Как оформить сайт по 152-ФЗ

Каравайцева Елена Александровна

Проблема не в персональных данных, а в распространении изображения гражданина без его согласия.

Малюк Андрей Григорьевич

Здравствуйте!

Согласно 152-ФЗ, важно внимательно подходить к вопросам обработки данных, включая файлы cookie. Хотя некоторые из перечисленных вами данных на первый взгляд могут показаться неперсонализированными, это не всегда так.

Рекомендую вам ознакомиться с текущими требованиями законодательства и при необходимости адаптировать политику использования файлов cookie на вашем сайте. Я могу помочь вам разобраться в этом вопросе и привести вашу практику в соответствие с законодательством.

Пожалуйста, свяжитесь со мной, если вам потребуется помощь.

Пушкарев Яков Васильевич

Нет, это не совсем так. Даже если куки не содержат персональных данных, информировать пользователя всё равно необходимо.
Технические (строго необходимые) куки действительно не требуют согласия пользователя, так как они:
*Обеспечивают работу сайта, предоставляют необходимый уровень сервиса и являются частью пользовательского соглашения.
Однако, согласно позиции Роскомнадзора, даже для технических куки необходимо: информировать пользователей об условиях и целях использования файлов, указать категории таких файлов, объяснить, как удалить или отключить куки, разместить информацию на "первом" уровне сайта (например, в виде всплывающего окна), сделать информацию доступной без длительного поиска.
Ваши куки относятся к техническим, но всё равно требуется: разместить уведомление о сборе куки, дать ссылку на политику конфиденциальности, объяснить цели использования каждого типа куки, указать, как пользователь может управлять файлами куки.
Важно: даже если куки не содержат персональных данных, отсутствие уведомления может быть расценено как нарушение законодательства о защите данных.

Малюк Андрей Григорьевич

Здравствуйте, Виктория!

В соответствии с российским законодательством, включая Федеральный закон № 152-ФЗ «О персональных данных», обработка персональных данных пользователей должна соответствовать установленным требованиям. Если используются cookies, особенно если они собирают информацию, классифицируемую как персональные данные, необходимо получить согласие пользователя на их применение.

Для этого можно разместить всплывающее уведомление о cookies с кнопками «Принять» и «Отклонить», а также другими вариантами действий, например, «Принять все» или «Настроить». Однако конкретных указаний относительно обязательности таких кнопок именно в контексте 152-ФЗ может не быть. Рекомендую индивидуально проконсультироваться с юристом для получения точной информации, учитывая особенности вашего ресурса и характер собираемых данных.

Если у Вас появятся вопросы, обращайтесь. Я всегда готов помочь🤝

Ватолин Александр Иванович

Да, с 01.09.2023 обязательно наличие кнопок «Принять всё» / «Отклонить всё» (или аналогичных) в баннере о cookies. Это следует из п. 8.1 ст. 10.1 152-ФЗ (в ред. ФЗ №266-ФЗ от 02.07.2021) и Разъяснений Роскомнадзора №07-об/дги-11030 от 30.08.2023.
Ключевые требования:
Равнозначность выбора.
Кнопка отказа должна быть того же размера/видимости, что и согласие.
Предварительное согласие.
До взаимодействия пользователя с сайтом нельзя:
Загружать необязательные cookies;
Скрывать кнопку отказа в настройках.
Запрет «темных паттернов»
Нельзя использовать дизайн, принуждающий к согласию (например, выделенная кнопка «Принять» и серая «Отклонить»).
Исключения:
Технические cookies (сессионные, аутентификация, корзина покупок) не требуют согласия (п. 2 ст. 2 152-ФЗ).
Что будет за нарушение:
—Штрафы:
Для ИП/физлиц — до 30 тыс. ₽;
Для юрлиц — до 300 тыс. ₽ (ст. 13.11 КоАП РФ).

Умнова Елена Сергеевна

Да, согласно закону №152-ФЗ «О персональных данных», владельцам сайтов необходимо получать согласие пользователей на обработку их данных, в том числе файлов cookie.

