Политика конфиденциальности для сайта: что в ней должно быть по 152-ФЗ и где взять шаблон

Обязательна ли политика конфиденциальности на сайте

Да, если сайт собирает персональные данные. Персональные данные — любая информация, по которой можно определить человека: имя, телефон, почта, а в сочетании с другими сведениями — и данные счётчиков.

Обязанность записана в статье 18.1 закона № 152-ФЗ: оператор издаёт документ, определяющий его политику в отношении обработки персональных данных, и публикует его. Если данные собираются через интернет, документ и сведения о мерах защиты публикуются на страницах сайта, через которые эти данные собираются.

Закон не делает исключений для малого бизнеса. ИП с лендингом и одной формой обратного звонка — такой же оператор, как крупная компания.

Название в законе длинное, поэтому на сайтах документ называют по-разному: «Политика конфиденциальности», «Политика обработки персональных данных», «Политика в отношении обработки персональных данных». Имеет значение содержание, а не заголовок. Мы советуем называть так, как в законе, — «Политика обработки персональных данных»: это сразу говорит проверяющему, что документ тот самый.

Чем политика отличается от согласия на обработку

Это самая частая путаница. Владельцы сайтов ставят одну галочку «Согласен с политикой конфиденциальности» и считают, что всё оформлено.

С 1 сентября 2025 года согласие должно быть оформлено отдельно от иных документов, которые подтверждает человек, — так изменилась статья 9 закона. Значит, отметка «Согласен с политикой» не заменяет согласие на обработку. Нужны оба: опубликованная политика и отдельная отметка согласия со ссылкой на его текст.

Как оформить согласие у формы, какие поля в нём указать и как выглядит таблица штрафов целиком, мы подробно разобрали в статье согласие на обработку персональных данных на сайте. Здесь — только про политику.

Что должно быть в политике: обязательные разделы

Закон не устанавливает обязательной формы политики. Но из него понятно, что документ должен описывать реальную обработку, а Роскомнадзор в 2017 году публиковал рекомендации по составлению такого документа. На их основе и на практике складывается такой состав:

1. Общие положения. Кто оператор: полное название или ФИО ИП, ИНН, ОГРН, адрес, контакты для обращений по персональным данным.
2. Основные понятия. Что такое персональные данные, обработка, оператор — коротко, чтобы документ был понятен.
3. Цели обработки. Для чего вы собираете данные: обработка заявки, обратная связь, заключение договора, рассылка, аналитика. Каждая цель — отдельно.
4. Правовые основания. На каком основании обрабатываете: согласие, договор, требования закона.
5. Категории данных и субъектов. Какие данные по каждой цели: имя, телефон, почта, адрес доставки, данные cookie. Чьи: клиенты, посетители сайта, соискатели.
6. Порядок и условия обработки. Какие действия с данными совершаете, автоматизированно или нет, кому поручаете обработку: хостинг, CRM, сервис рассылок, телефония, аналитика.
7. Сроки хранения и уничтожения. Сколько храните и как удаляете по достижении цели или по отзыву согласия.
8. Права субъекта. Узнать, какие данные обрабатываются, потребовать уточнить или удалить, отозвать согласие, обжаловать действия оператора.
9. Обязанности оператора и меры защиты. Какие организационные и технические меры принимаются: ограничение доступа, ответственный, пароли, хранение в России.
10. Cookie и счётчики. Какие сервисы аналитики используются, какие данные они собирают, как их отключить.
11. Порядок обращения. Как направить запрос или отозвать согласие: почта, адрес. И в какой срок вы отвечаете.
12. Дата редакции. Когда документ последний раз обновлялся.

Пункт про cookie часто забывают. Между тем в условиях использования Яндекс Метрики прямо сказано, что оператором данных посетителей, включая cookie, является владелец сайта, и он обязан информировать посетителей об обработке. Раздел в политике — самый очевидный способ это сделать.

Если, читая список, вы не уверены, что ваша политика описывает именно ваш сайт, — это стоит проверить до того, как это сделает кто-то другой.

Где разместить политику на сайте

Требование закона — опубликовать политику на страницах, через которые собираются данные, и обеспечить к ней доступ. На практике это:

• отдельная страница с адресом вроде /privacy/ или /policy/, которая открывается без входа и регистрации;
• ссылка в подвале на всех страницах сайта;
• ссылка у каждой формы — рядом с отметкой согласия: заявка, обратный звонок, квиз, всплывающие окна, чат-виджет, корзина;
• текстом, а не картинкой или PDF без текста — документ должен читаться с телефона.

