику) и внутренний регламент доступа. Важно, чтобы тексты совпадали с тем, что реально делает форма и отдел продаж — а не жили отдельно от процессов.

3. Техника: доступы, шифрование, бэкапы

Частые дыры — общий пароль к CRM, выгрузки в личные Google-таблицы и бэкапы «на флешке директора». Разделите роли, включите 2FA где возможно, ограничьте выгрузки, шифруйте каналы и храните резервные копии так же аккуратно, как боевую базу.

4. Типовые ошибки

• чекбокс согласия без ссылки на политику;
• ПДн в открытой переписке и мессенджерах без правил;
• хранение «на всякий случай» годами;
• подрядчик обрабатывает данные без договора-поручения.

5. Как подойти без остановки бизнеса

Не пытайтесь «закрыть 152-ФЗ за выходные». Сделайте волнами: сначала публичные формы и CRM, затем кадровый контур, затем архивы. Кодерон помогает связать юридические требования с реальной инфраструктурой: сайт, CRM, 1С, серверы и доступы. Подробнее об услуге — защита ПДн по 152-ФЗ.

Получить чек-лист под ваш контур →

Частые вопросы

Нужен ли 152-ФЗ, если у нас только сайт с формой заявки?

Да, если вы собираете ФИО, телефон, email или другие ПДн. Нужны политика, согласие и понятная цель обработки.

Можно ли хранить базы клиентов в облаке за рубежом?

Для многих сценариев с ПДн граждан РФ требуется локализация. Уточняйте у юриста и в договоре с облачным провайдером.

С чего начать, если документов нет?

Инвентаризация данных → цели обработки → политика и согласия → доступы и бэкапы → регламент инцидентов.