Информация об обработке данных: Политика обработки персональных данных.
``` ## Почему Статья 18.1 требует доступности политики и сведений о реализуемых требованиях к защите. Согласие пользователя с политикой не является отдельным универсальным требованием этой статьи. ## Когда применять Для сайта оператора, собирающего персональные данные. Политика описывает фактическую обработку, а не копируется без проверки. ### Требования - Укажите актуального оператора, цели, состав/категории данных, основания, порядок и сроки обработки, права и способ обращения, существенные сведения о получателях и защите в применимом объеме. - Ссылка доступна на формах, включая модальные, мобильные и встроенные виджеты. Документ читается до отправки без обязательного входа. - Версионируйте политику и дату действия; изменение текста сопровождается проверкой соответствия реальным системам. - Не объединяйте текст политики, договор и согласие на обработку в одно неразделенное подтверждение. ## Как проверить - Откройте каждую форму без сессии и клавиатурой; проверьте ссылку, реквизиты и читаемость. - Сверьте политику с фактическими CRM, рассылками, аналитикой, получателями и сроками хранения. ## Человек Оператор утверждает реквизиты, цели, основания, сроки и текст политики по реальной деятельности. ## Агент Проверяет доступность документа с каждой формы без входа, версию, рабочие ссылки и соответствие указанным интеграциям. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 18.1: обязанности оператора](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/privacy-policy.md) --- # Отдельное согласие на обработку ## Коротко Когда обработка основана на согласии, оно оформляется отдельно от других подтверждаемых документов и условий. ## Плохо ```html ``` ## Хорошо ```html ``` ## Почему Статья 9 требует конкретного, информированного и однозначного согласия и его отдельного оформления. Checkbox является одним из вариантов доказуемого действия, а не единственным допустимым способом. ## Когда применять Только для целей, где выбрано согласие и допустима такая форма. Когда закон требует письменную форму, обычная галочка сама по себе ее не заменяет. ### Требования - Не объединяйте согласие с офертой, политикой или рекламой одним флагом. Текст и версия отдельного согласия доступны до действия. - Не устанавливайте согласие заранее и не выводите его из молчания. Сервер проверяет явный выбор и связывает его с нужной целью и версией текста. - Опишите оператора, цель, данные, действия, условия/срок и порядок отзыва в применимом объеме. Требования письменной формы проверяются отдельно. - Пример является фрагментом формы, а не готовым юридическим текстом; required оправдан только при необходимости этого основания для данной операции. ## Как проверить - Проверьте отправку без отметки, подмену версии текста и отключенный JavaScript; сервер не создает согласие автоматически. - Проверьте раздельность согласия, договора и необязательной рекламы на desktop/mobile. ## Человек Определяет необходимость согласия, применимую форму и утверждает отдельный текст для конкретной цели. ## Агент Реализует отдельное действие без предустановки; проверяет серверную валидацию, версию текста и отправку без JavaScript. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 9: согласие](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/separate-consent.md) --- # Доказательство и отзыв согласия ## Коротко Оператор может восстановить, какое согласие, на какую цель и каким действием было получено и отозвано. ## Плохо ```text В базе только consent=true; текст по URL перезаписан, времени и цели нет. ``` ## Хорошо ```text consent_event: subject_ref, purpose_id, text_version, text_digest, action, received_at. Отзыв создает новое событие и прекращает зависящую от него обработку. Доступ к журналу и срок хранения ограничены. ``` ## Почему Статья 9 возлагает доказательство согласия или иного основания на оператора. Набор полей журнала является инженерным способом исполнения, а не дословным форматом закона. ## Когда применять Для электронной регистрации согласий. Доказательство не должно создавать избыточный сбор данных. ### Требования - Сохраняйте неизменяемую версию текста и связь с субъектом/контекстом, целью, временем и явным действием. Один boolean без контекста недостаточен для этого профиля. - IP