Генератор152ФЗ · Журнал

Разъяснение

Сайт оператора — это ИСПДн? Краткое разъяснение для владельца сайта и малого бизнеса

Один узкий вопрос: сайт как набор страниц и информационная система персональных данных по 152-ФЗ

Аннотация

УДК 342.9:004.056

Рассмотрен узкий вопрос: является ли сайт оператора информационной системой персональных данных. Сопоставлены законодательные дефиниции понятий в Федеральном законе № 152-ФЗ и постановлении Правительства РФ № 1119. Показано, что наличие сайта не тождественно наличию ИСПДн и не заменяет квалификацию фактической обработки. Сформулирован короткий алгоритм самопроверки для владельца сайта и организации МСП. Даны отсылки к аналитике об уровнях защищённости и мерах по ст. 18.1 и 19.

Ключевые слова: ИСПДн, сайт, информационная система персональных данных, 152-ФЗ, ПП № 1119, оператор, обработка персональных данных.

Abstract

Abstract. The narrow question whether an operator’s website is a personal data information system (PDIS) was examined. Statutory definitions in Federal Law No. 152-FZ and Government Decree No. 1119 were compared. It was shown that having a website is not the same as having a PDIS and does not replace fact-specific qualification of processing. A short self-check algorithm for website owners and SMEs was formulated. Cross-references were given to the analyses of security levels and of organisational and technical measures under Articles 18.1 and 19.

Keywords: personal data information system, website, personal data, 152-FZ, Government Decree No. 1119, operator, personal data processing.

Введение

Методическая оговорка. Настоящее разъяснение не даёт универсального ответа «всегда да» или «всегда нет» в отношении любого сайта. Квалификация зависит от фактических обстоятельств обработки персональных данных. Текст носит информационный характер и не заменяет юридической оценки конкретной деятельности оператора.

Цель разъяснения – ответить на один практический вопрос владельца сайта и организации МСП: когда сайт входит в контур информационной системы персональных данных (ИСПДн), а когда одной фразы «у меня сайт» для квалификации недостаточно.

1. Вопрос и зачем он важен

Вопрос обычно ставят так: «Если у меня только сайт / лендинг / интернет-магазин – это уже информационная система персональных данных?»

Краткий ответ: сайт как набор страниц сам по себе не является ИСПДн. ИСПДн – это не «тип ресурса в интернете», а правовая квалификация совокупности, описанной в законе. От того, есть ли у оператора ИСПДн (и какая), зависит, нужно ли определять уровень защищённости по ПП № 1119 и выстраивать меры по ст. 18.1 и 19 152-ФЗ. Для практики важнее не ошибиться в недооценке контура: если персональные данные фактически обрабатываются в базе данных с помощью информационных технологий и технических средств, ссылка на то, что «это просто сайт», обязанности оператора не снимает.

2. Что говорит закон

Персональные данные и обработка. По ст. 3 152-ФЗ персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Обработка – любое действие или совокупность действий с персональными данными с использованием средств автоматизации или без них (сбор, запись, хранение, использование, передача, уничтожение и др.).

Информационная система персональных данных. Согласно п. 10 ч. 1 ст. 3 152-ФЗ, ИСПДн – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. ПП № 1119 опирается на то же понятие информационной системы персональных данных: речь идёт о системе, в которой персональные данные содержатся в базе данных и обрабатываются с применением информационных технологий и технических средств.

Важно не смешивать два разных узла нормы. «Обработка с использованием средств автоматизации» – характеристика обработки. Определение ИСПДн строится вокруг иной конструкции: персональные данные в базе (базах) данных плюс технологии и технические средства, обеспечивающие их обработку. Сайт может быть каналом сбора, частью такого контура или вообще не входить в него – это вопрос факта, а не названия.

3. Когда сайт может входить в контур ИСПДн

Сайт может входить в контур ИСПДн (или быть одной из ИСПДн оператора), если через него или в связи с ним персональные данные попадают в базу данных и обрабатываются информационными технологиями и техническими средствами. Ниже – ориентиры для самопроверки, не закрытый перечень и не автоматический вердикт «это уже ИСПДн».

Имеет смысл отдельно проверить контур, если, например:

  • на сайте есть формы (обратная связь, заявка, подписка), через которые передаются ФИО, телефон, адрес электронной почты и т.п., и эти сведения далее сохраняются (своя БД, CMS, таблица, CRM, почтовый/тикет-сервис как место накопления) либо систематически обрабатываются оператором;
  • есть регистрация / личный кабинет с учётной записью субъекта;
  • оформляется заказ в интернет-магазине с данными покупателя;
  • сайт связан с CRM или иной учётной системой, где ведутся клиентские персональные данные;
  • используются метрические и аналогичные средства, при которых обрабатываются сведения, способные при определённых условиях относиться к персональным данным (идентификаторы, сведения об устройстве, IP-адрес в совокупности с иными данными и т.п.) – см. статьи о cookie, метрике и поручении и о согласии на cookie метрики.

