Аудит персональных данных по 152-ФЗ

---
name: data-privacy-audit
description: Аудит персональных данных в проекте по 152-ФЗ — найти, куда данные уходят за границу, кто имеет к ним доступ на самом деле, что хранится вечно и совпадает ли политика с кодом. Use when the user asks about personal data compliance, 152-ФЗ, ПДн, GDPR-like audit, «персональные данные», «трансграничная передача», «утекают ли данные», «проверь доступы», «сроки хранения», «локализация базы», data protection review.
---

# Аудит персональных данных: 12 точек

Задача — не пересказать закон, а найти в конкретном проекте места, где данные
людей уходят туда, куда не должны, живут дольше, чем нужно, или доступны тем,
кому не положено.

## Правило номер один: проверять по факту, а не по коду

Код описывает намерение, а не состояние системы. Расхождения, которые обязан
проверить агент:

- задача очистки написана верно — убедиться, что её запуски завершаются успешно;
- политика доступа написана — убедиться, что объект не отдаётся без авторизации;
- витрина фильтрует по владельцу — убедиться, что она не выполняется с правами
  создателя в обход политик;
- интерфейс скрывает раздел — убедиться, что прямой запрос к API его тоже не
  отдаёт.

Каждая проверка ниже имеет живой вариант: запрос к базе, обращение к API
снаружи, чтение журнала выполнения. Порядок и правила — `references/verify-live.md`.

---

## Шаг 0. Определить роль и состав данных

Спросите у владельца проекта и запишите:

1. **Чьи данные обрабатываются**: пользователи сервиса, их сотрудники,
   их клиенты, контрагенты-физлица. Это разные субъекты и разные основания —
   согласие владельца аккаунта не является согласием его сотрудников.
2. **Роль продукта**: сам оператор (свои пользователи, оплаты, поддержка) или
   обработчик по поручению (данные, загруженные клиентом о его людях). Обычно
   и то, и другое одновременно — тогда нужны оба комплекта документов.
3. **Есть ли специальные категории**: здоровье, биометрия, судимость,
   политические и религиозные взгляды. Требования к ним кратно строже.