Что такое информационная система персональных данных?

Информационная система персональных данных (ИСПДн) - это совокупность баз данных с персональными данными вместе с технологиями и техническими средствами, которые их обрабатывают: сервер, где хранится база, CRM с заявками, сама база данных сайта. Определение дано в статье 3 федерального закона №152-ФЗ "О персональных данных" от 27 июля 2006 года.

На практике для обычного сайта ИСПДн - это связка из формы заявки, базы данных, куда попадают введённые данные, и CRM или почты, куда они уходят дальше. Если есть личный кабинет с логином и историей заказов - это тоже часть той же системы. Отдельного "железа" для ИСПДн заводить не обязательно: чаще всего это тот же хостинг и та же CRM, которыми компания и так пользуется для других задач.

Из статуса оператора ИСПДн вытекают конкретные обязанности: определить цель обработки, зафиксировать её в политике обработки персональных данных, получить согласие пользователя перед отправкой формы и обеспечить техническую защиту данных - минимум ограничить доступ к базе и хостингу паролями и следить за обновлениями CMS. В большинстве случаев компании также должны уведомить Роскомнадзор о начале обработки персональных данных - форма подачи есть на сайте ведомства; из этого правила есть исключения (статья 22 152-ФЗ), и точно определить, попадает ли под них ваш случай, лучше вместе с юристом.

Для сайта на разработке студия обычно закрывает техническую часть - чекбокс согласия, страницу политики, ограничение доступа к базе, - но статус оператора и уведомление Роскомнадзора остаются за компанией-владельцем сайта: это её ответственность как юридического лица, а не разработчика.