Ватолин Александр Иванович

Для соответствия 152-ФЗ при обработке ПДн (ID, телефон, имя) в Telegram-боте на российском VPS:
Получите явное согласие: через активное действие пользователя (кнопка) с указанием целей, состава ПДн, срока хранения и ФИО оператора. Реализуйте простой механизм отзыва (например, команда /delete_my_data).
Опубликуйте Политику обработки ПДн: В доступном месте (бот/сайт), описывающую цели, состав данных, сроки, меры защиты, права субъектов.
Примите меры защиты (ТОМЗ):
Передача: HTTPS (TLS).
Хранение: Шифрование ПДн в БД (напр., AES-256).
Сервер: Фаервол (iptables/nftables), обновления ОС/ПО, сильные учетные данные, минимальные привилегии.
Резервные копии: Зашифрованные.
Заключите договор-поручение с VPS-провайдером (если он потенциально имеет доступ к данным).
Удаляйте ПДн автоматически или вручную после достижения целей (мероприятие + разумный срок для претензий).
Назначьте ответственного за обработку ПДн в вашей организации.
СКЗИ: Не требуется для типового бота мероприятий.
Сертификация ПО: не обязательна.
Квалификация разработчиков: требований 152-ФЗ нет, но ПО должно реализовывать меры защиты.
Уведомление Роскомнадзора: подается, если не подпадаете под исключения ст. 22 (часто требуется). Уточните у юриста.
Минимум: Согласие + Политика + Шифрование (передача/хранение) + Защита сервера + Договор с провайдером + Удаление данных.

Малюк Андрей Григорьевич

Здравствуйте!

Спасибо за ваш вопрос. Для того чтобы соответствовать требованиям 152-ФЗ при размещении бота на VPS-сервере, необходимо выполнить ряд действий.

1. Анализ требований законодательства. Первым шагом будет детальный анализ требований 152-ФЗ «О персональных данных» и подзаконных актов, чтобы понять, какие именно меры защиты персональных данных (ПДн) необходимо внедрить.

2. Разработка архитектуры системы. Необходимо разработать архитектуру системы, которая будет обеспечивать обработку и хранение ПДн в соответствии с законодательством. Это включает в себя выбор технологий, определение способов шифрования данных и т. д.

3. Использование средств криптографической защиты информации (СКЗИ). Для обеспечения конфиденциальности ПДн при передаче и хранении необходимо использовать сертифицированные СКЗИ. Вам потребуется выбрать подходящие СКЗИ, соответствующие требованиям законодательства, и интегрировать их в систему.

4. Сертификация. В зависимости от объёма и характера обрабатываемых ПДн может потребоваться сертификация системы в соответствии с требованиями законодательства. Мы можем помочь вам разобраться в этом вопросе.

5. Квалификация разработчиков ПО. Разработчики, работающие над системой, должны иметь необходимые знания и навыки для обеспечения соответствия требованиям законодательства. Мы предлагаем услуги квалифицированных специалистов, которые смогут разработать и внедрить систему с учётом всех требований.

6. Внедрение системы. После разработки архитектуры и выбора СКЗИ необходимо внедрить систему на VPS-сервере. Мы можем предложить вам комплексные решения, включая настройку и оптимизацию работы системы.

7. Мониторинг и аудит. Регулярный мониторинг и аудит системы помогут убедиться, что она продолжает соответствовать требованиям законодательства.

8. Документация и отчётность. Необходимо вести соответствующую документацию и отчётность, чтобы подтвердить соответствие требованиям законодательства при проведении проверок.

Я готов помочь вам на каждом этапе — от разработки до внедрения и использования системы. Обращайтесь, и мы найдём оптимальное решение для вашего проекта.

Домрачев Сергей Владимирович

Сбор и хранение персональных данных граждан Российской Федерации должны осуществляться с использованием баз данных, находящихся на территории Российской Федерации. Отправка данных для аналитической обработки в зарубежные сервисы, даже при наличии локализованной базы, является трансграничной передачей.

