Как обезопасить сайт в соответствии с 152-ФЗ?

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Чтобы сайт соответствовал требованиям Федерального закона № 152-ФЗ «О персональных данных», недостаточно просто разместить форму согласия на обработку. Необходимо комплексно выстроить систему защиты, которая включает: юридические документы, организационные меры и технические средства защиты информации.

Иными словами, сайт должен быть не только зарегистрирован в Роскомнадзоре, но и сопровождаться корректной документацией, а его работа — соответствовать требованиям безопасности обработки ПДн.

Обоснование по законодательству

ФЗ-152, статья 18.1: оператор обязан принимать необходимые меры для обеспечения выполнения требований закона.
Статья 19: перечисляет меры по обеспечению безопасности ПДн, включая: разработку локальных актов, назначение ответственного лица, применение СЗИ (средств защиты информации).
Приказ ФСТЭК № 21 и приказы ФСБ — устанавливают требования к защите ИСПДн (информационных систем персональных данных).

Основные шаги по защите сайта

Юридическая часть:

Подать уведомление в Роскомнадзор (если сайт собирает ПДн).
Разработать и разместить на сайте политику в отношении обработки ПДн.
Составить формы согласий пользователей на обработку данных (отдельно для подписки, чатов, заявок).
Подготовить пакет локальных документов: положение о защите ПДн, приказы, регламенты обработки.

Организационная часть:

Назначить ответственное лицо за организацию обработки ПДн.
Обучить сотрудников, которые работают с данными пользователей.
Внедрить регламент приёма, хранения и удаления ПДн.

Техническая часть:

Использовать SSL-сертификат для шифрования трафика (https).
Обеспечить защиту форм ввода (капчи, фильтры от SQL-инъекций и XSS-атак).
Настроить безопасное хранение данных (шифрование, ограничение доступа).
Регулярно обновлять CMS и плагины, чтобы исключить уязвимости.
Установить средства защиты информации (межсетевые экраны, антивирусные решения, системы предотвращения вторжений).

Пример на практике

Интернет-магазин принимает заказы через сайт: имя, телефон, адрес доставки. Для соответствия 152-ФЗ он должен:

зарегистрироваться как оператор ПДн;
разместить политику ПДн и согласие на обработку;
хранить данные покупателей на защищённом сервере, ограничив к ним доступ;
подготовить внутренний пакет документов и назначить ответственного за ПДн.

Как обезопасить сайт в соответствии с 152-ФЗ?

Обоснование по законодательству

Основные шаги по защите сайта

Рекомендации и выводы

От чего зависит размер штрафа за персональные данные?

Как проходит выездная проверка Роскомнадзора?

Можно ли избежать штрафа при первой проверке?

Проверяет ли Роскомнадзор сайты без юридического лица?

Проверяет ли Роскомнадзор малый бизнес и ИП?

Что будет, если не подать уведомление в Роскомнадзор?