Проверьте все формы, включая те, что вы давно забыли: всплывающее окно со скидкой, квиз на отдельной странице, форму в блоге. Ссылка должна быть у каждой. Как устроить сами формы, чтобы они собирали заявки и не нарушали закон, — в статье форма заявки на сайте.

Где взять шаблон и что нельзя копировать

Шаблон политики можно найти в нескольких местах: генераторы документов, справочные правовые системы, шаблоны от конструкторов сайтов и CRM, юристы. Все они дают структуру. Ни один не знает, как устроен ваш бизнес.

Что нельзя оставлять из шаблона или копировать у конкурента:

Наблюдение с наших аудитов: в политиках на сайтах малого бизнеса регулярно встречаются следы чужого документа — другое название компании, другой город, услуги, которых нет. Чаще всего это остаётся от шаблона подрядчика, который делал сайт. Владелец сайта текст никогда не читал.

Как заполнить шаблон под себя: по шагам

1. Выпишите все формы на сайте и что в каждой спрашивается.
2. Для каждой формы запишите цель: зачем вам эти данные.
3. Проследите путь заявки: куда она уходит — почта, мессенджер, CRM, таблица. Каждый сервис — в политику.
4. Выпишите счётчики и виджеты: Метрика, чат, кнопки мессенджеров, онлайн-запись.
5. Решите сроки хранения по каждой цели и как вы будете удалять данные.
6. Назначьте ответственного и почту для обращений, которую он читает.
7. Подставьте всё это в шаблон, уберите лишнее.
8. Покажите юристу, если обрабатываете чувствительные данные: здоровье, данные детей, биометрию.
9. Поставьте дату редакции и обновляйте документ при каждом новом сервисе или форме.

Уведомление Роскомнадзора и что проверяют

Политика на сайте — не единственная обязанность. До начала обработки оператор уведомляет Роскомнадзор о намерении обрабатывать персональные данные — по статье 22 закона. Уведомление подаётся на портале персональных данных Роскомнадзора. Исключения узкие, и обычному сайту с формой и CRM они, как правило, не подходят.

Что важно: сведения в уведомлении и в политике должны совпадать. Цели, категории данных, место хранения, ответственный — если в уведомлении одно, а в политике другое, это видно сразу. Поэтому порядок такой: сначала разберитесь с реальной обработкой, потом пишите политику, потом подавайте или обновляйте уведомление.

Проверить, есть ли вы в реестре операторов, можно на том же портале.

Какой штраф за отсутствие политики

Ответственность — в статье 13.11 КоАП. Основные суммы для ситуаций с политикой:

Суммы приведены по редакции на дату публикации; полная таблица с примечаниями — в статье про согласие на обработку данных.

Обратите внимание: штраф за саму политику — самый маленький. Скопированная политика опасна тем, что открывает дорогу более крупным: обработке с несовпадающими целями и отсутствию нормального согласия.

Условный пример: что стоит дороже

Пример условный, не кейс студии и не юридическая консультация. ООО с сайтом услуг, три формы, заявки уходят в CRM и мессенджер, на сайте Метрика и чат. Политика скопирована у конкурента: в ней чужое название, нет CRM и чата, зато есть «передача данных партнёрам для рекламы». Отметка «Согласен с политикой» одна на все формы. Уведомления в Роскомнадзор нет.

Потенциальные риски по нижним границам: ч. 3 — 30 тыс. ₽ (документ формально чужой), ч. 2 — 300 тыс. ₽ (нет отдельного согласия), ч. 10 — 100 тыс. ₽ (нет уведомления). Итого — от 430 тыс. ₽.

Привести всё в порядок: переписать политику под свою обработку, сделать отдельные согласия у форм, подать уведомление. Это работа на несколько дней — с юристом для текстов и с разработчиком для форм.

Общий список того, что должно быть на сайте компании по закону, — реквизиты, оферта, cookie, — мы собрали в статье что должно быть на сайте по закону.

Если хотите, чтобы мы прошли по формам вашего сайта и показали, где документы расходятся с реальностью, оставьте контакты.