После направления уведомления и получения необходимой информации, вы можете осуществлять трансграничную передачу персональных данных, если Роскомнадзор не примет решение о запрете или ограничении такой передачи.
Невыполнение обязанности по уведомлению Роскомнадзора о трансграничной передаче персональных данных влечет административную ответственность.

Малюк Андрей Григорьевич

Здравствуйте!

Спасибо за ваш вопрос. С учётом вступления в силу изменений в ФЗ-152 «О персональных данных» с 1 июля 2025 года, ситуация действительно требует внимательного анализа.

Отправка данных юридических лиц, ИП и самозанятых из России в зарубежные сервисы для аналитической обработки может рассматриваться как трансграничная передача персональных данных. Чтобы легально использовать зарубежные сервисы в таких условиях, необходимо выполнить ряд требований, установленных законодательством.

Для получения подробной консультации и помощи в оформлении всех необходимых документов рекомендую обратиться ко мне за юридической помощью. Я смогу детально изучить вашу ситуацию и предложить оптимальные решения, соответствующие требованиям законодательства.

Буду рад помочь вам разобраться в этом вопросе и обеспечить полное соответствие вашей деятельности требованиям законодательства. Обращайтесь, и вместе мы найдём наилучший выход из ситуации.

Ватолин Александр Иванович

Ваши рассуждения верны, вопрос очень актуален и имеет юридическую сложность. Нет, открытый профиль не лишает данные статуса персональных. Ссылка на ВК может быть расценена как «слив» личных данных, если она ведет к деанонимизации и использованию информации в неправомерных целях.. Публичные данные: Информация, размещённая пользователем в открытом доступе, действительно является публичной по своей доступности, но не перестаёт быть персональными данными по своему содержанию. ФЗ №152-ФЗ прямо указывает, что даже общедоступная информация, по которой можно идентифицировать человека (ФИО, фото, дата рождения), остаётся персональными данными. Граница проходит по принципу цели и согласия. Распространение (публикация, «слив») персональных данных без согласия их владельца, даже если они находятся в открытом доступе, является нарушением ФЗ №152-ФЗ, если это делается с целью, отличной от той, для которой данные были изначально размещены. Например, если человек выкладывает фото для общения с друзьями, а кто-то использует его для создания фейкового аккаунта или травли. Неправомерная деанонимизация: это использование публичной информации для установления личности человека с последующим использованием этих данных в целях, которые могут причинить вред (например, шантаж, доксинг, кибербуллинг). «Слив» ссылки на ВК — это не всегда нарушение, но может им стать. Всё зависит от контекста, цели и последствий. Если вы просто делитесь ссылкой с друзьями, это нормально. Если вы делаете это для того, чтобы организовать травлю, распространить ложную информацию или использовать данные человека без его согласия, это уже является неправомерным использованием персональных данных, даже если профиль был открыт. Таким образом, ваше понимание абсолютно правильное: публичность информации в соцсети не является автоматическим разрешением на её использование кем угодно и в любых целях.

Буланкина Светлана Николаевна

Ссылка на ВК — это НЕ слив личных данных.

Чижов Алексей Алексеевич

Нет, сам по себе факт того, что профиль в соцсети публичный, НЕ означает, что распространение ссылки на него перестает регулироваться законом о персональных данных (152-ФЗ). Такое действие может быть признано нарушением.

Вы совершенно правильно понимаете базовые определения. Давайте расставим все по полочкам.

1. Публичность ≠ Свобода распространения

Ключевая ошибка в споре на форуме — это смешение двух разных понятий:

Доступ к информации (пользователь сам сделал ее публичной).
Распространение (обработка) информации (кто-то другой ее целенаправленно собирает и распространяет).
Человек, делая свой профиль публичным, дает согласие на доступ к этой информации любому пользователю соцсети. Он НЕ дает автоматического согласия на то, чтобы эту информацию:

систематизировали,
копировали,
распространяли вне контекста самой соцсети (например, выкладывали на форумах, в чатах, базах данных).
Таким образом, просто посмотреть на публичный профиль — законно. Целенаправленно распространять ссылку на него против воли человека — потенциально незаконно.

