Что такое ИСПДН и почему это важно для сайта
ИСПДН — информационная система персональных данных. Это любая система, в которой персональные данные обрабатываются с помощью средств автоматизации: компьютеров, серверов, программ. Если сайт собирает контакты через формы, фиксирует IP-адреса посетителей или использует cookie с идентификаторами устройств, он попадает под это определение.
Закон не делит сайты на «простые» и ИСПДН. Вопрос в другом: обрабатываются ли на сайте персональные данные и выполняются ли требования закона к оператору. Если данные обрабатываются, владелец сайта становится оператором персональных данных и обязан соблюдать правила: получать согласие, публиковать политику, уведомлять Роскомнадзор, защищать данные.
Ошибка в квалификации может привести к штрафам: от нескольких десятков тысяч за отсутствие политики до сотен тысяч за обработку без согласия. Важно понимать, что именно происходит на сайте, и принимать меры до проверки регулятора.
Какие сайты точно относятся к ИСПДН
Сайт относится к ИСПДН, если на нём обрабатываются персональные данные посетителей или пользователей. Это могут быть контакты из форм обратной связи, заявок, регистраций; IP-адреса и идентификаторы устройств из логов сервера или систем аналитики; данные из cookie-файлов и сессий; информация из личных кабинетов.
Достаточно одного из этих элементов, чтобы сайт попал под требования закона. Даже если вы не храните данные на своём сервере, а передаёте их в CRM, аналитику или почтовый сервис — вы всё равно выступаете оператором и отвечаете за законность обработки.
Проблема в том, что владельцы сайтов не всегда знают, что именно собирает их сайт. Скрипты аналитики, виджеты онлайн-консультантов, кнопки социальных сетей и авторизация через сторонние сервисы могут запускаться автоматически и передавать данные без явного участия владельца сайта.
Требования к сайту, если он относится к ИСПДН
Если сайт обрабатывает персональные данные, владелец обязан выполнить несколько требований. Первое — опубликовать политику обработки персональных данных с указанием оператора, целей, категорий данных, сроков хранения и прав субъектов. Второе — получить согласие посетителей на обработку данных, когда оно требуется по закону: для cookie, аналитики, рассылок.
Третье требование — уведомить Роскомнадзор. Обязанность уведомления зависит от категории оператора и характера обработки; не все операторы обязаны уведомлять регулятор. Четвёртое — обеспечить защиту данных организационными и техническими мерами.
После исправлений можно провести повторную проверку, чтобы убедиться, что риски закрыты. Такой подход позволяет действовать последовательно, не тратя ресурсы на лишние процедуры и не оставляя без внимания серьёзные риски.
Как проверить, относится ли ваш сайт к ИСПДН
Чтобы точно ответить на вопрос, нужно зафиксировать, что сайт делает на практике: какие данные собирает, куда их отправляет, какие скрипты и сервисы запускаются при открытии страниц. Визуальный осмотр и чтение политики не дают полной картины: трекеры могут стартовать до того, как посетитель даст согласие, данные — уходить на серверы за рубежом, а документы на сайте — не соответствовать реальным действиям.
Проверка Dobrolex открывает сайт с чистой сессии — глазами нового посетителя, без cookie и истории — и фиксирует все запросы браузера, запуски скриптов, отправку данных. Результат — заключение в PDF с перечнем обнаруженных эпизодов, их квалификацией по закону и рекомендациями, что исправить. Если эпизодов с признаками нарушений не найдено, отчёт это подтверждает.
Важно понимать пределы: проверяются только публичные страницы, без входа в аккаунт и без отправки форм. Сетевые запросы фиксируются как технический сигнал, требующий дополнительной проверки, а не как установленный факт нарушения. Заключение не заменяет консультацию юриста, но даёт объективную картину того, что происходит на сайте.
