Приказ ФСТЭК №21 — это про информационную систему, а не про отдельный сайт
Запрос про приказ ФСТЭК №21 обычно появляется, когда владелец сайта ищет понятный список: что сделать, чтобы вопрос с персональными данными был закрыт. Приказ действительно утверждает состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах. Но адресован он оператору и его системе, а не сайту как отдельному объекту.
На практике сайт — видимая часть этой системы. Если на страницах есть формы, личный кабинет, аналитика и cookie-файлы, посетитель оставляет данные именно через них, и часть мер касается того, что происходит в браузере. Другая часть — организационная: документы, распределение ответственности, работа с подрядчиками и инфраструктурой; по публичным страницам её не увидеть.
Поэтому «сделать приказ на сайте» не получится. Зато можно проверить, что сайт делает на самом деле, и увидеть, где расходятся тексты документов и реальное поведение страниц. Это та часть работы, которую видно снаружи.
Ещё один важный момент: требования применяются с учётом уровня защищённости, который оператор определяет сам — по категории обрабатываемых данных и типу актуальных угроз. Для сайта с одной формой обратной связи и для сервиса с личными кабинетами и платежами этот уровень будет разным, а значит, и объём мер тоже.
Что видно на публичных страницах: трекеры, cookie-файлы и формы
Открытие сайта в чистой сессии — глазами нового посетителя, до нажатия «Принять» — показывает реальную картину. Часто аналитика и cookie-файлы запускаются раньше, чем человек что-либо подтвердил, а баннер сообщает только о согласии, без равнозначного отказа и настройки категорий.
Отдельная тема — иностранные сервисы: карты, шрифты, чаты, аналитика, кнопки входа. Запросы к ним фиксируются как технический сигнал, а не как доказательство нарушения, но именно они показывают, куда уходят данные посетителя и стоит ли проверять передачу отдельно.
В формах важно не только наличие галочки, но и то, понимает ли человек, на что соглашается, и есть ли рядом ссылка на политику. В документах — опубликована ли политика обработки персональных данных и указаны ли реквизиты оператора.
Все наблюдения фиксируются снимками экрана и дословными цитатами с указанием времени. Так факт можно перепроверить, а не обсуждать на словах.
Как проверить свой сайт и в каком порядке исправлять
Начните с публичной части: главная страница, страницы с формами, регистрация, корзина, cookie-баннер, документы. Смотрите сайт в приватном окне и без входа в аккаунт — так вы увидите то же, что и новый посетитель.
Дальше — очерёдность. Сначала то, что создаёт риск для посетителей: запуск трекеров до согласия, передача данных за рубеж, сбор данных без понятного согласия. Потом документы, реквизиты и тексты. Так правки не растягиваются и не начинаются с косметики.
Часть вопросов остаётся за пределами такого осмотра: серверная часть, права доступа, хранение и удаление данных, внутренние процессы. Это зона ИТ-специалиста и юриста, и проверка публичных страниц её не закрывает.
Если эпизодов не найдено, это значит ровно одно: на осмотренных публичных страницах признаков нарушений не видно. Закрытые разделы и серверная часть не проверялись, поэтому такой результат не равен подтверждению полного соответствия.
Что даёт отчёт вместо догадок
Dobrolex проверяет, что сайт делает на самом деле: какие данные собирает, куда их отправляет и где возникают правовые риски по 152-ФЗ и 38-ФЗ. Результат — заключение в PDF с фактами, уровнем риска и очерёдностью исправлений.
В отчёте — резюме с эпизодами и их серьёзностью, сведения об операторах персональных данных из документов сайта, установленные обстоятельства со снимками экрана и временем фиксации, правовая квалификация по каждому эпизоду с рекомендацией, что исправить, а также оговорки, пределы проверки и опись материалов фиксации.
Обстоятельства, требующие дополнительной проверки, вынесены отдельно — например, сетевые запросы к внешним сервисам. Это не вывод «нарушение», а повод проверить.
Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Его задача — дать факты и понятную очерёдность, с которыми можно вносить правки или идти к специалисту.
Что можно проверить на своём сайте прямо сейчас
- 01Чистая сессия. Откройте сайт в приватном окне и посмотрите, что подгружается до нажатия «Принять»: аналитика, чаты, карты, шрифты.
- 02Баннер и отказ. Проверьте, есть ли у баннера отказ, равнозначный согласию, и можно ли настроить категории cookie-файлов.
- 03Иностранные сервисы. Выпишите, какие внешние сервисы получают запросы с ваших страниц: карты, аналитика, чаты, кнопки входа.
- 04Формы и согласия. Пройдите по формам без отправки: понятно ли, на что соглашается человек, и есть ли рядом ссылка на политику.
- 05Документы и реквизиты. Проверьте, опубликована ли политика обработки персональных данных и указаны ли реквизиты оператора.
- 06Сверка обещаний и фактов. Сравните, что политика говорит о сборе данных, с тем, что реально подключается на странице.
- 07Вход через внешние сервисы. Посмотрите, не предлагается ли авторизация через иностранные сервисы и что при этом передаётся.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Приказ ФСТЭК №21 обязателен для любого сайта?
Приказ адресован операторам персональных данных и касается информационных систем, в которых такие данные обрабатываются. Если сайт собирает данные посетителей, он, как правило, часть такой системы, но отдельно «на сайт» приказ не навешивается: значительная часть требований организационная и к страницам не относится.
Что на сайте связано с требованиями к защите персональных данных?
То, что происходит в браузере: сбор данных через формы, аналитика и cookie-файлы, запросы к внешним сервисам, вход через сторонние сервисы, тексты политик и согласий. Это видимая снаружи часть; остальное — инфраструктура, права доступа и внутренние документы.
Чем приказ ФСТЭК №21 отличается от 152-ФЗ?
152-ФЗ задаёт общие правила обработки персональных данных. Приказ — подзаконный акт регулятора, который утверждает состав и содержание мер по обеспечению безопасности при обработке данных в информационных системах. Они применяются вместе, а не вместо друг друга.
Как определить свой уровень защищённости?
Уровень определяет сам оператор, исходя из категории обрабатываемых данных и типа актуальных угроз; для этого нужна оценка системы, а не осмотр сайта. Проверка публичных страниц этого вопроса не решает и не должна создавать такое впечатление.
Достаточно ли поставить cookie-баннер и опубликовать политику?
Нет. Баннер и политика важны, но смотреть надо на реальное поведение страниц: стартуют ли трекеры раньше согласия, есть ли равнозначный отказ и настройка категорий, уходят ли данные внешним сервисам, совпадает ли текст политики с тем, что собирается.
Что будет, если проверка ничего не найдёт?
Это будет означать, что на осмотренных публичных страницах признаков нарушений нет. Закрытые разделы, серверная часть и внутренние процессы остаются вне осмотра, поэтому такой результат не равен подтверждению полного соответствия закону.
Что делать с найденными эпизодами?
Сначала исправить то, что создаёт риск для посетителей: запуск трекеров до согласия, передача данных за рубеж, сбор данных без понятного согласия. Затем приводить в порядок документы и реквизиты. План даёт очерёдность, а сложные эпизоды лучше разбирать с юристом.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.