{ "schema_version": "1.0.0", "rule_pack_version": "1.0.2", "reviewed_at": "2026-08-24", "review_before": "2027-02-20", "sources": { "ru_152_fz": { "url": "https://ips.pravo.gov.ru/api/ips/legislation/document?baseid=None&hash=98490812b3409e2a8d78a11ca9010f434ea3d9250a11dbbdb78690cd5551bdd6", "title": { "en": "Federal Law No. 152-FZ on Personal Data", "ru": "Федеральный закон № 152-ФЗ «О персональных данных»" }, "jurisdiction": "RU", "kind": "law", "effective_from": "2025-09-01", "reviewed_at": "2026-08-24" }, "ru_23_fz": { "url": "https://publication.pravo.gov.ru/document/0001202502280034", "title": { "en": "Federal Law No. 23-FZ of 28 February 2025", "ru": "Федеральный закон № 23-ФЗ от 28 февраля 2025 года" }, "jurisdiction": "RU", "kind": "law", "effective_from": "2025-07-01", "reviewed_at": "2026-08-24" }, "ru_156_fz": { "url": "https://publication.pravo.gov.ru/document/0001202506240021", "title": { "en": "Federal Law No. 156-FZ of 24 June 2025", "ru": "Федеральный закон № 156-ФЗ от 24 июня 2025 года" }, "jurisdiction": "RU", "kind": "law", "effective_from": "2025-09-01", "reviewed_at": "2026-08-24" }, "ru_265_fz_2026": { "url": "https://publication.pravo.gov.ru/document/0001202607260024", "title": { "en": "Federal Law No. 265-FZ of 26 July 2026", "ru": "Федеральный закон № 265-ФЗ от 26 июля 2026 года" }, "jurisdiction": "RU", "kind": "law", "effective_from": "2026-07-26", "reviewed_at": "2026-08-24" }, "rkn_pd_portal": { "url": "https://pd.rkn.gov.ru/", "title": { "en": "Roskomnadzor personal-data portal", "ru": "Портал персональных данных Роскомнадзора" }, "jurisdiction": "RU", "kind": "regulator", "effective_from": "2008-01-01", "reviewed_at": "2026-08-24" }, "wp_privacy": { "url": "https://developer.wordpress.org/plugins/privacy/", "title": { "en": "WordPress Privacy developer handbook", "ru": "Руководство WordPress для разработчиков по приватности" }, "jurisdiction": "general", "kind": "official", "effective_from": "2018-05-17", "reviewed_at": "2026-08-24" }, "oecd_privacy_guidelines": { "url": "https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0188", "title": { "en": "OECD Guidelines on the Protection of Privacy", "ru": "Рекомендации ОЭСР по защите приватности" }, "jurisdiction": "general", "kind": "intergovernmental", "effective_from": "2013-07-11", "reviewed_at": "2026-08-24" } }, "packs": [ { "check_id": "privacy.ru_152fz", "jurisdiction": "RU", "title": { "en": "Russian personal-data operator self-check", "ru": "Самопроверка оператора персональных данных в России" }, "intro": { "en": "Answer only from documented facts. This local checklist does not establish compliance with Federal Law No. 152-FZ and does not replace legal review.", "ru": "Отвечайте только по документированным фактам. Этот локальный список не устанавливает соответствие 152-ФЗ и не заменяет юридическую проверку." }, "statements": [ { "id": "operator_identity", "text": { "en": "The data controller, responsible person, data-subject groups and personal-data categories are documented.", "ru": "В документах указаны оператор, ответственный за обработку, группы людей и категории их персональных данных." }, "source_refs": ["ru_152_fz"] }, { "id": "purposes_grounds_retention", "text": { "en": "Each processing purpose has a documented legal ground, minimum data set, operations and retention or deletion period.", "ru": "Для каждой цели документированы правовое основание, минимальный набор данных, операции и срок хранения либо удаления." }, "source_refs": ["ru_152_fz"] }, { "id": "rkn_notification", "text": { "en": "The Roskomnadzor notification is current, or the applicable statutory exemption and its basis are documented.", "ru": "Уведомление Роскомнадзора актуально либо документированы применимое исключение из обязанности и его основание." }, "source_refs": ["ru_152_fz", "rkn_pd_portal"] }, { "id": "localization_contour", "text": { "en": "The initial collection, recording, systematization, accumulation, storage, clarification and extraction of Russian citizens’ data use the required Russian database contour; exceptions are documented separately.", "ru": "Первичный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ выполняются в требуемом российском контуре баз данных; исключения документированы отдельно." }, "source_refs": ["ru_23_fz", "ru_152_fz"] }, { "id": "cross_border", "text": { "en": "Cross-border transfers are inventoried and the required assessment, notification and other actions are documented.", "ru": "Составлен актуальный список передач данных за границу; требуемые оценка, уведомление и другие действия записаны в документах." }, "source_refs": ["ru_152_fz", "ru_265_fz_2026", "rkn_pd_portal"] }, { "id": "separate_consent", "text": { "en": "Where consent is used, it is documented separately from other documents signed or confirmed by the person.", "ru": "Если используется согласие, оно оформлено отдельно от других документов, которые человек подписывает или подтверждает." }, "source_refs": ["ru_156_fz", "ru_152_fz"] }, { "id": "public_policy", "text": { "en": "The published policy accurately describes purposes, grounds, data and subject categories, operations, recipients/processors, retention, deletion and request handling.", "ru": "Опубликованная политика точно описывает цели, основания, категории данных и субъектов, операции, получателей и обработчиков, сроки, удаление и порядок запросов." }, "source_refs": ["ru_152_fz"] }, { "id": "processor_contracts", "text": { "en": "Processors and recipients are inventoried; contracts and confidentiality/security obligations are current and documented.", "ru": "Составлен актуальный список обработчиков и получателей; договоры и требования к конфиденциальности и безопасности записаны в документах." }, "source_refs": ["ru_152_fz"] }, { "id": "security_incidents", "text": { "en": "Access control, logging, backups, incident response and applicable notification procedures are approved and tested.", "ru": "Модель доступа, журналирование, резервное