152-FZ 网站清单：启动前要检查的内容

以下是网站上线前或进行重大改版后应逐一核查的问题清单。每个问题都以“是”或“否”的形式提出，并可附上证明材料：处理记录中的某一行、指向文档的链接，或设置界面的截图。

这是用于内部自查的参考，而非法律意见。跨境传输、生物识别数据、特殊类别数据、委托处理等存在争议的情形，需结合具体公司情况与律师共同分析：此类问题出错的代价远高于咨询费用。

每个处理目的都需要有明确的依据。同意并非唯一且常常不是最佳选择：在数据用于履行合同的情况下，同意只会使情况变得混乱。

• 是否已为每一项目的确定了依据：数据主体的同意、履行合同、法律规定的要求，或152-FZ号联邦法第6条规定的其他依据？
• 如果选择同意作为法律依据，那么该同意必须是具体的、知情的和自愿的：单独的勾选框（默认未勾选）、清晰易懂的文本，以及在非必要处理的情况下，用户可拒绝同意并继续使用网站？
• 同意数据处理与同意接收广告邮件是否分开？这是不同的目的和不同的依据吗？
• 如果发布客户或员工的评论、照片和姓名，是否有单独的个人数据处理同意书？
• 是否以可验证的方式记录了获得同意的事实：包括日期、范围、文本版本？
• 是否已实现同意撤销功能——以及撤销后数据将如何处理？

• 个人数据处理政策是否已在无需注册的情况下公开发布，并且是否可在进行数据收集的每个页面上打开？
• 政策文本是否符合实际情况：所列的目的、数据类别、存储期限和接收方是否与实际操作一致？
• 是否说明了数据主体的操作流程：如何请求处理相关信息、核实、冻结或删除数据，你们在多长期限内回复，以及应向哪个地址发送信函？
• 是否指明了运营方：名称、地址、负责组织处理的联系人？
• 是否披露了接收数据的第三方——CRM、邮件营销、分析、托管、通话追踪、支持承包商？

网站常常在毫无察觉的情况下陷入风险区，最常见的两个问题并非由律师造成，而是由接入的服务所引发。

• 是否满足以下要求：使用位于俄罗斯境内的数据库，对俄罗斯公民的个人数据进行记录、系统化、积累、存储、更正和提取？
• 是否知道所使用服务（主机托管、CRM、邮件群发服务、网站聊天工具、表单、分析工具、云文件存储）的服务器物理位置？
• 如果数据被传输至境外，是否已明确具体传输目的地，并且是否已满足跨境传输的相关要求，包括在规定情形下向监管机构进行通知？
• 页面上使用的境外脚本是否经过检查：地图、字体、视频播放器、社交媒体插件、外部聊天工具——它们是否也可能传输用户标识符？

• 是否有包含所有 Cookie 及类似技术的清单，并附有用途和有效期？
• 技术上必需的 Cookie 是否与分析型和广告型 Cookie 分开，并且在需要时是否征得了同意？
• 退出是否真的有效：退出后，分析脚本和像素是否会停止加载？
• 是否告知用户哪些第三方服务获得了其访问数据？

标准检查清单中尚未包含但问题已经出现的一项：助手和模型处理请求会创建新的数据路径。

• 个人数据是否会进入模型请求中——来自表单、聊天、上传的文件或通话转录？
• 是否知道模型是在您的环境中运行，还是在外部服务中运行，以及该服务如何处理请求内容？
• AI 处理是否已被纳入政策和目标列表中，还是助手在文档发布之后才出现在网站上？
• 在发送到模型之前，是否已配置对敏感字段进行掩码处理或排除？
• 聊天记录和转录内容是否会被存储？谁可以访问它们？它们会保存多久？