Забезпечення відповідності сайту вимогам 152-ФЗ
Федеральний закон "Про персональні дані" №152-ФЗ зобов'язує операторів ПДн виконувати комплекс організаційних та технічних заходів. Для більшості комерційних сайтів, які збирають імена, email та телефони користувачів, виникають конкретні технічні вимоги.
Що таке ПДн за 152-ФЗ
Персональні дані - це будь-яка інформація, що прямо або непрямо ідентифікує фізичну особу. На практиці: ПІБ, телефон, email, адреса, IP-адреса (спірно, але судова практика схиляється до так), cookies з ідентифікатором.
Технічні вимоги для базового рівня (УЗ-4)
Локалізація даних (ст. 18.1): Персональні дані російських громадян повинні збиратися та зберігатися на серверах у РФ. Допускається реплікація за кордон, але первинна запис - у РФ.
Шифрування при передачі:
- HTTPS обов'язковий на всіх сторінках, де збираються ПДн
- TLS 1.2 мінімум, TLS 1.3 рекомендується
Контроль доступу: Доступ до ПДн тільки для сотрудників, яким це необхідно по обов'язках.
class PersonalDataPolicy
{
public function view(User $authUser, User $targetUser): bool
{
return $authUser->hasPermissionTo('view-personal-data')
&& $authUser->department === 'support';
}
}
Обов'язкові елементи сайту
Політика конфіденціальності: Повинна містити: цілі обробки, правову основу, перелік ПДн, термін зберігання, інформацію про передачу третім особам, права суб'єктів ПДн.
Згода на обробку: Явна, інформована, конкретна. Чекбокс "Я згідний з політикою" без можливості його снігти - не відповідає вимогам.
Уведомлення про утечку: При виявленні утечки ПДн - повідомити Роскомнадзор протягом 24 годин, суб'єктів ПДн - протягом 72 годин.
class DataBreachNotificationService
{
public function notifyRkn(DataBreach $breach): void
{
// Відправити в РКН через портал pd.rkn.gov.ru (API або email)
// Термін: 24 години з моменту виявлення
}
public function notifyAffectedUsers(DataBreach $breach): void
{
$affectedUsers = $this->getAffectedUsers($breach);
// Масова розсилка з описом утечки
// Термін: 72 години
}
}
Реєстр операцій обробки ПДн
Оператори, які обробляють ПДн, зобов'язані вести внутрішній реєстр:
class ProcessingActivityRegistry
{
private array $activities = [
[
'name' => 'Реєстрація користувачів',
'purpose' => 'Надання доступу до сервісу',
'legal_basis' => 'Згода суб'єкта (ст. 6.1 152-ФЗ)',
'data_types' => ['ПІБ', 'email', 'номер телефону'],
'storage_period'=> '5 років після видалення облікового запису',
'third_parties' => ['Sendgrid (email розсилки, DPA підписано)'],
'server_location'=> 'РФ (Selectel, Москва)',
],
];
}
Уведомлення Роскомнадзора
До початку обробки ПДн оператор зобов'язаний повідомити РКН. Подача через pd.rkn.gov.ru.
Винятки (уведомлення не потрібне): ПДн сотрудників, ПДн для разових договорів, публічно розкритих даних.
Технічні заходи за Наказом ФСТЕК №21
Для УЗ-4 (більшість комерційних сайтів):
- Ідентифікація та аутентифікація користувачів ІС
- Управління доступом (рольова модель)
- Реєстрація подій безпеки (журналювання)
- Антивірусний захист серверів
- Виявлення вторгнень (IDS/WAF)
- Оновлення програмного забезпечення
DPA-угоди з підрядниками
При передачі ПДн третім особам (хмарні сервіси, email-провайдери, аналітика) необхідно заключити DPA (Data Processing Agreement).
Тривалість реалізації
- Аудит поточного стану + gap-аналіз: 2–3 дні
- Політика конфіденціальності + согласи: 3–5 днів
- Технічні заходи (шифрування, журналювання, доступ): 5–10 днів
- Уведомлення РКН + реєстр: 1–2 дні