и User-Agent не объявляются обязательными по закону: их необходимость и срок оцениваются отдельно. Защитите журнал от обычного редактирования и не пишите полные данные в технические логи. - Дайте доступный канал отзыва; обработайте его во всех зависимых системах и очередях. Отзыв не уничтожает автоматически данные, которые правомерно сохраняются по другому основанию. - Документируйте сроки прекращения/уничтожения и исключения по применимой норме; не обещайте мгновенное удаление всех резервных копий без реализованной процедуры. ## Как проверить - Восстановите текст и событие для тестового согласия после обновления формы. - Отзовите согласие и проверьте блокировку следующего зависимого действия, очередь, получателей и подтверждение обработки запроса. ## Человек Определяет достаточность доказательства, срок хранения и круг лиц с доступом к журналу. ## Агент Связывает событие с версией текста и целью; проверяет восстановление доказательства, отзыв и зависимые очереди. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 9: согласие](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/) - [152-ФЗ, статья 21: прекращение обработки и инциденты](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/consent-evidence.md) --- # Согласие на рекламные сообщения ## Коротко Рекламные сообщения по сетям электросвязи отправляются при подтвержденном предварительном согласии и прекращаются по требованию адресата. ## Плохо ```text Номер из заявки автоматически добавляется в рекламную рассылку; отказ от рекламы блокирует отправку заявки. ``` ## Хорошо ```text Отдельный необязательный выбор: «Хочу получать рекламные предложения по email». Согласие связано с адресом, каналом и текстом. Требование прекратить рекламу блокирует новые отправки и уже поставленные в очередь сообщения. ``` ## Почему Согласие на обработку данных и согласие на рекламу имеют разные цели. Служебное сообщение оценивается по содержанию; добавление рекламного блока может изменить его характер. ## Когда применять Для email, SMS, телефонных и других подпадающих под статью 18 закона о рекламе сообщений. Квалификацию спорного сообщения проверяют отдельно. ### Требования - Получайте предварительное доказуемое согласие на выбранный канал и адресата. Не выводите его из покупки, регистрации или наличия телефона. - Отказ от необязательной рекламы не препятствует основной операции с самостоятельным основанием. Прекращение рекламы доступно и применяется до следующей отправки. - Учитывайте suppression-list и очереди; повторная загрузка контакта не восстанавливает отозванное согласие. - Это правило не разрешает запрещенные статьей 18 способы автоматического дозванивания/рассылки: применимость таких ограничений проверяется для выбранной технологии отдельно. ## Как проверить - Создайте заявку без рекламы: заявка обрабатывается, рекламный контакт не активируется. - Отзовите согласие при сообщении в очереди и повторно импортируйте контакт: рекламная отправка не возобновляется. ## Человек Определяет рекламный характер сообщений, каналы и утверждает текст согласия. ## Агент Разделяет заявку и подписку, фиксирует согласие, применяет отказ к очередям и импорту; проверяет прекращение отправок. ## Источники - [152-ФЗ, статья 15: предварительное согласие на прямое продвижение и прекращение по требованию](https://mintrud.gov.ru/docs/laws/130) - [38-ФЗ, статья 18: реклама по сетям электросвязи](https://www.consultant.ru/document/cons_doc_LAW_58968/f892dec1383709792452f18d36e7043306e2be0a/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/marketing-consent.md) --- # Cookies, аналитика и внешние трекеры ## Коротко Для cookies, идентификаторов и SDK определите данные, цель и основание; согласие, если оно требуется, действует до соответствующей обработки. ## Плохо ```text Баннер «Продолжая пользоваться, вы согласны» показан после загрузки аналитики и отправки идентификаторов за рубеж. ``` ## Хорошо ```text Инвентаризация: session → выбранное основание; analytics/ads → отдельная оценка. При основании consent необязательные SDK не загружаются до выбора. Доступны отказ, настройка и последующий отзыв; выбор применяется также серверным интеграциям. ``` ## Почему 152-ФЗ не задает универсальный дизайн cookie-баннера для любого cookie. Оценивается обработка персональных данных, включая возможность