От чего зависит уровень защищённости персональных данных
Уровень защищённости определяется оператором персональных данных — владельцем сайта или компанией, обрабатывающей данные. При определении учитываются категория данных, количество субъектов и характер обработки.
Чем чувствительнее данные и больше субъектов, тем выше требования к защите. Например, обработка биометрии или данных о здоровье тысяч пользователей потребует более строгих мер, а простая форма обратной связи на корпоративном сайте — базовых.
Определить требования к защите — обязанность самого оператора. При проверке регулятор может оценить, насколько меры защиты соответствуют характеру обработки и рискам.
Что происходит на сайте: какие данные собираются и куда уходят
Прежде чем оценивать требования к защите, нужно понять, что сайт делает на самом деле. Веб-формы, cookie-файлы, аналитика, авторизация через сторонние сервисы — всё это обработка персональных данных. Часто трекеры запускаются ещё до того, как посетитель дал согласие, а данные уходят за рубеж к иностранным сервисам.
Проверка сайта показывает, какие данные собираются на публичных страницах, когда стартуют трекеры, какие внешние запросы отправляются и что написано в политике обработки. Эти факты — основа для дальнейших решений: вы не сможете корректно оценить требования к защите, если не знаете, какие категории данных обрабатываются и сколько субъектов затронуто.
Если данные граждан России передаются за рубеж, возникает отдельная обязанность — уведомить Роскомнадзор и обеспечить запись в базы данных на территории России. Это не зависит от уровня защищённости, но учитывается при оценке рисков и выборе организационных мер.
Как проверить сайт перед определением уровня защищённости
Сайт открывается с чистой сессии — глазами нового посетителя, без cookie и авторизации. Фиксируется, какие трекеры и скрипты запускаются до любого согласия, какие данные запрашиваются в формах, куда отправляются сетевые запросы и что написано в политике конфиденциальности и документах о согласии.
В отчёте — снимки экрана с временными метками, цитаты из документов, сведения о внешних запросах. Каждый эпизод связан с нормой закона: показана правовая квалификация. Если на публичных страницах признаков нарушений не найдено, это фиксируется в заключении.
Эта фактура — отправная точка. Вы видите, какие категории данных обрабатываются, сколько субъектов может быть затронуто, есть ли трансграничная передача. Дальше оцениваете требования к защите и документируете меры.
Что делать, если на сайте уже есть нарушения
Если проверка выявила эпизоды с признаками нарушений — трекеры стартуют до согласия, данные уходят за рубеж без уведомления, политика отсутствует, — сначала нужно исправить эти риски, а затем оценивать требования к защите. Правовая квалификация в отчёте показывает, какие нормы затронуты и что именно исправить.
План действий даёт решения для кода, настроек и документов к каждому эпизоду. После внесения правок можно провести повторную проверку и убедиться, что сайт работает корректно. Только после этого имеет смысл оценивать требования к защите — на основе актуальной фактуры, а не предположений.
Проверьте сайт перед определением уровня защищённости ПДн
- 01Какие данные собираются на публичных страницах. Откройте сайт в режиме инкогнито и посмотрите, какие поля есть в формах, какие cookie устанавливаются и что запрашивает баннер согласия.
- 02Запускаются ли трекеры до согласия. Проверьте через инструменты разработчика браузера, какие скрипты и сетевые запросы выполняются до того, как вы дали согласие на обработку данных.
- 03Куда уходят данные посетителей. Посмотрите список внешних доменов, к которым обращается сайт: есть ли среди них иностранные сервисы аналитики, авторизации или рекламы.
- 04Опубликована ли политика обработки персональных данных. Найдите ссылку на политику в подвале сайта или рядом с формами. Убедитесь, что в ней указаны категории данных, цели обработки и реквизиты оператора.
- 05Есть ли равнозначная возможность отказаться от cookie. Проверьте, можно ли отклонить аналитику и рекламу так же легко, как принять, и не блокирует ли баннер доступ к сайту без согласия.
- 06Указаны ли реквизиты оператора и способ связи. В политике или оферте должны быть ИНН, ОГРН и контакты, по которым можно запросить удаление или уточнение данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Как определить уровень защищённости ПДн для сайта с формой обратной связи?
Сначала проверьте, какие данные собираются (имя, телефон, email), куда они отправляются и есть ли согласие. Убедитесь, что сайт не передаёт данные за рубеж и не запускает трекеры до согласия. На основе этой фактуры оцените категорию данных, число субъектов и требования к защите.
Кто должен определять уровень защищённости — я сам или нужен специалист?
Обязанность определить уровень лежит на операторе персональных данных — владельце сайта или компании. Вы можете привлечь специалиста по безопасности или юриста, но ответственность остаётся за вами.
Можно ли определить уровень без проверки сайта?
Формально можно, но вы рискуете ошибиться: не будете знать, какие данные реально собираются, куда уходят и есть ли нарушения. Проверка показывает фактуру — что происходит на сайте до и после согласия. Эти данные нужны, чтобы корректно оценить требования и избежать штрафа.
Зависит ли уровень защищённости от того, куда уходят данные — в Россию или за рубеж?
Если данные передаются за рубеж, возникает отдельная обязанность — уведомить Роскомнадзор и обеспечить запись в российские базы. Это учитывается при выборе мер защиты и оценке рисков.
Что будет, если уровень защищённости определён неправильно?
Если регулятор при проверке установит, что меры защиты не соответствуют реальным рискам, это может квалифицироваться как нарушение требований к обработке персональных данных. Штрафы зависят от конкретного эпизода.
Можно ли использовать отчёт Dobrolex как доказательство правильности уровня защищённости?
Отчёт Dobrolex — это фактура о том, что происходит на публичных страницах сайта: какие данные собираются, куда уходят, есть ли нарушения. Это основа для дальнейших решений, но не замена юридической консультации. Определить требования к защите и документировать меры должен оператор.
Нужно ли уведомлять Роскомнадзор после определения уровня защищённости?
Уведомление подаётся, если вы начинаете обрабатывать персональные данные. Сам факт определения уровня не требует отдельного уведомления.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.