2. Ссылка как персональные данные

Ссылка на профиль в социальной сети (например, vk.com/id12345) сама по себе является персональным данным.

Прямая идентификация: По этой ссылке можно однозначно идентифицировать конкретного человека (перейти на его страницу, увидеть ФИО, фото, другую информацию).
Косвенная идентификация: Даже если на странице нет имени, а только никнейм и фото, этого часто бывает достаточно для идентификации в определенном кругу.
Распространение такой ссылки без согласия субъекта — это обработка персональных данных (сбор, запись, систематизация).

3. Когда «слив» ссылки является нарушением?

Чтобы обработка персональных данных была законной, необходимо основание, предусмотренное ст. 6 152-ФЗ. Для случая со «сливом» на форуме чаще всего подходит одно из двух:
Согласие субъекта. Распространял ли человек, на которого ссылаются, свое согласие на такое распространение? Нет. Значит, этого основания нет.
Публикация самим субъектом. Пункт 2 ч. 1 ст. 6 152-ФЗ говорит, что согласие не требуется, если данные сделаны общедоступными самим субъектом. Это главный козырь тех, кто считает «слив» законным.
Но здесь есть критически важный нюанс! Законодатель и Роскомнадзор (являющийся надзорным органом) поясняют, что под «общедоступными данными» понимаются данные, доступ к которым предоставлен неограниченному кругу лиц с согласия субъекта (например, справочники телефонных номеров с согласия абонентов).
Суды и регулятор при рассмотрении жалоб исходят из цели обработки.
Цель «слива»: чаще всего — указать на человека, чтобы его осудили, оскорбили, призвали к harassing (травле), или просто без какой-либо общественно полезной цели.
Контекст: ссылка выкладывается в негативном или провокационном контексте («вот этот человек плохой, смотрите на него»).
В такой ситуации суд почти наверняка признает обработку (распространение ссылки) неправомерной, так как она:
нарушает принципы 152-ФЗ (законность, справедливость, соразмерность цели);

совершается без согласия субъекта;
может причинить субъекту вред (психологический, репутационный).
4. Юридическая граница

Граница проходит в цели и контексте распространения.

Законно (скорее всего):

Указать ссылку на официальную страницу публичного лица (депутата, артиста, блогера) в контексте новостного репортажа или обсуждения его публичной деятельности.
Предоставить ссылку на профиль как контактную информацию с согласия самого человека (в подписи к статье, на сайте компании).
Незаконно (с высокой вероятностью):
Выложить ссылку на форуме или в чате с целью осуждения, травли, насмешек или без какой-либо явной общественной цели.
Собрать и опубликовать список ссылок на людей, состоящих в определенной группе, без их ведома.
Практический вывод для вашего спора
Утверждение «профиль публичный, значит ссылку можно сливать» является юридически неграмотным. Оно игнорирует:
Разницу между доступом и распространением.
Требование к наличию цели для обработки данных.
Контекст, в котором эти данные распространяются.
Человек, распространяющий ссылку без согласия ее владельца и вне рамок общественно полезных целей, рискует получить:
Жалобу в Роскомнадзор (который может вынести предписание о прекращении обработки и оштрафовать);
Иск о защите персональных данных и компенсации морального вреда (ст. 17 152-ФЗ).
Надеюсь, это разъяснение поможет вам аргументировать свою позицию. Вы мыслите абсолютно в верном направлении.

Буду очень признателен, если Вы в благодарность (для Вас это пара минут времени и совершенно бесплатно), оставите отзыв в моём профиле на этом сайте — но это поможет другим пользователям выбрать юриста и укрепит мою репутацию на платформе. Всего Вам хорошего!

Решетникова Ольга Николаевна

Да, согласно изменениям в 152-ФЗ, необходимо включить в cookie-баннер кнопки "Принять всё" и "Отклонить всё" для управления согласиями пользователя. Это требование поддержано Роскомнадзором.