связать идентификатор с человеком. ## Когда применять Для сайта с cookies, localStorage, пикселями, аналитикой, чатами, картами, CAPTCHA и внешними SDK. Название «технический» не создает автоматического исключения из закона. ### Требования - Ведите реестр: поставщик, данные/идентификаторы, цель, срок, домены, страны и основание. Проверяйте реальные сетевые запросы, а не только список cookies. - Если основание — согласие, блокируйте соответствующую обработку до явного выбора. Для другого основания документируйте условия применимости. - Как соглашение профиля используйте доступные действия принять/отклонить необязательные/настроить и повторно открыть настройки; исключите предустановленное согласие. - Проверьте трансграничную передачу и локализацию отдельно. Отсутствие cookies не доказывает отсутствие передачи данных через запросы, fingerprint или SDK. ## Как проверить - В чистом профиле запишите Network до выбора, после отказа, после согласия и после отзыва. - Сверьте фактические запросы, хранилища и серверные события с реестром, включая мобильную версию. ## Человек Оператор квалифицирует данные и основания для каждого SDK и утверждает допустимые цели и получателей. ## Агент Снимает Network и серверные потоки до выбора, после отказа/согласия/отзыва; блокирует обработку, для которой согласие еще не получено. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 6: правовые основания и поручение](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/) - [152-ФЗ, статья 9: согласие](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/) - [Минцифры России: письмо от 12.05.2025 № П25-44929](https://www.consultant.ru/document/cons_doc_LAW_511584/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/cookies-trackers.md) --- # Локализация баз при сборе данных ## Коротко При сборе данных граждан РФ проверьте выполнение части 5 статьи 18 для всех участвующих баз и операций. ## Плохо ```text Форма сначала пишет данные в иностранную CRM, затем копирует их в российскую БД; наличие копии считается достаточным. ``` ## Хорошо ```text Схема потоков показывает прием, запись, накопление, хранение, уточнение и извлечение. Для применимого сбора используются базы в РФ; каждое исключение имеет конкретное правовое основание. Последующая передача рассматривается отдельно по статье 12. ``` ## Почему Текущая норма запрещает перечисленные операции при сборе с базами за пределами РФ, кроме установленных законом исключений. Одной российской копии недостаточно для вывода о соответствии. ## Когда применять Для сбора персональных данных граждан РФ с учетом применимости и исключений. Это не общий запрет любых иностранных технологий: оценивается конкретный поток данных. ### Требования - Инвентаризируйте frontend, backend, CRM, формы провайдеров, базы, логи, резервные копии и аналитику. Установите фактическое место обработки, а не только юридический адрес поставщика. - Не отправляйте применимые данные напрямую в иностранную базу под предположением, что последующая копия в РФ устраняет нарушение. - Изменения по 23-ФЗ действуют с 1 июля 2025 года. Согласие само по себе не является общим исключением из части 5 статьи 18. - Трансграничную передачу, хранение копий и обновление за рубежом оцените отдельно; письмо Минцифры является разъяснением, а не самостоятельной нормой закона. ## Как проверить - Проследите тестовую заявку от браузера до всех получателей и хранилищ; сопоставьте с договорами и конфигурацией регионов. - Проверьте прямые формы CRM/SDK, логи ошибок и резервное копирование; оформите применимые исключения либо устраните несоответствие. ## Человек Оператор подтверждает места обработки и конкретные основания исключений, согласует договоры с поставщиками. ## Агент Прослеживает заявку через браузер, API, CRM, логи и копии; сверяет фактические регионы и исключает неутвержденные прямые записи. