Вопрос «нужна ли нам политика» обычно решают по аналогии: у всех есть, значит надо. Закон отвечает точнее, и в его ответе есть развилка, которую в пересказах теряют: обязанностей две, и адресованы они разным лицам.
Сначала о названии
Документ, который в обиходе называют политикой конфиденциальности, закон называет документом, определяющим политику оператора в отношении обработки персональных данных. Разница видна и в спросе: по правильному названию запросов на порядок больше. «Политика обработки персональных данных» набирают 550 раз в месяц, «политика конфиденциальности персональных данных» — 8.
Это не педантизм: по обиходному имени чаще находятся переводные шаблоны, а по правильному — документы под российский закон. Что должно быть внутри, разобрали по пунктам.
Кто такой оператор
Обязанность привязана не к тому, есть ли у вас сайт, а к роли:
- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 3 п. 2. Сверено 18.09.2026, редакция от 26.07.2026.
Обратите внимание: в перечне есть физическое лицо. Форма лица здесь не критерий, критерий — определяете ли вы, зачем и какие данные собираются. Тот, кто поставил на сайт форму заявки и решил, какие поля в ней будут, эту роль и занял.
Кого закон не касается вовсе
Одно исключение, которое действительно работает:
- Действие настоящего Федерального закона не распространяется на отношения, возникающие при: 1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 1 ч. 2 п. 1. Сверено 18.09.2026, редакция от 26.07.2026.
Ключевое слово «исключительно». Личный блог без форм и без заявок сюда попадает. Сайт, через который приходят обращения клиентов, — нет, даже если владелец физическое лицо и клиентов у него трое.
Две обязанности, и они адресованы разным лицам
Вот та развилка, ради которой статья написана. Первая обязанность:
- издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18.1 ч. 1 п. 2. Сверено 18.09.2026, редакция от 26.07.2026.
Читается буквально: издать документы обязан оператор, являющийся юридическим лицом. Это адресная норма, и в ней прямо названа форма лица.
Вторая обязанность сформулирована иначе:
Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18.1 ч. 2. Сверено 18.09.2026, редакция от 26.07.2026.
Здесь про форму лица не сказано ни слова. Условие другое: сбор данных через сеть. То есть публиковать обязан любой оператор, который собирает данные через сайт, а не только организация.
Что это значит для предпринимателя
Из двух норм выходит, что у индивидуального предпринимателя положение промежуточное: обязанность издавать локальные акты адресована юридическим лицам, а обязанность опубликовать документ — оператору, собирающему данные через сеть, без оговорки про форму.
Косвенное, но сильное подтверждение даёт ответственность. В части 3 статьи 13.11 КоАП за неопубликование политики предусмотрена отдельная строка именно для предпринимателей: от 10 до 20 тысяч рублей, между должностными лицами и организациями. Законодатель отдельно назвал их среди тех, кого наказывают за отсутствие опубликованного документа.
Полный разбор штрафов и того, что изменилось в 2025 и 2026 годах, в отдельной статье.
Проверка за три вопроса
Чтобы не гадать по аналогии, ответьте на три вопроса по своему сайту.
Собираются ли через сайт данные людей. Форма заявки, регистрация, подписка, обратный звонок, чат — всё это сбор. Аналитика, различающая посетителей, тоже требует отдельного разбора.
Определяете ли вы, зачем и какие данные собирать. Если да, вы оператор по пункту 2 статьи 3, независимо от формы лица.
Это не исключительно личные и семейные нужды. Коммерческий сайт под исключение из части 2 статьи 1 не подпадает.
Три «да» означают, что документ должен быть опубликован там, где идёт сбор, — именно на этих страницах, а не только в подвале главной.
Чего мы не делаем
Мы агентство, а не юридическая фирма: тексты политик не составляем и соответствие вашей обработки данных закону не оцениваем. Различие между двумя обязанностями выше показано по тексту норм; как его читает надзорный орган в конкретной проверке, мы не знаем и не предсказываем.
Наша часть техническая и проверяемая: опубликован ли документ на страницах, через которые идёт сбор, открывается ли он без регистрации, виден ли поисковому роботу и ведут ли на него формы. Это можно посмотреть бесплатной проверкой за минуту.
Нормы сверены 18 сентября 2026 года по редакции закона от 26 июля 2026 года.
Коротко
Оператор определяется по роли, а не по форме лица: решаете, зачем и какие данные собирать, — вы оператор. Издать документы обязан оператор, являющийся юридическим лицом. Опубликовать документ обязан любой оператор, собирающий данные через интернет, и для предпринимателей в КоАП есть отдельная строка штрафа за неопубликование. Не касается закон только обработки физическими лицами исключительно для личных и семейных нужд.