Кому нужна защита ПДн по стандартам ФСТЭК
ФСТЭК России разрабатывает требования к защите информации в информационных системах. Приказы и методические документы ФСТЭК устанавливают уровни защищённости и технические меры для систем, обрабатывающих персональные данные. Однако сертификация по стандартам ФСТЭК обязательна в первую очередь для государственных информационных систем и критической инфраструктуры.
Для коммерческих сайтов — интернет-магазинов, сервисов, корпоративных порталов — действуют требования 152-ФЗ «О персональных данных». Уровень защищённости определяется категорией данных (общие, биометрические, специальные) и числом субъектов. Конкретные требования зависят от присвоенного уровня.
Ключевой вопрос для владельца сайта не в том, нужна ли ему сертификация ФСТЭК, а в том, соблюдает ли он базовые требования закона: есть ли согласие на обработку, опубликована ли политика, хранятся ли данные граждан России на территории страны, не уходят ли они на иностранные серверы без уведомления регулятора.
Что на практике проверяет Роскомнадзор
Роскомнадзор контролирует исполнение 152-ФЗ. В фокусе — конкретные нарушения: отсутствие политики обработки персональных данных на сайте, сбор данных без согласия, передача информации за рубеж без уведомления, хранение данных граждан РФ на иностранных серверах.
Типичный сценарий: посетитель заполняет форму на сайте, не видит ссылки на политику конфиденциальности, не даёт явного согласия на обработку — а его данные уже ушли в CRM или систему аналитики. Или: cookie-баннер есть, но трекеры Google Analytics и зарубежные рекламные пиксели стартуют ещё до того, как пользователь нажал «Принять». Оба случая могут квалифицироваться как нарушение.
Проблема в том, что владелец сайта часто не знает, что именно происходит на публичных страницах: какие скрипты запускаются, куда уходят запросы, когда стартуют трекеры. Текст политики может быть юридически корректным, но если фактическое поведение сайта расходится с документами — это риск.
Как проверить, что данные не уходят за рубеж без согласия
Базовая проверка начинается с того, как сайт ведёт себя для нового посетителя — до любых кликов и согласий. Нужно открыть сайт с чистой сессии (режим инкогнито или новый профиль браузера) и посмотреть, какие сетевые запросы уходят в этот момент. Инструменты разработчика в браузере (вкладка Network) покажут домены: если среди них Google, иностранные соцсети, Amplitude, Hotjar и другие иностранные сервисы — данные посетителя могут передаваться за рубеж.
Сам по себе запрос к иностранному домену — это технический сигнал, требующий дополнительной проверки. Если трекер стартовал до клика на баннере — это может создавать риск.
Автоматизированная проверка выполняет эту работу: открывает сайт как новый посетитель, фиксирует все сетевые запросы и документирует, какие данные куда ушли и в какой момент. В отчёте каждый эпизод связан с конкретной нормой закона и получает приоритет исправления.
Что проверяет Dobrolex на сайте
Проверка фиксирует ключевые элементы: политика обработки персональных данных (доступна ли по прямой ссылке), согласие на обработку (чекбокс у формы или баннер cookie), реквизиты оператора (ИНН, ОГРН, адрес), защищённое соединение (HTTPS).
Cookie-баннер проверяется на то, даёт ли он равнозначную возможность принять или отклонить использование cookie. Если баннер только информирует («Мы используем cookie»), но не даёт выбора — это фиксируется. Если трекеры запускаются до клика — это отдельный эпизод.
Проверка фиксирует текст баннера, наличие кнопок отказа и реальное поведение скриптов. В отчёте — снимки экранов, цитаты из документов, ссылки на нормы закона.
- Политика обработки ПДн опубликована и доступна по ссылке
- Формы содержат чекбокс согласия с возможностью отказа
- Cookie-баннер позволяет отклонить использование трекеров
- Трекеры не стартуют до получения согласия пользователя
- Сайт работает по HTTPS и защищает передачу данных
- Указаны реквизиты оператора: ИНН, ОГРН, юридический адрес
Что делать, если обнаружены риски
Первый шаг — получить объективную картину: что сайт делает на самом деле, какие эпизоды создают правовые риски, какова их серьёзность. Заключение даёт именно это: перечень эпизодов с признаками нарушений, снимки экрана, цитаты из документов, ссылки на нормы закона и рекомендации по приоритету исправлений.