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 18: сбор и локализация](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/) - [Минцифры России: письмо от 12.05.2025 № П25-44929](https://www.consultant.ru/document/cons_doc_LAW_511584/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/localization.md) --- # Трансграничная передача ## Коротко Перед передачей персональных данных за рубеж установите получателей, основания, ограничения и необходимые уведомления. ## Плохо ```text Иностранный SDK подключен без карты данных; cookie-галочка считается разрешением на любую передачу. ``` ## Хорошо ```text Получатель, страна, категории данных, цель и основание зафиксированы. Проверены требования статьи 12 и отдельное уведомление до начала деятельности, если нет применимого исключения. Запрет или ограничение регулятора блокирует соответствующий поток. ``` ## Почему Трансграничная передача имеет отдельный режим и не исчерпывается общим согласием. Уведомление по статье 12 отдельно от уведомления оператора по статье 22. ## Когда применять Для передачи иностранному получателю на территорию другого государства, включая применимые облака, поддержку, аналитику и интеграции. ### Требования - Определите фактических получателей, страны, данные, цели и правовое основание. До передачи получите сведения и выполните процедуры, требуемые статьей 12. - Проверьте статус государства, применимые условия начала передачи, ограничения и запреты. Нельзя считать сам факт подачи уведомления универсальным разрешением немедленно передавать данные. - Согласуйте поток с локализацией при сборе и договором с обработчиком. Техническая возможность отключить интеграцию должна быть предусмотрена. - Не копируйте в документацию полный набор личных данных ради доказательства; храните проверяемую схему и реквизиты решений. ## Как проверить - Сверьте Network, серверные исходящие запросы и доступ поддержки со списком получателей. - Отключите запрещенный/неподтвержденный поток и проверьте, что фоновые задачи и повторные отправки также остановлены. ## Человек Ответственный проверяет применимость статьи 12, получателей, ограничения и направляет необходимые уведомления от имени оператора. ## Агент Строит карту стран и получателей, проверяет отключение потока, фоновых отправок и повторов; не заменяет юридическую оценку технической доступностью API. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 12: трансграничная передача](https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/cross-border.md) --- # Поручение обработки и подрядчики ## Коротко Передача обработки подрядчику имеет определенные цели, условия договора и контролируемый доступ. ## Плохо ```text CRM-подрядчик получает всю базу без перечня операций, сроков, требований безопасности и порядка уведомления об инциденте. ``` ## Хорошо ```text Реестр обработчиков: цель, данные, операции, основание, договор, доступ, срок. Поручение содержит применимые обязанности по конфиденциальности, защите и подтверждению мер. Завершение договора запускает отзыв доступа и согласованное удаление/возврат. ``` ## Почему Поручение не устраняет обязанности оператора перед субъектом. Договорное обозначение роли должно соответствовать фактическим действиям. ## Когда применять Для CRM, хостинга, поддержки, рассылок, обработки заявок и других подрядчиков. Самостоятельный оператор и обработчик по поручению различаются. ### Требования - Классифицируйте роль каждого получателя. Для поручения выполните требования статьи 6, включая применимое согласие либо законное исключение и обязательные условия. - Ограничьте данные и права целью; определите субподрядчиков, страны, хранение, возврат/удаление и доступ сотрудников поддержки. - Установите подтверждение мер и быстрый канал уведомления об инциденте, чтобы оператор мог выполнить собственные сроки. - Периодически пересматривайте получателей и удаляйте неиспользуемые интеграции и учетные записи. ## Как проверить - Сопоставьте договорный перечень с реальными интеграциями, полями и доступом. - Проверьте завершение договора: ключи отозваны, фоновые передачи прекращены, судьба копий подтверждена. ## Человек Определяет роль получателя, утверждает поручение и контролирует договорные обязанности подрядчика. ## Агент Проверяет перечень передаваемых полей, права и интеграции; подтверждает отзыв доступа и прекращение передачи при завершении договора. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 6: правовые основания и поручение](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/processors.md) --- # Уведомление оператора и ответственность ## Коротко До начала обработки проверьте обязанность уведомления Роскомнадзора и назначьте ответственных за исполнение требований. ## Плохо ```text Сайт считает себя освобожденным от уведомления, потому что собирает только имена и телефоны клиентов. ``` ## Хорошо ```text Для каждой деятельности проверены статья 22 и актуальные исключения. Сохранены реквизиты уведомления либо основание неприменимости. Изменения целей, систем и иных сведений запускают проверку актуализации. ``` ## Почему Многие прежние исключения были отменены. Объем формы или отсутствие регистрации пользователя сами по себе не доказывают освобождение. ## Когда применять Для оператора персональных данных в сфере действия 152-ФЗ. Организационная обязанность не реализуется одной настройкой сайта. ### Требования - До сбора установите применимость уведомления по статье 22; используйте действующие исключения, а не старые шаблоны. - Сведения уведомления согласуйте с реальными целями, категориями, мерами и системами. Изменения и прекращение обработки имеют отдельные процедуры и сроки. - Зафиксируйте ответственного и внутренний маршрут согласования изменений. Требования к назначению ответственного для юридического лица проверяются по применимым нормам. - Уведомление о трансграничной передаче учитывается отдельно; наличие одного не заменяет другое. ### Актуализация уведомления По статье 22(7) изменившиеся сведения передаются не позднее 15-го числа месяца, следующего за месяцем изменения. О прекращении обработки сообщают в течение 10 рабочих дней с даты прекращения. Эти сроки относятся к уведомлению оператора; первоначальная подача до начала обработки и уведомление о трансграничной передаче имеют отдельные основания. ## Как проверить - Сверьте новую форму или SDK с действующими документами и уведомлениями. - Проверьте владельца процедуры, доступ к подтверждениям подачи и задачу актуализации при изменении обработки. ## Человек Уполномоченный сотрудник оценивает обязанность, подает уведомление и отвечает за актуальность сведений. ## Агент Сопоставляет формы и интеграции с матрицей, выявляет изменения, готовит сведения и напоминания; не заявляет подачу без подтверждения. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 22: уведомление](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/) - [152-ФЗ, статья 18.1: обязанности оператора](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/operator-notification.md) --- # Минимизация и сроки хранения ## Коротко Каждое поле и хранилище имеют обоснованную цель, срок и процедуру прекращения обработки. ## Плохо ```text Для обратного звонка обязательны дата рождения и паспорт; все заявки и полные логи хранятся бессрочно. ``` ## Хорошо ```text Обратный звонок: контакт и содержание запроса в необходимом объеме. Для заявки, журнала согласий, логов и backup определены разные сроки и основания. Удаление распространяется на активные системы и учитывается при восстановлении копии. ``` ## Почему Статья 5 ограничивает объем и срок обработки целями и применимыми основаниями. Универсальный срок «три года для всего» не является корректной заменой анализа. ## Когда применять Для всех форм, технических журналов, аналитики, CRM и резервных копий с персональными данными. ### Требования - Обоснуйте каждое обязательное поле; необязательное должно действительно оставаться необязательным. Не собирайте данные «на будущее» без определенной цели. - Задайте срок/событие окончания по категориям данных и основаниям, включая договорные и законные обязанности хранения. - Реализуйте удаление или допустимое обезличивание, проверку выполнения и ограничения доступа. Обезличивание не равно простому удалению имени при сохранении идентифицирующих связей. - Для резервных копий задайте срок и процедуру повторного применения удалений после восстановления. Архивная копия не используется для обычной обработки без основания. ### Прекращение обработки При достижении цели или отзыве согласия применяются условия и исключения статьи 21(4–5): базовый предельный срок уничтожения — 30 дней с соответствующего события, если нет самостоятельного основания сохранять данные. Если уничтожение в установленный срок невозможно, статья 21(6) требует блокирования и уничтожения не позднее 6 месяцев, если иной срок не установлен федеральным законом; это не разрешение продолжать обычное использование резервной копии. ## Как проверить - Отправьте форму без необязательных полей и проверьте все получатели. - Выполните тест удаления по сроку, включая индекс, CRM, файлы и восстановление backup; проверьте отсутствие повторного появления удаленных данных. ## Человек Утверждает сроки по целям и законным основаниям, допустимые исключения и порядок уничтожения. ## Агент Реализует минимальные поля, удаление по сроку и учет удалений при восстановлении; проверяет индексы, интеграции и копии. