Политика обработки персональных данных это документ, в котором компания открыто рассказывает, какие сведения о людях она собирает, зачем, на каком основании, кому передает и сколько хранит. На сайтах его обычно называют политикой конфиденциальности. Иметь такой документ обязан любой оператор, а если данные собираются через сайт, политику публикуют на тех страницах, где идет сбор.
Ниже разберем, из каких разделов состоит политика, где именно на сайте нужны ссылки на нее, какие ошибки встречаются чаще всего и на что способен бесплатный генератор. В конце чек-лист, по которому можно проверить свою политику за десять минут.
Материал актуален на 22 октября 2026 года. Нормы сверены с Законом № 152-ФЗ в редакции от 26.07.2026 и КоАП РФ в редакции от 04.08.2026.
Политика конфиденциальности и политика обработки данных: это одно и то же?
Для Закона № 152-ФЗ да. В законе этот документ называется длинно: документ, определяющий политику оператора в отношении обработки персональных данных (часть 2 статьи 18.1). На сайтах его чаще называют политикой конфиденциальности, просто потому что так привычнее.
Название роли не играет. Важно содержание: документ должен описывать, как вы работаете с данными людей. Если под заголовком «Политика конфиденциальности» написано только о защите коммерческой тайны, задачу политики по 152-ФЗ он не выполняет.
Политику часто путают с согласием на обработку данных. Это разные документы: политика рассказывает правила всем, согласие дает конкретный человек для конкретной цели. Подробно мы разобрали это в статье чем политика конфиденциальности отличается от согласия.
Кто обязан иметь политику и где ее разместить
Политика нужна любому оператору: компании, индивидуальному предпринимателю, самозанятому. Размер бизнеса значения не имеет. Если вы сами решаете, зачем и какие данные собирать, вы оператор, а значит, политика нужна и вам.
Закон требует два действия:
- Обеспечить свободный доступ к политике для всех желающих.
- Если данные собираются через интернет, опубликовать политику на тех страницах сайта, через которые идет сбор, вместе со сведениями о мерах защиты данных.
На практике это значит, что одной ссылки в подвале мало. Ссылка нужна рядом с каждой точкой, где человек вводит свои данные.
- Обратный звонок
- Заявка на консультацию
- Квиз с контактом в конце
- Подписка на рассылку
- Корзина и оформление заказа
- Регистрация и вход
- Личный кабинет
- Ссылка на политику
- Ссылка на текст согласия
- Ссылка на раздел о cookie и аналитике
Отсутствие политики или ссылка, которая никуда не ведет, стоят первыми в списке типичных нарушений, которые Роскомнадзор назвал на Дне открытых дверей 14 августа 2026 года (отчет о мероприятии). Такие ошибки видны снаружи, без всякого запроса к компании.
Из каких разделов состоит политика
Строгого шаблона закон не задает. Но из статьи 18.1 и остальных норм складывается понятный набор разделов. Политика, в которой они есть и описывают ваш реальный бизнес, отвечает на все вопросы посетителя и проверяющего.