Малюк Андрей Григорьевич

Здравствуйте!

Спасибо за ваш вопрос. Я понимаю, что эта тема может вызывать много вопросов и обсуждений. Действительно, в последнее время в законодательство вносятся изменения, и важно быть в курсе всех обновлений.

Согласно Федерального закона № 266-ФЗ от 02.07.2021, действительно существуют определённые требования к информированию пользователей о сборе и использовании их персональных данных, включая данные, получаемые через cookies. Однако, как вы правильно заметили, в самом законе не содержится прямого указания на необходимость наличия именно кнопок «Принять всё» и «Отклонить всё».

Тем не менее, для точного понимания всех требований и правильного оформления cookie-баннера, рекомендую обратиться к официальным разъяснениям Роскомнадзора.

Я готов помочь вам разобраться в этом вопросе более подробно и предоставить профессиональную юридическую консультацию. Буду рад ответить на все ваши вопросы и помочь вам разобраться в этой ситуации. Обращайтесь ко мне за платной юридической помощью, и мы вместе найдём оптимальное решение для вашего проекта.

Лаптев Ярослав Сергеевич

Добрый день. Могу оказать помощь по данному направлению работы. Сроки, детали можем обсудить, если интересно.

Малюк Андрей Григорьевич

Здравствуйте, Иван!

Спасибо за ваш вопрос. Я рад помочь вам разобраться в сложных юридических аспектах работы с персональными данными. Как специалист в этой области, я понимаю, насколько важно соблюдать все требования законодательства.

1. Уведомление Роскомнадзора. Да, как оператор или организатор обработки персональных данных, вы должны уведомить Роскомнадзор о начале обработки персональных данных. Для этого необходимо подать уведомление в электронном виде через Единый портал государственных услуг. Я могу помочь вам с подготовкой всех необходимых документов и подачей уведомления в РКН.

2. Оператор персональных данных. В вашем случае оператором персональных данных является то лицо, которое осуществляет обработку данных. Это может быть как вы (как разработчик), так и клиент (в зависимости от условий договора). Важно чётко определить, кто несёт ответственность за обработку данных в каждом конкретном случае.

3. Договор поручения на обработку персональных данных. Да, вам необходим договор поручения на обработку персональных данных между вами и клиентом. В договоре должны быть прописаны все условия обработки данных, включая цели, сроки, права и обязанности сторон, а также меры по обеспечению безопасности данных. Я могу помочь вам разработать такой договор, который будет соответствовать всем требованиям законодательства.

4. Согласие пользователя в Telegram-боте. Согласие пользователя должно быть оформлено в соответствии с требованиями 152-ФЗ. Это может быть кнопка «Согласен» в интерфейсе бота, но важно, чтобы пользователь понимал, какие данные будут обрабатываться и для каких целей. Я могу помочь вам разработать форму согласия, которая будет соответствовать всем требованиям.

5. Использование иностранных сервисов. Использование иностранных сервисов возможно при наличии отдельного согласия на трансграничную передачу данных. Однако важно учитывать требования законодательства и обеспечивать соответствие обработки данных международным стандартам. Я могу помочь вам разобраться в этих требованиях и разработать соответствующие процедуры.

6. Локализация хранения данных в РФ. Для обеспечения соответствия требованиям законодательства, данные пользователей должны храниться на территории РФ. Размещение сервера в российском дата-центре может быть одним из способов обеспечения этого требования, но важно учитывать все аспекты. Я могу помочь вам разработать стратегию локализации хранения данных.

7. Необходимые документы. Для соответствия требованиям 152-ФЗ у вас должны быть следующие документы: политика конфиденциальности, регламент обработки персональных данных, журнал обращений, политика защиты персональных данных и другие документы, необходимые для обеспечения соответствия. Я могу помочь вам разработать все необходимые документы.

8. Меры защиты персональных данных. Вы должны внедрить меры по обеспечению безопасности персональных данных, включая использование паролей, VPN, шифрования, бэкапов и других средств. Я могу помочь вам разработать комплексную систему защиты данных.