Если в отчёте указано, что трекеры стартуют до согласия — нужно настроить систему управления согласиями (Consent Management Platform) или доработать код сайта так, чтобы скрипты загружались только после клика. Если данные уходят на иностранные серверы — проверить, подано ли уведомление Роскомнадзору о трансграничной передаче, и при необходимости локализовать обработку.
Для правок можно подключить тариф «Исправление с юристом»: документы готовятся под конкретный сайт, правки сопровождаются юристом, после внедрения проводится итоговая проверка.
Проверьте свой сайт: 6 признаков соответствия 152-ФЗ
- 01Политика конфиденциальности опубликована. На сайте есть страница «Политика обработки персональных данных» или «Политика конфиденциальности», доступная по прямой ссылке из футера.
- 02Формы содержат согласие на обработку. Рядом с формой (заявка, подписка, регистрация) есть чекбокс «Я согласен на обработку персональных данных» — без галочки форма не отправляется.
- 03Cookie-баннер даёт выбор. Баннер позволяет отклонить использование cookie или настроить категории — не только «Принять всё».
- 04Трекеры не запускаются до согласия. Откройте сайт в режиме инкогнито и проверьте вкладку Network в инструментах разработчика: запросы к Google Analytics, Яндекс Метрике и другим сервисам должны появиться только после клика на баннере.
- 05Сайт работает по HTTPS. В адресной строке браузера отображается замок — соединение защищено SSL-сертификатом.
- 06Указаны реквизиты оператора. В политике конфиденциальности или на странице «Контакты» указаны ИНН, ОГРН, юридический адрес — так посетитель понимает, кто обрабатывает его данные.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужна ли сертификация ФСТЭК для коммерческого сайта?
Сертификация по стандартам ФСТЭК обязательна в первую очередь для государственных информационных систем. Для коммерческих сайтов действуют требования 152-ФЗ: согласие на обработку, политика конфиденциальности, уведомление Роскомнадзора, хранение данных граждан РФ в России.
Как понять, к какому уровню защищённости относится мой сайт?
Уровень защищённости зависит от категории персональных данных (общие, биометрические, специальные) и количества субъектов. Конкретные требования определяются присвоенным уровнем.
Достаточно ли SSL-сертификата для защиты персональных данных?
SSL защищает передачу данных между браузером и сервером, но 152-ФЗ требует также: законное основание для сбора, письменное согласие, политику обработки, уведомление Роскомнадзора, хранение данных граждан РФ на территории России.
Как проверить, что трекеры не запускаются до согласия?
Откройте сайт в режиме инкогнито, не нажимайте на cookie-баннер и посмотрите вкладку Network в инструментах разработчика браузера. Если запросы к Google Analytics, Яндекс Метрике, зарубежным рекламным пикселям появляются сразу — трекеры стартуют до согласия.
Что будет, если данные уходят на иностранные серверы без уведомления?
Трансграничная передача персональных данных без уведомления Роскомнадзора может создавать риск. Хранение данных граждан РФ на иностранных серверах без локализации в России может повлечь санкции.
Можно ли использовать Google Analytics и соблюдать 152-ФЗ?
Да, если трекер запускается только после согласия пользователя, в политике указано, что данные передаются Google, и подано уведомление Роскомнадзору о трансграничной передаче. Если эти условия не выполнены — это риск.
Что проверяет Dobrolex на сайте?
Dobrolex открывает сайт с чистой сессии и фиксирует: какие данные собираются, куда уходят сетевые запросы, когда стартуют трекеры, есть ли политика и согласия, соответствуют ли они требованиям закона. Результат — заключение в PDF с фактами, уровнем риска и рекомендациями.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.