| Раздел | Что в нем написать | На что обратить внимание |
|---|---|---|
| Кто оператор | Название или ФИО предпринимателя, ИНН, ОГРН или ОГРНИП, адрес, email для обращений | Данные должны совпадать с подвалом сайта и записью в реестре Роскомнадзора |
| Цели обработки | Каждую цель отдельно: ответ на заявку, исполнение договора, рассылка, кадровый учет | Общие слова вроде «для улучшения сервиса» целью не считаются |
| Данные по каждой цели | Чьи данные, какие именно, на каком основании, что с ними делают и сколько хранят | Удобнее всего таблицей: одна строка на одну цель |
| Кому передаются данные | Подрядчики, которые работают по вашему поручению: CRM, хостинг, доставка, рассылка, бухгалтерия | Фраза «мы никому не передаем данные» почти всегда неправда |
| Где хранятся данные | Что базы с данными граждан России находятся в России, есть ли передача за рубеж и в какие страны | Это проверяют вместе с уведомлением в Роскомнадзор |
| Cookie и аналитика | Какие счетчики и пиксели стоят на сайте, зачем они, как от них отказаться | Если сайт использует Метрику, о ней нужно рассказать |
| Права людей | Как узнать, какие данные о человеке хранятся, исправить их, отозвать согласие, пожаловаться | Укажите понятный канал: email или форму |
| Меры защиты | Какие меры вы применяете: ограничение доступа, пароли, резервные копии, обучение сотрудников | Пишите только то, что действительно делаете |
| Дата редакции | С какого дня действует текст и как вы сообщаете об изменениях | Без даты непонятно, какую версию видел человек |
Самый важный раздел третий. Закон требует, чтобы для каждой цели были определены категории людей, перечень данных, способы обработки, сроки хранения и порядок уничтожения (пункт 2 части 1 статьи 18.1). Вот как может выглядеть такой блок для одной цели:
Писать цели конкретно непросто, особенно в первый раз. Подробное руководство есть в статье о целях обработки персональных данных.
Как из процессов получается политика
Политику пишут в последнюю очередь, когда понятно, как бизнес на самом деле работает с данными. Если начать с текста, получится документ о какой-то другой компании.
- Карта процессов где появляются данные людей: формы, звонки, мессенджеры, CRM, бухгалтерия, кадры
- Цели и основания для каждого процесса: зачем нужны данные и на каком основании закон разрешает с ними работать
- Таблица по целям люди, данные, действия, подрядчики, сроки хранения и удаления
- Текст политики короткие разделы простым языком по таблице
- Публикация и ссылки отдельная страница, ссылки у каждой формы и в подвале
- Обновление новая CRM, новая форма, новый подрядчик: правим политику и дату редакции
Генератор и шаблон: что они умеют и чего не знают
Бесплатных генераторов политики много, некоторые встроены прямо в конструкторы сайтов. Они спрашивают название компании, адрес сайта, пару целей и выдают готовый текст. Как черновик это нормально. Как готовый документ почти никогда.
Мы разобрали образец, который выдает один из популярных бесплатных генераторов, и нашли типичные проблемы:
- текст обещает, что данные не передаются третьим лицам, кроме случаев, которые требует закон, или с согласия человека. У бизнеса с CRM, доставкой или рассылкой данные уходят подрядчикам каждый день, и об этом нужно писать прямо;
- в тексте сказано, что за сторонние сервисы владелец сайта не отвечает. Закон говорит обратное: за подрядчика, которому поручена обработка, перед человеком отвечает оператор (часть 5 статьи 6);
- среди оснований обработки предлагается устав компании, хотя в законе такого основания нет;
- про cookie, счетчики и пиксели нет ни слова;
- сроки хранения сформулированы общей фразой «до достижения целей», без конкретики.
Сам генератор честно предупреждает, что не гарантирует соответствие текста закону и что риски, связанные с данными посетителей, несет владелец сайта. Это нормальное предупреждение для инструмента. Просто его стоит прочитать до того, как публиковать результат.
| Шаблон или генератор | Политика под ваши процессы | |
|---|---|---|
| Цели | Общие, из списка | Ваши реальные процессы, каждая отдельно |
| Подрядчики | Не названы или обещано, что их нет | Названы те, кому вы действительно передаете данные |
| Cookie и аналитика | Часто отсутствуют | Описаны сервисы, которые стоят на сайте |
| Сроки | «До достижения целей» | Конкретный срок для каждой цели |
| Связь с другими документами | Никакой | Совпадает с согласием, уведомлением в Роскомнадзор и формами |
| Кто отвечает за текст | Вы, генератор от ответственности отказывается | Вы, но текст описывает то, что вы делаете |
Частые ошибки в политике
Вот что мы видим чаще всего, когда проверяем сайты:
- Ссылка на политику есть только в подвале, а под формами ее нет. Закон требует публиковать политику на страницах, где идет сбор данных.
- Ссылка ведет на несуществующую страницу: сайт переехал, адрес поменялся, а ссылку никто не проверил.