9. Риски и последствия. Невыполнение требований законодательства может привести к штрафам и другим санкциям. Я могу подробно рассказать вам о возможных рисках и помочь разработать стратегию минимизации этих рисков.

Я готов предоставить вам более подробную информацию и помочь с подготовкой всех необходимых документов. Если вам потребуется юридическая помощь, я буду рад предложить свои услуги. Пожалуйста, свяжитесь со мной для обсуждения деталей.

Малюк Андрей Григорьевич

Здравствуйте!

Если вы собираетесь перепродавать бывшие в употреблении товары, то такого рода бизнес можно законно вести как минимум в качестве индивидуального предпринимателя. Статус самозанятого подходит только для продажи исключительно товаров, произведенных самостоятельно.

Что нужно сделать, если в любом случае будете вести деятельность, связанную с перепродажей товаров:

1. Оформить статус ИП.

2. Приобрести онлайн-кассу, в том числе можно воспользоваться облачным сервисом.

3. Подготовить и разместить на сайте договор-оферту и политику конфиденциальности.

4. Следовать требованиям по маркировке товаров и условиям возврата (в соответствии с Законом о защите прав потребителей).

Документы следует индивидуально адаптировать с учётом особенностей вашей деятельности, специфики товаров б/у и ручной работы, а также правильно прописать условия возврата и гарантий.

Грачёв Георгий Владимирович

Ваш сервис обрабатывает персональные данные в рамках информационного права, и первичная база должна локализоваться на серверах в РФ. Резервные копии за рубежом допустимы при условии первичной локализации. Уведомление регулятора обязательно до начала обработки. Согласие оформляется отдельным чекбоксом - совмещение с офертой недопустимо. Роскомнадзор при выявлении нарушений локализации вправе инициировать блокировку сервиса, что является наиболее критичным риском. Ваш сервис уже обрабатывает данные или только готовится к запуску? Имейте ввиду - уточняющий вопрос задаю неспроста! В практике защиты персональных данных регулятор при проверках -сервисов в первую очередь запрашивает не политику, а журнал обработки и договоры поручения с третьими лицами - именно их отсутствие становится основанием для составления протокола в 9 из 10 проверяемых случаев. Подчеркну, что исход зависит от конкретных обстоятельств, так как каждая ситуация индивидуальна по-своему! Желаю удачи в решении вопроса! С уважением, -юрист Грачёв Георгий!

Арзуманян Раксана Владимировна

Для SaaS-сервиса, работающего с пользователями из РФ, соблюдение 152-ФЗ «О персональных данных» является строго обязательным. С учетом масштабного ужесточения законодательства и кратного роста штрафов в 2025–2026 годах, формальный подход к документам или хранение данных за рубежом несут критические риски для бизнеса. Персональными данными является любая информация, которая прямо или косвенно относится к определенному физическому лицу (субъекту ПДн). В вашей SaaS-модели к ним относятся: при регистрации: Email и номер телефона. Сами по себе (без ФИО) Роскомнадзор и суды признают их персональными данными, так как они позволяют идентифицировать конкретного человека. При оплате и работе: ФИО пользователя, реквизиты личной банковской карты (если оплата идет от физлица). Технические данные: IP-адрес, файлы cookies, ID пользователя в системе, данные о местоположении. Реквизиты юрлиц (ИНН, ОГРН, КПП компании) сами по себе ПДн не являются, но если в аккаунте B2B-клиента указаны ФИО директора, контакты конкретного менеджера или корпоративные email вида ivanov@company.ru, это полноценные ПДн.

Разумовская София Дмитриевна

Для SaaS с пользователями из РФ обязательно: 1) Хранить первичную БД на сервере в РФ (ч.5 ст.18 №152-ФЗ). 2) Подать уведомление в РКН. 3) Отдельный чекбокс для согласия на ПДн (не предустановлен). 4) Разместить Политику ПДн. Штрафы: за сервер не в РФ – до 6 млн руб., за отсутствие уведомления – до 300 тыс. Руб., за утечку – до 3 млн руб. До запуска: договоры поручения с хостингом/платежной системой.