копирование, реагирование на инциденты и применимые уведомления утверждены и проверяются." }, "source_refs": ["ru_152_fz"] }, { "id": "subject_rights", "text": { "en": "There is a documented process to receive, authenticate, correct, block, delete and answer data-subject requests on time.", "ru": "Записан и проверен порядок приёма запросов людей, подтверждения личности, исправления, блокирования, удаления данных и ответа в срок." }, "source_refs": ["ru_152_fz"] }, { "id": "governance_staff", "text": { "en": "Relevant staff have acknowledged current internal documents, and the assessment of potential harm is kept current.", "ru": "Сотрудники, которые работают с персональными данными, ознакомлены с актуальными внутренними документами; оценка возможного вреда также актуальна." }, "source_refs": ["ru_152_fz"] }, { "id": "special_processing", "text": { "en": "Cookies, analytics, marketing, children’s data, special categories and biometric data are assessed separately where applicable.", "ru": "Файлы cookie, аналитика, маркетинг, данные детей, специальные категории и биометрические данные отдельно оценены там, где они используются." }, "source_refs": ["ru_152_fz"] } ] }, { "check_id": "privacy.en_baseline", "jurisdiction": "general", "title": { "en": "General privacy operations self-check", "ru": "Общая проверка работы с персональными данными" }, "intro": { "en": "This general checklist is not certification under GDPR, CCPA, or another law. Identify and document the rules that actually apply to your organization separately.", "ru": "Этот общий список не подтверждает соответствие GDPR, CCPA или другому закону. Отдельно определите и запишите правила, которые применимы к вашей организации." }, "statements": [ { "id": "accountability", "text": { "en": "The responsible organization, privacy contact, systems, data-subject groups and personal-data categories are documented.", "ru": "В документах указаны ответственная организация, контакт по вопросам персональных данных, используемые системы, группы людей и категории данных." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "purposes_grounds", "text": { "en": "Each purpose, applicable legal ground and permitted processing operation is documented before collection.", "ru": "До сбора документированы каждая цель, применимое правовое основание и разрешённые операции обработки." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "minimization", "text": { "en": "Collection is limited to data that is necessary, relevant and proportionate for the stated purpose.", "ru": "Сбор ограничен данными, которые необходимы, уместны и соразмерны заявленной цели." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "notice", "text": { "en": "People receive an accurate, understandable notice at the relevant collection points.", "ru": "В соответствующих точках сбора человек получает точное и понятное уведомление." }, "source_refs": ["oecd_privacy_guidelines", "wp_privacy"] }, { "id": "choice_consent", "text": { "en": "Where choice or consent is required, it is specific, affirmative, recorded, withdrawable and not preselected.", "ru": "Там, где нужен выбор или согласие, оно конкретно, выражается действием, фиксируется, отзывается и не отмечено заранее." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "processors_transfers", "text": { "en": "Processors, recipients and international transfers are inventoried with documented contracts, controls and disclosures.", "ru": "Составлен актуальный список обработчиков, получателей и международных передач; договоры, меры защиты и публичные сведения записаны в документах." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "retention_deletion", "text": { "en": "Each data class has an enforced retention or review period and a tested deletion process across live data and backups.", "ru": "Для каждого класса данных действует срок хранения или пересмотра и проверенный процесс удаления из рабочих данных и резервных копий." }, "source_refs": ["oecd_privacy_guidelines", "wp_privacy"] }, { "id": "individual_requests", "text": { "en": "Requests for access, export, correction, restriction, objection or deletion are authenticated, tracked and answered under applicable rules.", "ru": "Запросы на доступ, экспорт, исправление, ограничение, возражение или удаление проверяются, отслеживаются и исполняются по применимым правилам." }, "source_refs": ["oecd_privacy_guidelines", "wp_privacy"] }, { "id": "security_incidents", "text": { "en": "Least-privilege access, logging, backups, risk review, incident response and applicable notification routes are maintained and tested.", "ru": "Минимальные права доступа, журналы, резервные копии, оценка рисков, реагирование на инциденты и применимые уведомления поддерживаются и тестируются." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "cookies_trackers", "text": { "en": "Cookies, analytics, embeds and other trackers are inventoried and controlled according to the choices and rules that apply.", "ru": "Составлен актуальный список файлов cookie, аналитики, встроенных сервисов и других средств отслеживания; их работа учитывает выбор человека и применимые правила." }, "source_refs": ["wp_privacy", "oecd_privacy_guidelines"] }, { "id": "sensitive_children", "text": { "en": "Children’s data and sensitive, special-category or biometric data receive separate documented assessment and safeguards where applicable.", "ru": "Данные детей, чувствительные, специальные категории и биометрические данные получают отдельную документированную оценку и меры защиты там, где применимо." }, "source_refs": ["oecd_privacy_guidelines"] }, { "id": "applicable_law", "text": { "en": "Applicable jurisdictions, sector rules, and contract requirements have been identified and documented with the basis for that decision.", "ru": "Определены применимые юрисдикции, отраслевые правила и договорные требования; основание этого решения записано в документах." }, "source_refs": ["oecd_privacy_guidelines"] } ] } ] }