- Политика написана для другой компании. Текст скопирован с чужого сайта, и в нем остались чужое название или чужие сервисы.
- Политика обещает никому не передавать данные, хотя заявки уходят в CRM, рассылку и мессенджер менеджера.
- О cookie и аналитике нет ни слова, хотя на сайте стоят Метрика и пиксели.
- Согласие спрятано внутри политики. С сентября 2025 года согласие оформляют отдельно от других документов, поэтому глава «Согласие» внутри политики его не заменяет.
- У политики нет даты редакции, и непонятно, какой текст действовал, когда человек оставил заявку.
- Данные хранятся бессрочно, хотя закон разрешает хранить их не дольше, чем этого требуют цели (статья 5).
Сколько стоит отсутствие политики
Если политики нет или к ней нет свободного доступа, это часть 3 статьи 13.11 КоАП. Штраф по ней самый скромный среди нарушений, которые видны на сайте. Но проверка редко заканчивается одной политикой: сайт без политики обычно оказывается и без правильных согласий, и без уведомления в Роскомнадзор.
Статья 13.11 КоАП РФ, суммы для юридических лиц в рублях
- Нет политики или к ней нет доступа ч. 3 30–60 тыс. ₽ 30–60 тыс. ₽
- Не подано уведомление в Роскомнадзор ч. 10 100–300 тыс. ₽ 100–300 тыс. ₽
- Обработка без законного основания ч. 1, например форма без согласия 150–300 тыс. ₽ 150–300 тыс. ₽
- Нет письменного согласия, где оно обязательно ч. 2 300–700 тыс. ₽ 300–700 тыс. ₽
По части 3 индивидуальному предпринимателю грозит от 10 000 до 20 000 рублей, самозанятому без статуса ИП от 1 500 до 3 000 рублей. Как выросли остальные штрафы после 30 мая 2025 года, показано на странице статистики штрафов.
Чек-лист: проверьте свою политику
Пройдитесь по списку. Если где-то ответ «нет» или «не знаю», это повод открыть политику и поправить.
- Политика лежит на отдельной странице сайта и открывается без ошибок.
- Ссылка на нее есть рядом с каждой формой, в корзине и при регистрации.
- Ссылка есть в подвале сайта.
- Название компании, ИНН и адрес совпадают с подвалом и записью в реестре Роскомнадзора.
- Каждая цель описана отдельно: чьи данные, какие, на каком основании, сколько хранятся.
- Названы подрядчики, которые получают данные: CRM, хостинг, рассылка, доставка.
- Указано, что базы с данными граждан России находятся в России, и есть ли передача за рубеж.
- Описаны cookie, Метрика и другие счетчики, которые стоят на сайте.
- Есть понятный канал для обращений и отзыва согласия.
- Указана дата редакции.
- Согласие на обработку оформлено отдельным документом, вне текста политики.
Что сложно сделать самому
Политика выглядит как текст, который можно написать за вечер. На деле это итог работы с процессами, и самые трудные места находятся вне документа.
- Сначала нужна карта процессов: все места, где появляются данные людей. Это формы, мессенджеры, звонки, бухгалтерия, кадры, подрядчики, и о части из них владелец бизнеса обычно просто не помнит.
- Для каждой цели нужно определить основание: договор, закон или согласие. От этого зависит, нужна ли галочка под формой.
- Политика, тексты согласий, уведомление в Роскомнадзор и формы на сайте должны описывать одно и то же. Расхождения проверяющий замечает в первую очередь.
- Придется выяснить, где хранят данные CRM, почта и конструктор сайта и есть ли передача за рубеж. Без этого раздел о хранении данных пишется вслепую.
- Политику нужно поддерживать в актуальном виде. Новая форма, новый подрядчик или новый счетчик меняют ее содержание, и без ответственного документ устаревает за несколько месяцев.
На бесплатном аудите обработки персональных данных мы сверяем политику с формами, сервисами и уведомлением в Роскомнадзор и показываем, что поправить в первую очередь.