Дата актуализации: 04 июля 2026 г․
Вступление в силу Общего регламента по защите данных (GDPR) ‑5 мая 2018 года кардинально изменило правила работы с персональными данными в Европе․ Однако до сих пор многие компании и веб-ресурсы недооценивают роль технических мер — в частности, использования протокола HTTPS — для полного соответствия требованиям GDPR․ В данной статье мы разберёмся, почему HTTPS стал не просто «желательным», а обязательным условием обработки персональных данных в рамках нового регламента․
Что такое GDPR в двух словах
GDPR (General Data Protection Regulation) — это регламент Европейского Парламента и Совета ЕС 2016/679 от 27 апреля 2016 г․, который:
- защищает права граждан ЕС на неприкосновенность частной жизни;
- устанавливает жёсткие правила обработки персональных данных;
- распространяется на всех операторов данных, кто обрабатывает данные резидентов ЕС — независимо от того, где находится сам оператор․
Шесть ключевых принципов обработки персональных данных
- Законность, справедливость и прозрачность․
- Ограничение целей использования данных․
- Минимизация данных (сбор только необходимого)․
- Точность и актуальность информации․
- Ограничение срока хранения․
- Целостность и конфиденциальность, включая защиту от несанкционированного доступа․
Именно последний пункт напрямую связывает нас с темой HTTPS․
HTTPS как минимально необходимая мера защиты
Что такое HTTPS?
HTTPS (HyperText Transfer Protocol Secure) — это расширение протокола HTTP, в котором передача данных между браузером пользователя и веб-сервером осуществляется по защищённому каналу с использованием шифрования TLS/SSL․
Обязательство «по умолчанию» и «с момента проектирования»
В статье 25 GDPR прямо указано, что контролёр данных должен реализовать «защиту персональных данных как с момента проектирования, так и по умолчанию»․ Это означает:
- нельзя передавать персональные данные по незащищённому каналу;
- нельзя хранить файлы cookie или идентификаторы пользователей без шифрования в транзите;
- нельзя обрабатывать данные на сайтах без сертификата TLS․
Риски без HTTPS
Если сайт работает по HTTP:
- Все данные пользователя (логины, пароли, адреса, номера карт) передаются в открытом виде․
- Любой человек в той же сети (например, в публичном Wi-Fi) может их перехватить․
- В случае утечки компания нарушает требование «конфиденциальности и целостности», что чревато:
- штрафами до 4 % годового оборота или €20 млн;
- судебными искоми от пострадавших пользователей;
- репутационными потерями․
Практический чек-лист: как обеспечить соответствие HTTPS и GDPR
| Шаг | Действие | Обоснование по GDPR |
|---|---|---|
| 1 | Получить SSL/TLS-сертификат (DV, OV или EV)․ | Обеспечение конфиденциальности и целостности (ст․ 5, ст․ 32)․ |
| 2 | Принудительно перенаправлять все HTTP-запросы на HTTPS (301 Redirect)․ | Исключение «сливов» данных в незащищённом виде (ст․ 25)․ |
| 3 | Настроить HSTS (HTTP Strict Transport Security)․ | Предотвращает downgrade-атаки на HTTP․ |
| 4 | Обновить политику конфиденциальности: указать, что все данные передаются по защищённому каналу․ | Обеспечение прозрачности (ст․ 13)․ |
| 5 | Провести аудит всех поддоменов и сторонних сервисов (CDN, формы обратной связи)․ | Ответственность за совместное использование данных (ст․ 28)․ |
Частые ошибки и как их избежать
Смешанный контент (Mixed Content)
На HTTPS-странице подгружаются ресурсы по HTTP (картинки, скрипты)․ Браузеры блокируют такой контент, а пользователи видят «неполный замок» в адресной строке․
Решение: проверить все ссылки, заменить на HTTPS-аналоги, использовать upgrade-insecure-requests в CSP․
Недостаточная длина ключа
Использование устаревших SHA-1 или 1024-битных ключей не соответствует современным требованиям․
Решение: обновить до TLS 1․3, минимум 2048-бит RSA или ECDSA P-256/384․
Отсутствие автообновления сертификатов
Решение: подключить Let’s Encrypt с автоматическим продлением через certbot или аналогичные инструменты․
GDPR + Российское законодательство: особенности для российских компаний
Если компания из России обслуживает клиентов из ЕС:
- она одновременно должна соответствовать GDPR и 152-ФЗ «О персональных данных»;
- требования к HTTPS совпадают: оба закона требуют надлежащих мер защиты при трансграничной передаче;
- при взаимодействии с европейскими контрагентами потребуется Standard Contractual Clauses (SCC) и обязательное шифрование канала связи (HTTPS/TLS)․
HTTPS, это не просто «красный замок» в адресной строке, а обязательное условие соответствия GDPR․ Отсутствие сертификата и шифрования делает любую передачу персональных данных потенциально незаконной и чреватой крупными штрафами․ Применяя простые шаги, от получения SSL-сертификата до настройки HSTS — вы не только защитите своих пользователей, но и застрахуете свой бизнес от регуляторных санкций․
Данный материал подготовлен в соответствии с публичными документами GDPR и актуальными рекомендациями кибербезопасности на 2026 год․ Перед внедрением советуем проконсультироваться с юристом и сертифицированным специалистом по защите данных (DPO)․