Бессолицын Григорий Андреевич

Здравствуйте, дополню информацию коллег для полноты картины.

Сегодня главная угроза для SaaS — не выездной инспектор, а АС МПДн (Автоматизированная система мониторинга ПДн). Это бот-паук Роскомнадзора, который непрерывно парсит Рунет, сличает формы сбора данных с документами на сайте и наличием компании в Реестре. Строим ответ именно от защиты от автоматизированного контроля.

1. Какие данные считаются ПДн?
Любая информация из ваших форм: email, телефон, ФИО, реквизиты физлиц, а также технические метаданные (IP, cookies, ID пользователя). Бот АС МПДн автоматически детектирует поля ввода () и скрипты аналитики на сайте, поэтому защита этих данных обязательна с первой секунды.

2. Локализация первичной БД в РФ?
Да, строго обязаны (ч. 5 Ст. 18 152-ФЗ). Первичный сбор, запись и систематизация данных граждан РФ должны идти на сервер внутри страны, иначе сервис рискует блокировкой домена по предписанию РКН.

3. Использование зарубежных серверов и сервисов?
Допустимо только после первичной записи данных в базу на территории РФ и соблюдения правил трансграничной передачи. Если используете зарубежные сервисы, которые не обеспечивают адекватную защиту, вам потребуется подать отдельное уведомление в РКН и ждать 10 дней до начала передачи. Если честно это не очень простой процесс и РКН весьма негативно относится к к использованию Google Analytics и Facebook Pixel без уведомления. Правила изложены в ст. 12, ФЗ 152 "О персональных данных".

4. Уведомление Роскомнадзора?
Обязательно до начала фактического сбора данных. Бот АС МПДн сопоставляет домены, собирающие данные, с Реестром операторов: если формы на сайте есть, а вас в Реестре нет — это автоматический красный флаг и повод для штрафа или запроса прокуратуры.

5. Оформление согласия (чекбоксы)?
Для самой регистрации чекбокс ПДн не нужен — обработка идет в рамках исполнения договора (Оферты). Однако бот РКН ищет на сайте пустые (не предустановленные) чекбоксы под маркетинговые рассылки и передачу данных третьим лицам — смешивать их с Офертой категорически нельзя.

6. Документы на сайте?
Для прохождения автопроверки обязательны: Политика обработки ПДн (ссылка должна быть сквозной на всех страницах), Пользовательское соглашение (Оферта) и рабочий Cookie-баннер с кнопкой согласия. Поручение на обработку данных (DPA) для клиентских баз ваших B2B-пользователей лучше всего вшить отдельным разделом прямо в Оферту.

7. Упоминание сторонних сервисов?
В Политике обработки ПДн вы обязаны прямо перечислить категории третьих лиц (или их конкретные наименования), которым передаются данные (Яндекс.Метрика, платежный шлюз, хостинг). В договорах с этими провайдерами обязательно наличие пункта о конфиденциальности, соблюдении 152-ФЗ и требовании локализации (для хостинга).

8. Штрафы и риски?
Главный риск - автоматическое выявление серверов вне РФ, что ведет к штрафу до 6 млн руб. И блокировке ресурса. Вторая критическая угроза - утечка данных (штраф до 15 млн руб., если не уведомить РКН в течение 24 часов).

Практическое резюме:
1) Обязательно до запуска (чтобы не попасться боту): Арендовать БД в РФ, опубликовать Политику ПДн и Оферту, настроить правильный куки-баннер, подать уведомление в РКН.
2) Разработать внутренние приказы (ЛНА) и регламент реагирования на утечки (на случай реальной проверки).
3) Самые рискованные нарушения: Сбор данных без записи в РФ, отсутствие компании в Реестре операторов РКН и отправка спама по предустановленным галочкам.

К ответу прилагаю инструкции по оформлению сайта.