Что такое УЗ-1, УЗ-2, УЗ-3, УЗ-4 и откуда они взялись
УЗ — это уровень защищённости персональных данных при их обработке в информационных системах. Цифры от 1 до 4 обозначают степень строгости требований: УЗ-1 — самый высокий уровень с максимальными требованиями, УЗ-4 — базовый.
Эти уровни определены в совместных приказах ФСТЭК России и ФСБ России. Документы устанавливают, какие технические и организационные меры защиты нужны в зависимости от типа данных, количества субъектов и возможных последствий нарушения безопасности.
Для владельца сайта это означает: если вы собираете персональные данные через веб-формы, cookie или сторонние сервисы, ваш сайт — информационная система, и вы обязаны определить уровень защищённости и обеспечить соответствующие меры.
От чего зависит уровень защищённости для сайта
Уровень определяется по трём критериям: категория персональных данных, количество субъектов (людей, чьи данные обрабатываются) и актуальные угрозы безопасности. Чем чувствительнее данные и больше субъектов, тем выше уровень.
Категории данных влияют на уровень: специальные данные (раса, национальность, здоровье, судимость) и биометрические данные требуют более высокого уровня защиты. Общие персональные данные (имя, телефон, адрес, email) при большом количестве субъектов также требуют повышенного внимания.
Решение о присвоении уровня принимает сам оператор персональных данных и документирует его в модели угроз и положении о защите персональных данных. Это внутренние документы, их не нужно публиковать на сайте, но регулятор может запросить при проверке.
Какие требования нужно выполнить в зависимости от уровня
Требования различаются по сложности и зависят от установленного уровня. Чем выше уровень защищённости, тем больше технических и организационных мер потребуется: от базовых средств контроля доступа до сертифицированных систем защиты информации.
Для сайта ключевое — понимать, какие данные вы реально собираете и куда они отправляются. Если ваши формы отправляют данные в CRM или email-сервис, если на сайте работают трекеры и аналитика — всё это влияет на состав информационной системы и требования к защите.
Конкретный перечень мер определяется методическими документами ФСТЭК и ФСБ. Для точного понимания требований нужно обратиться к этим документам или к специалистам по информационной безопасности.
Как проверить, какие данные собирает сайт и где риски
Первый шаг — зафиксировать, что происходит на сайте с точки зрения посетителя. Какие формы есть, какие поля они содержат, какие cookie устанавливаются, какие внешние сервисы получают данные. Это основа для определения уровня защищённости.
Проверка сайта в Dobrolex показывает: какие данные собираются через формы, какие трекеры и внешние скрипты стартуют, куда уходят запросы, есть ли передача данных за рубеж. Результат — заключение с фактами, снимками экрана и ссылками на нормы закона.
Если выявлены эпизоды с признаками нарушений, в отчёте указывается их серьёзность и рекомендации, что исправить. Если признаков нет — это подтверждается документально. Оба варианта дают ясность, что делать дальше.
Что будет, если уровень защищённости не определён или меры не соответствуют требованиям
Отсутствие документированного уровня защищённости или недостаточность фактических мер — нарушение требований 152-ФЗ. Регулятор при проверке может запросить внутренние документы оператора.
Санкции применяются за конкретные составы: обработку без законных оснований, отсутствие политики обработки персональных данных, непредставление уведомления в Роскомнадзор.
Проверка сайта помогает избежать этого: вы видите, какие данные собираются, какие риски есть, и можете привести документы и технические меры в соответствие с реальным положением дел.
Проверьте сайт: уровень защищённости и соответствие требованиям
- 01Зафиксируйте, какие данные собирает сайт. Откройте все формы (обратная связь, подписка, регистрация), посмотрите, какие поля они содержат. Это определит категорию данных и влияет на уровень защищённости.
- 02Проверьте, какие cookie и трекеры работают. Откройте сайт в режиме инкогнито, посмотрите в инструментах разработчика (вкладка Network или Application), какие запросы уходят и какие cookie устанавливаются до согласия.
- 03Узнайте, куда отправляются данные из форм. Уточните у разработчика или в настройках CRM, куда уходят данные из веб-форм. Если они передаются сторонним сервисам или за рубеж — это влияет на требования к защите.
- 04Проверьте, есть ли внутренние документы. Запросите у ответственного за персональные данные модель угроз, положение о защите персональных данных, приказ о назначении ответственного. Их отсутствие — риск при проверке.
- 05Сверьте публичную политику с реальным сбором данных. Прочитайте политику конфиденциальности на сайте и сравните с тем, что реально собирается. Несоответствие — частая причина претензий.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что означают аббревиатуры УЗ-1, УЗ-2, УЗ-3, УЗ-4?
Это уровни защищённости персональных данных в информационных системах. УЗ-1 — самый высокий уровень с максимальными требованиями, УЗ-4 — базовый. Уровень определяется по категории данных, числу субъектов и угрозам.
Как понять, какой уровень защищённости нужен моему сайту?
Уровень зависит от типа данных (общие, специальные, биометрические), количества людей, чьи данные обрабатываются, и актуальных угроз. Решение принимает оператор и документирует в модели угроз по методике из приказов ФСТЭК и ФСБ.
Обязательно ли определять уровень защищённости для сайта с формой обратной связи?
Да. Если сайт собирает персональные данные через формы, он является информационной системой. Оператор обязан определить уровень защищённости и обеспечить соответствующие меры, даже если это простая форма обратной связи.
Нужно ли указывать уровень защищённости в политике конфиденциальности?
Нет, уровень защищённости указывается во внутренних документах оператора (модель угроз, положение о защите), но не обязателен в публичной политике конфиденциальности.
Проверяет ли Роскомнадзор соблюдение уровней защищённости?
Да. Роскомнадзор проверяет соблюдение требований 152-ФЗ, включая наличие необходимых мер защиты. При проверке регулятор может запросить внутренние документы оператора.
Чем отличается уровень защищённости от категории персональных данных?
Категория данных (общие, специальные, биометрические) — это тип информации. Уровень защищённости — это требования к системе, которая их обрабатывает. Категория влияет на уровень: более чувствительные данные требуют более строгой защиты.
Что покажет проверка сайта в Dobrolex?
Проверка фиксирует, какие данные собирает сайт, какие трекеры и внешние сервисы работают, куда уходят запросы. Результат — заключение в PDF с фактами, снимками экрана, ссылками на нормы и рекомендациями, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.