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 5: принципы обработки](https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/) - [152-ФЗ, статья 21: прекращение обработки и инциденты](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/retention.md) --- # Обращения субъектов и отзыв ## Коротко Пользователь имеет доступный канал запросов, а оператор — процедуру проверки, исполнения и ответа в применимые сроки. ## Плохо ```text Адрес для отзыва не работает; запросы безусловно требуют скан паспорта по обычной почте. ``` ## Хорошо ```text Запрос зарегистрирован с датой, типом, ответственным и сроком по применимой статье. Идентификация пропорциональна запросу; ответ не раскрывает данные постороннему. Исполнение отражено в связанных системах и подтверждено заявителю. ``` ## Почему Право на доступ, уточнение и прекращение обработки требует организационного и технического процесса. Сроки различаются по виду обращения и основанию. ## Когда применять Для обращений по статьям 14, 20 и 21 и отзыва согласия по статье 9. Конкретный срок и допустимое продление определяются применимой нормой. ### Требования - Опубликуйте рабочий канал и минимальные понятные требования запроса. Не собирайте дополнительный документ автоматически без обоснования. - Регистрируйте дату получения, тип требования, правовое основание, срок, ответственного и результат; эскалация происходит до истечения срока. - Проверяйте полномочия/личность до раскрытия данных, учитывая установленный законом порядок. Исполнение охватывает обработчиков и очереди. - При сохранении части данных по самостоятельному основанию объясните объем и основание; не выдавайте частичное удаление за полное. ### Сроки для типовых запросов Информация и ознакомление по статье 20(1) предоставляются при обращении либо в течение 10 рабочих дней с получения запроса. Продление — не более 5 рабочих дней с мотивированным уведомлением. Исправление подтвержденных неполных/неточных/неактуальных данных — не более 7 рабочих дней с предоставления подтверждающих сведений по статье 20(3). Требование прекратить обработку по статье 21(5.1) исполняется в течение 10 рабочих дней; предусмотрены законные исключения и продление не более 5 рабочих дней с мотивированным уведомлением. Отзыв согласия и уничтожение по статье 21(5) имеют собственные условия: один срок для всех обращений не применяется. ## Как проверить - Пройдите запрос доступа, исправления и отзыва от тестового субъекта; проверьте сроки, идентификацию и ответ. - Попробуйте запросить чужие данные и проверьте отсутствие утечки через подтверждение наличия аккаунта. ## Человек Ответственный квалифицирует запрос, подтверждает применимый срок, полномочия и содержание ответа субъекту. ## Агент Обеспечивает регистрацию, маршрутизацию и техническое исполнение; проверяет отсутствие раскрытия чужих данных и результат во всех системах. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 14: права субъекта](https://www.consultant.ru/document/cons_doc_LAW_61801/34585db685164ddd73440bf08348903bff6715aa/) - [152-ФЗ, статья 20: обращения субъектов](https://www.consultant.ru/document/cons_doc_LAW_61801/7aeb0acd5aa76dbc888a07e52ca06a92568c6e96/) - [152-ФЗ, статья 21: прекращение обработки и инциденты](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/subject-requests.md) --- # Публикация персональных данных ## Коротко Для публикации данных неопределенному кругу лиц отдельно проверьте основание и требования статьи 10.1. ## Плохо ```text Согласие на обратный звонок используется для публикации имени, фото и текста отзыва на сайте. ``` ## Хорошо ```text Публикация отзыва имеет отдельное основание и согласованный перечень публичных данных. При использовании согласия на распространение оно оформлено отдельно от других согласий. Публичный API, экспорт и кеш соблюдают выбранные ограничения. ``` ## Почему Сбор данных для ответа и распространение данных являются разными операциями. Наличие данных в интернете не дает автоматического права повторно публиковать их. ## Когда применять