- Фиксация данных, которые сайт собирает при первом визите
- Проверка запуска трекеров и аналитики до согласия посетителя
- Список иностранных сервисов, получающих данные с сайта
- Оценка cookie-баннера, веб-форм, политик и согласий
- Правовая квалификация каждого эпизода со ссылкой на нормы закона
Что делать, если сайт относится к ИСПДН
Если проверка показала, что сайт обрабатывает персональные данные и есть эпизоды с признаками нарушений, первый шаг — исправить риски в порядке их серьёзности. План действий к отчёту содержит конкретные решения: что изменить в коде, настройках аналитики, текстах документов и cookie-баннере.
Второй шаг — привести в порядок документы: политику обработки персональных данных, согласия, положение о защите данных. Документы должны соответствовать тому, что сайт делает на практике. Третий шаг — выяснить, нужно ли уведомлять Роскомнадзор в вашем случае, и при необходимости подать уведомление.
После исправлений можно провести повторную проверку, чтобы убедиться, что риски закрыты. Такой подход позволяет действовать последовательно, не тратя ресурсы на лишние процедуры и не оставляя без внимания серьёзные риски.
Проверьте сайт на признаки ИСПДН
- 01Есть ли на сайте формы для сбора контактов. Формы обратной связи, заявки, подписки, регистрация, комментарии — любой элемент, где посетитель вводит имя, email, телефон.
- 02Используется ли аналитика и счётчики. Яндекс Метрика, Google Analytics, Лайв Интернет и другие сервисы собирают IP-адреса, идентификаторы устройств и поведение пользователей.
- 03Установлены ли cookie-файлы. Откройте инструменты разработчика браузера (F12), вкладка Application → Cookies — если там есть записи, данные собираются.
- 04Есть ли на сайте политика обработки персональных данных. Обычно ссылка в футере или на странице с формой. Политика должна быть опубликована, если сайт обрабатывает данные.
- 05Запрашивается ли согласие на обработку данных. Cookie-баннер при первом визите, чекбокс в форме, текст согласия — проверьте, предлагает ли сайт равнозначный отказ.
- 06Отправляются ли данные за рубеж. Вкладка Network в инструментах разработчика покажет запросы к иностранным доменам — это признак трансграничной передачи данных.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Небольшой проектный сайт
Эпизодов с признаками нарушений по результатам осмотра не выявлено — отчёт подтверждает, что сайт в порядке.
- — Отрицательный результат тоже документ: снимки, цитаты и пределы проверки фиксируются так же
Частые вопросы
Относится ли сайт к ИСПДН, если на нём только контактная информация компании?
Если сайт не собирает данные посетителей (нет форм, аналитики, cookie с персональными данными), он не обрабатывает персональные данные и не относится к ИСПДН в смысле требований к оператору.
Нужно ли регистрировать сайт в Роскомнадзоре как ИСПДН?
Регистрации ИСПДН как таковой нет. Обязанность уведомления Роскомнадзора зависит от категории оператора и характера обработки данных.
Что будет, если сайт относится к ИСПДН, но я не знал и ничего не делал?
Незнание не освобождает от ответственности. Штрафы зависят от конкретного нарушения: от десятков тысяч за отсутствие политики до сотен тысяч за обработку без согласия или без уведомления регулятора.
Как узнать, к какому уровню защищённости относится мой сайт?
Проверка сайта покажет факты обработки и риски. Для классификации по уровню защищённости потребуется дополнительный анализ, который выполняет специалист по информационной безопасности.
Нужна ли аттестация ИСПДН для коммерческого сайта?
Требования к аттестации зависят от типа обрабатываемых данных и категории системы. Для оценки необходимости аттестации в вашем случае потребуется консультация специалиста по информационной безопасности.
Можно ли не уведомлять Роскомнадзор, если я ИП или малый бизнес?
Обязанность уведомления зависит от категории оператора и характера обработки данных. Для уточнения, требуется ли уведомление в вашем случае, рекомендуем консультацию юриста.
Что показывает проверка Dobrolex для сайта, который может быть ИСПДН?
Проверка фиксирует, какие данные сайт собирает при первом визите, куда их отправляет, какие трекеры запускаются до согласия. В отчёте — эпизоды с признаками нарушений, их квалификация по закону и рекомендации, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.