Федеральний закон №152-ФЗ «Про персональні дані» — не просто бюрократичний документ. Для власника сайту, який збирає контакти відвідувачів, це конкретні технічні вимоги: архітектура застосунку, шифрування, розмежування доступу та локалізація даних. Часто сайти використовують IP-адреси та cookies, але політика конфіденційності не оновлювалася, а згода — галочка за замовчуванням. При першій же перевірці РКН загрожує штраф до 300 000 рублів, а за повторне порушення — до 500 000 рублів. Наші сертифіковані інженери допомагають пройти аудит та впровадити всі заходи без простоїв. Ми працюємо понад 10 років, виконали понад 50 проєктів з 152-ФЗ і гарантуємо проходження перевірок. Скорочуємо час аудиту в 2–3 рази порівняно з самостійним проходженням. Залиште заявку — ми проведемо експрес-аналіз вашого сайту за 2 дні.
Які технічні заходи обов'язкові?
Наші типові рішення прискорюють впровадження в 3–5 разів порівняно з самостійною розробкою.
Залежно від рівня захищеності (УЗ-4 або УЗ-3) вимоги відрізняються. Для сайту з реєстрацією користувачів достатньо УЗ-4. Якщо обробляєте спеціальні категорії (здоров'я, релігія), знадобиться УЗ-3. Порівняємо два підходи.
Шифрування під час передачі
HTTPS обов'язковий на всіх сторінках, де збираються ПДн. TLS 1.2 мінімум, рекомендується TLS 1.3.
ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:...; ssl_prefer_server_ciphers off; Контроль доступу
Доступ до ПДн лише для співробітників, яким це необхідно.
class PersonalDataController extends Controller { public function show(User $user) { $this->authorize('view-personal-data'); return response()->json($user->getPersonalData()); } } class PersonalDataPolicy { public function view(User $authUser, User $targetUser): bool { return $authUser->hasPermissionTo('view-personal-data') && $authUser->department === 'support'; } } Згода на обробку
Згода має бути явною, інформованою, конкретною. Чекбокс із попередньо встановленою галочкою недопустимий. Необхідно зберігати запис з IP, user-agent, версією документа та часом.
Приклад запису згоди
ConsentRecord::create([ 'user_id' => $user->id, 'type' => 'personal_data_processing', 'ip_address' => $request->ip(), 'user_agent' => $request->userAgent(), 'document_version' => config('legal.privacy_policy_version'), 'consent_text' => ConsentType::current('data_processing')->text, 'granted_at' => now(), ]); Порівняння рівнів захищеності УЗ-4 та УЗ-3
| Вимога | УЗ-4 (базовий) | УЗ-3 (підвищений) |
|---|---|---|
| Ідентифікація та автентифікація | Так | Так + двофакторна |
| Управління доступом | Рольова модель | Мандатне управління |
| Реєстрація подій | Журнал подій | SIEM-система |
| Антивірусний захист | Так | Так із централізованим управлінням |
| Виявлення вторгнень | WAF/IDS | IDS/IPS + аналіз трафіку |
| Оновлення ПЗ | Регулярне | Автоматичне з контролем цілісності |
Чому локалізація даних критична?
Первинний запис персональних даних має відбуватися на серверах у РФ. Допускається реплікація за кордон, але перший запис — у РФ. Без DPA (угоди про обробку даних) з підрядниками ви ризикуєте отримати штраф. Наші юристи підготують шаблони DPA, що відповідають останнім вимогам. Практично це вибір російського хостингу (Selectel, Yandex Cloud) або налаштування Data Residency у зарубіжних провайдерів. Угоди про обробку (DPA) з підрядниками обов'язкові.
| Провайдер | Локалізація даних | DPA | Примітка |
|---|---|---|---|
| Selectel | Так | Підписується | ЦОД у Москві |
| Yandex Cloud | Так | В особистому кабінеті | Сертифікований |
| Cloudflare | Data Residency | У консолі | Для CDN та безпеки |
Реєстр операцій та повідомлення РКН
Оператори зобов'язані вести внутрішній реєстр обробки ПДн і до початку обробки повідомити Роскомнагляд через портал pd.rkn.gov.ru (винятки: ПДн співробітників, разових договорів, публічні дані). Автоматизація реєстру скорочує час заповнення в 5 разів порівняно з ручним веденням — це економія до 70% трудовитрат.
class ProcessingActivityRegistry { private array $activities = [ [ 'name' => 'Реєстрація користувачів', 'purpose' => 'Надання доступу до сервісу', 'legal_basis' => 'Згода суб'єкта (ст. 6.1 152-ФЗ)', 'data_types' => ['ПІБ', 'email', 'номер телефону'], 'storage_period'=> '5 років після видалення акаунта', 'third_parties' => ['Sendgrid (email розсилки, DPA укладено)'], 'server_location'=> 'РФ (Selectel, Москва)', ], ]; } При витоку ПДн повідомте Роскомнагляд протягом 24 годин, суб'єктів ПДн — протягом 72 годин.
Що ви отримаєте в результаті впровадження
- Політика конфіденційності та форма згоди, що відповідають 152-ФЗ.
- Реєстр обробки персональних даних з автоматичним повідомленням РКН.
- DPA (угоди про обробку даних) з усіма підрядниками.
- Технічна документація з налаштування шифрування, контролю доступу та журналювання.
- Інтеграція системи збору згод із логом IP, user-agent та версії документа.
- Навчання співробітників роботі з ПДн та інструкції з реагування на витоки.
- Підтримка під час перевірок Роскомнагляду та доопрацювання за їхніми запитами.
Процес впровадження 152-ФЗ
- Аудит поточного стану: виявлення прогалин та ризиків.
- Розробка документів: політика конфіденційності, форма згоди, реєстр операцій.
- Технічні заходи: налаштування шифрування, контроль доступу, журналювання.
- Інтеграція повідомлень: автоматизація відправки в РКН при витоку.
- Підготовка DPA з підрядниками.
- Тестування: перевірка наявності всіх обов'язкових елементів.
- Супровід під час перевірок: консультації та доопрацювання.
Замовте повний цикл впровадження — від аудиту до супроводу.
Строки реалізації
- Аудит + gap-аналіз: 2–3 дні.
- Політика конфіденційності та згоди: 3–5 днів.
- Технічні заходи (шифрування, журналювання, доступ): 5–10 днів.
- Повідомлення РКН та реєстр: 1–2 дні.
Наш підхід економить до 40% бюджету порівняно з наймом окремого юриста та системного адміністратора. Отримайте консультацію щодо вашого проєкту — ми оцінимо обсяг і підготуємо комерційну пропозицію. Зв'яжіться з нами для аудиту поточного стану.