Для отзывов, каталогов сотрудников, публичных профилей, фотографий и открытых выгрузок. Специальные законные основания и права на изображение требуют отдельной оценки. ### Требования - Разделите внутреннюю обработку и доступ неопределенного круга лиц. Определите перечень данных, условия и ограничения публикации. - Если основание — согласие по статье 10.1, оформите его отдельно и обеспечьте выбор предусмотренных законом категорий/данных и условий. - При согласии по статье 10.1 опубликуйте сведения об условиях обработки и наличии установленных субъектом запретов/условий передачи не позднее трех рабочих дней с момента получения согласия, как требует часть 10. Это сведения об условиях, а не основание раскрывать дополнительные персональные данные. - Не публикуйте скрытые метаданные, контакты или исходные файлы сверх разрешенного объема. Отзыв/ограничение учитывается в API, поиске, CDN и последующих экспортных задачах. ## Как проверить - Проверьте опубликованный объект, исходный HTML, JSON API, изображения и экспорт без авторизации. - Для тестового согласия проверьте дату получения, срок трех рабочих дней и доступность опубликованных сведений об условиях/запретах. - Измените условия публикации и проверьте прекращение будущей выдачи и обработку доступных кешей. ## Человек Утверждает основание публикации, перечень публичных данных и условия субъекта; учитывает право на изображение. ## Агент Проверяет сайт, API, файлы и экспорт, срок публикации условий и применение ограничений к поиску и доступным кешам. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 10.1: распространение](https://www.consultant.ru/document/cons_doc_LAW_61801/591acc70f577873c1ee54765eda110b7a0271eaf/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/public-distribution.md) --- # Инциденты с персональными данными ## Коротко Для инцидентов, подпадающих под часть 3.1 статьи 21, предусмотрены уведомление и расследование в установленные сроки. ## Плохо ```text Обнаруженная утечка остается задачей разработчика без времени выявления, ответственного и канала уведомления. ``` ## Хорошо ```text Зафиксированы факт/время выявления, затронутые системы и ответственный. При применимости статьи 21(3.1): первоначальное уведомление — в течение 24 часов; результаты расследования — в течение 72 часов. Оба срока считаются от выявления инцидента, а не последовательно 24 + 72 часа. Технические меры и доказательства сохраняются контролируемо. ``` ## Почему Срок зависит от момента выявления и установленного законом состава инцидента. Ожидание полного расследования не должно задерживать первоначальное уведомление. ## Когда применять Для установленной неправомерной или случайной передачи, предоставления, распространения либо доступа, повлекших нарушение прав субъектов, как указано в законе. ### Требования - Определите маршрут обнаружения, оценки применимости, эскалации и отправки уведомления уполномоченным лицом. Разработчик не остается единственным ответственным. - Сохраняйте время выявления, факты, предполагаемые причины/вред и принятые меры для первоначального уведомления; результаты расследования оформляются отдельно. - Ограничьте дальнейшую утечку, отзовите доступ при необходимости и сохраните необходимые доказательства без распространения полного массива данных. - Подрядчики передают сведения оператору достаточно быстро для исполнения его обязанностей; сценарий проверяется до инцидента. ## Как проверить - Проведите настольный сценарий с инцидентом ночью/в выходной и проверьте возможность соблюсти сроки. - Проверьте доступность ответственных, шаблон необходимых сведений и восстановление хронологии без лишнего раскрытия данных. ## Человек Ответственный оценивает применимость уведомления, руководит реагированием и направляет сообщения регулятору. ## Агент Фиксирует время и факты, ограничивает утечку в рамках полномочий, сохраняет необходимые доказательства и проверяет техническое восстановление. ## Источники - [152-ФЗ: текст на сайте Минтруда, статьи 5–22; редакция от 24.06.2025](https://mintrud.gov.ru/docs/laws/130) - [152-ФЗ, статья 21: прекращение обработки и инциденты](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/) Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13. [Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/legal/russia-web/rules/incidents.md)