В таких ситуациях чаще всего возникает вопрос не «сайт или не сайт», а где именно лежит база с персональными данными и какими средствами она обрабатывается. Ответ может быть: одна ИСПДн «сайт + БД», несколько ИСПДн (сайт и отдельно CRM), либо сайт как канал при иной системе учёта. Каждую систему, где есть своя совокупность «база + технологии + средства», по смыслу ПП № 1119 оценивают отдельно (подробнее – в статье об уровнях защищённости ИСПДн).

4. Когда одной фразы «у меня сайт» недостаточно

Наличие домена и вёрстки не доказывает наличие ИСПДн и не опровергает её. Формулировка «у меня только сайт» для квалификации бесполезна без ответа на вопросы: собираются ли персональные данные; куда они записываются; есть ли база данных; какие технологии и технические средства обеспечивают обработку.

Даже у «визитки» без видимых форм стоит проверить фактический контур: журналы веб-сервера и хостинга, встроенные виджеты и формы на стороне третьих лиц, аналитику, почтовые и CRM-интеграции. Нельзя обещать «безопасную гавань» вида «нет формы на странице – значит, ИСПДн нет»: отсутствие формы на экране не означает отсутствие обработки персональных данных в инфраструктуре сайта.

Отдельно: если сайт не образует ИСПДн, это не освобождает оператора от 152-ФЗ, когда персональные данные обрабатываются иначе – на бумаге, в кадровой/бухгалтерской системе, в мессенджерах и т.д. ИСПДн – один из контуров, а не единственный.

5. Что проверять дальше

Если по результатам самопроверки через сайт или в связи с ним обрабатываются персональные данные в смысле ст. 3, последовательно имеет смысл:

  1. Зафиксировать, есть ли совокупность, подпадающая под определение ИСПДн, и сколько таких систем у оператора. Если ИСПДн есть – определить уровень защищённости по ПП № 1119 (статья об уровнях защищённости).
  2. Сопоставить организационные и технические меры со ст. 18.1 и 19 и с установленным уровнем (статья о мерах 18.1 / 19 и ПП № 1119).
  3. Привести в порядок политику в отношении обработки персональных данных и размещение сведений для субъектов, если сайт используется как канал информирования / сбора.
  4. Оценить правовые основания обработки по ст. 6 (и специальным нормам). Согласие оформляют там, где оно действительно является основанием; с 1 сентября 2025 г. новые согласия – отдельным документом (ч. 1 ст. 9 в ред. 156-ФЗ). Это не означает, что «на любой сайт нужны согласия на всё» – см. статью о согласии как самостоятельном условии.
  5. Проверить обязанность уведомить Роскомнадзор (ст. 22) с учётом исключений по ч. 2 – статья об уведомлении.
  6. При cookie и метрике – отдельно сверить модель согласия и поручения с материалами по cookie, не подменяя её общим тезисом «сайт = ИСПДн».

Для согласованной подготовки политики, согласий и связанных документов можно использовать конструктор «ГЕНЕРАТОР152ФЗ» – как инструмент документационного обеспечения, а не как замену квалификации фактов обработки.

Заключение

  1. Сайт сам по себе не является ИСПДн.
  2. ИСПДн – совокупность персональных данных в базе (базах) данных и обеспечивающих их обработку информационных технологий и технических средств (п. 10 ч. 1 ст. 3 152-ФЗ).
  3. Сайт может входить в контур ИСПДн или быть одной из систем оператора, если через него или в связи с ним такие данные фактически обрабатываются; ответ – вопрос факта.
  4. Отсутствие видимых форм не заменяет проверки логов, интеграций и мест хранения.
  5. При наличии ИСПДн уровень защищённости определяют по ПП № 1119; меры – по ст. 18.1 и 19. Обязанности оператора не исчезают от того, что контур привычно называют «сайтом».

Список литературы

  1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» // Собрание законодательства РФ. – 2006. – № 31 (ч. 1). – Ст. 3451. – Ст. 3, 6, 9, 18.1, 19, 22.
  2. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // Собрание законодательства РФ. – 2012. – № 45. – Ст. 6257.
  3. Федеральный закон от 24 июня 2025 г. № 156-ФЗ // Официальный интернет-портал правовой информации.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.

К списку статей База знаний Тарифы