Какие технические меры требует закон и почему их сложно выбрать
Закон обязывает оператора обеспечить безопасность персональных данных при их обработке — это означает внедрение организационных и технических мер защиты. Технические меры включают контроль доступа, шифрование, регистрацию событий, антивирусную защиту и другие средства, которые предотвращают несанкционированный доступ, утрату или утечку данных.
Состав мер зависит от категории данных, актуальных угроз и уровня защищённости, который определяется по методикам Роскомнадзора и ФСТЭК. Для сайта это означает: нужно понять, какие данные собираются, где они обрабатываются и хранятся, какие угрозы актуальны, и на основе этого выбрать меры.
Проблема в том, что сайт часто использует сторонние сервисы — аналитику, формы, виджеты авторизации, — и данные уходят туда до того, как владелец сайта успел оценить риски и выбрать меры. В результате формальный комплект мер есть, а фактическая защита отсутствует.
Что происходит на сайте на самом деле: где искать риски
Технические меры должны защищать данные на всех этапах: при сборе через формы, при передаче на сервер, при хранении и при отправке сторонним сервисам. Но на практике сайт часто начинает обрабатывать данные раньше, чем посетитель дал согласие, или отправляет их за рубеж без уведомления Роскомнадзора.
Типичные сценарии: трекеры аналитики стартуют до клика на cookie-баннере, авторизация идёт через иностранный сервис, формы отправляют данные на внешний сервер без шифрования или без упоминания в политике. Эти ситуации создают риск нарушений — как по требованиям к согласию, так и по обязанности хранить данные граждан России в базах на территории страны.
Проверка технических мер начинается с фиксации фактов: что сайт делает в момент открытия страницы, какие сервисы получают данные, когда именно они стартуют. Без этой картины невозможно понять, работают ли внедрённые меры или остались только в документах.
Как проверить технические меры на сайте
Проверка сайта должна проходить глазами посетителя: открыть страницу с чистой сессии, без авторизации и согласий, и зафиксировать, что происходит. Это включает анализ сетевых запросов, поведение трекеров и cookie, содержание форм и текстов согласий, наличие и доступность политики обработки персональных данных.
Каждый факт нужно связать с требованиями закона: есть ли согласие до начала обработки, где хранятся данные, уведомлён ли Роскомнадзор о трансграничной передаче, соответствует ли cookie-баннер требованиям к равнозначному отказу. Технические признаки — например, запросы к иностранным доменам — указывают на необходимость дополнительной проверки или исправления.
Автоматизированная проверка открывает сайт, фиксирует снимки экранов и сетевой обмен, сопоставляет факты с нормами закона и выдаёт заключение с приоритетами исправлений. Результат — объективная картина рисков на публичных страницах сайта.
Что делать с результатами проверки
Если проверка выявила эпизоды с признаками нарушений, следующий шаг — исправление. План действий зависит от характера риска: настроить cookie-баннер так, чтобы трекеры не стартовали до согласия, заменить иностранный сервис на российский аналог или уведомить Роскомнадзор о трансграничной передаче, дополнить политику обработки персональных данных.
Технические меры должны соответствовать реальному поведению сайта. Если в политике заявлено, что данные не передаются третьим лицам, а аналитика отправляет их иностранному сервису, это несоответствие создаёт риск. Исправление включает как настройку кода и сервисов, так и актуализацию документов.
Тариф «Аудит и план действий» даёт конкретные решения к каждому риску: что исправить в коде, как настроить сервисы, какие документы обновить. Тариф «Исправление с юристом» включает подготовку документов под сайт, сопровождение правок и итоговую проверку.
Чек-лист: как проверить технические меры на сайте
- 01Откройте сайт в режиме инкогнито. Проверьте, какие трекеры и сервисы стартуют до любого согласия — это покажет, работают ли технические меры по контролю за обработкой данных.
- 02Изучите cookie-баннер. Убедитесь, что есть равнозначная возможность отказа и настройка категорий cookie, а трекеры действительно не запускаются до согласия.
- 03Проверьте веб-формы. Посмотрите, есть ли согласие на обработку данных перед отправкой формы, соответствует ли его текст закону, куда уходят данные после отправки.
- 04Найдите политику обработки персональных данных. Проверьте, опубликована ли она на сайте, содержит ли реквизиты оператора, цели и способы обработки, сведения о передаче данных третьим лицам.
- 05Посмотрите, какие сторонние сервисы используются. Аналитика, виджеты авторизации, формы обратной связи — узнайте, где хранятся данные, есть ли среди них иностранные сервисы, уведомлён ли Роскомнадзор.
- 06Сравните политику с фактическим поведением сайта. Если политика утверждает, что данные не передаются третьим лицам, а сайт использует внешнюю аналитику, это несоответствие создаёт риск.
- 07Получите автоматическую проверку сайта. Фиксация фактов, связь с нормами закона и заключение с приоритетами — это объективная основа для исправлений.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие технические меры защиты нужны для сайта по 152-ФЗ?
Состав мер зависит от категории данных и актуальных угроз. Обычно это контроль доступа, шифрование при передаче, регистрация событий, антивирусная защита. Для выбора мер нужно понять, какие данные собирает сайт и где они обрабатываются.
Как проверить, что технические меры на сайте работают, а не только описаны в документах?
Откройте сайт с чистой сессии и зафиксируйте, что происходит: какие трекеры стартуют, куда уходят данные, когда запрашивается согласие. Автоматизированная проверка фиксирует эти факты и выдаёт заключение с нормами.
Что делать, если трекеры стартуют до согласия посетителя?
Это создаёт риск нарушения требований к согласию и законным основаниям обработки. Нужно настроить cookie-баннер так, чтобы трекеры запускались только после явного согласия, либо получить иное законное основание для обработки.
Нужно ли уведомлять Роскомнадзор, если данные уходят на иностранный сервис?
Да, если это трансграничная передача персональных данных граждан России. Уведомление подаётся до начала передачи. Проверка фиксирует запросы к иностранным сервисам и даёт рекомендации.
Может ли проверка сайта заменить аудит информационной безопасности?
Нет. Проверка фиксирует правовые риски на публичных страницах сайта. Полный аудит информационной безопасности включает проверку серверной части, внутренних процессов и технических средств защиты — это задача для специалистов по ИБ.
Что будет, если технические меры не внедрены или работают формально?
При проверке Роскомнадзора это может квалифицироваться как нарушение требований к обеспечению безопасности персональных данных. Санкции зависят от характера нарушения и последствий.
Как часто нужно проверять технические меры на сайте?
После любого изменения на сайте: подключения нового сервиса, обновления форм, изменения политики. Регулярная проверка помогает выявить риски до того, как их заметит регулятор.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.