Что должно быть в политике обработки данных
Из чего закон требует собрать документ, почему чужой шаблон не закрывает обязанность, что писать про cookie и во сколько обходится отсутствие. С дословными цитатами и проверкой своего сайта за две минуты.
Опубликовать, а не просто иметь
«Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу…»
Две вещи в этой формулировке обычно пропускают. Первая: обязанность не «написать документ», а обеспечить к нему доступ. Файл, лежащий на сервере без единой ссылки, её не закрывает.
Вторая: доступ нужен на тех страницах, через которые идёт сбор. Ссылка только в подвале главной — половина дела, если формы разбросаны по разделам. Простейшее решение — поставить ссылку рядом с каждой формой, там же, где галочка согласия.
Шесть вещей, которые закон называет прямо
Пункт 2 части 1 статьи 18.1 перечисляет их одним предложением. Разложим по одному — так проще проверить свой документ.
Зачем вы собираете данные. Не «для улучшения качества услуг», а по каждому случаю: ответить на заявку, отправить заказ, перезвонить.
Что именно собираете для каждой цели: имя, телефон, почта, адрес доставки. Перечень — по каждой цели свой, а не общий список на всё.
Чьи это данные: посетители сайта, покупатели, кандидаты на работу. Разные группы — разные основания.
Как обрабатываете: с использованием средств автоматизации или без. Форма на сайте — это с использованием.
Сколько держите. Срок должен быть конечным и осмысленным: «до отзыва согласия» — это не срок, а его отсутствие.
Что делаете с данными, когда цель достигнута или согласие отозвано. Это отдельный пункт закона, и его пропускают чаще всего.
Там же стоит прямой запрет, о котором почти не помнят: такие документы не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на оператора полномочия и обязанности, не предусмотренные законодательством. То есть щедрая к себе политика — это не осторожность, а нарушение.
Что писать про файлы cookie
Отдельного закона о cookie в России нет, и отдельного документа тоже никто не требует. Но если сайт ставит счётчик посещаемости, он сохраняет у посетителя идентификатор — а идентификатор вместе с прочими сведениями позволяет отнести данные к человеку. Значит это часть того, что вы собираете, и она должна быть описана.
Достаточно раздела внутри политики, отвечающего на три вопроса:
- Какие файлы ставятся. Свои — те, что нужны сайту для работы. Чужие — счётчики и рекламные системы; их стоит назвать поимённо.
- Зачем. Запомнить сессию, посчитать посещаемость, показать рекламу. Разные цели — разные основания.
- Как отказаться. Настройки браузера — минимальный ответ; баннер с выбором — честный.
Баннер про cookie обязательным требованием закона не является — и обещать обратное мы не будем. Но он решает практическую задачу: делает видимым и момент информирования, и момент согласия, а доказывать их придётся вам.
Чем плох чужой образец
Готовый образец — нормальная отправная точка: структура у всех политик похожа, потому что её задаёт закон. Беда начинается, когда образец публикуют как есть.
Закон требует документ, определяющий политику оператора — вашу. Чужие цели обработки, чужой перечень данных и чужие реквизиты вашу политику не определяют. Это видно и человеку, и проверяющему: в тексте остаются название другой компании, ссылки на приложения, которых нет, и пункты про обработку, которой вы не занимаетесь.
Практический признак, что шаблон не доработан: в документе описаны данные, которых вы не собираете. Если у вас на сайте одна форма с именем и телефоном, а в политике перечислены паспортные данные и сведения о семейном положении — документ взят чужой и не прочитан.
Обратная ошибка встречается реже, но она хуже: собираете больше, чем описали. Тогда документ формально есть, а обязанность не выполнена — описано не то, что происходит.
Проверьте свой сайт за две минуты
Шесть вопросов. Отвечать нужно, глядя на сайт, а не по памяти: расхождение между «мы это делали» и «сейчас там» — самая частая находка.
- 1Откройте свой сайт и найдите ссылку на политику. Она должна быть на страницах, где есть формы, а не только в подвале главной.
- 2Нажмите её. Страница открывается? Не отдаёт ошибку и не ведёт на чужой домен?
- 3Найдите в тексте название своей компании или своё имя. Если там чужие реквизиты — документ не ваш.
- 4Найдите срок хранения. Он есть и он конечный?
- 5Найдите слово «cookie» или «файлы». Если сайт ставит счётчик, а в политике о них ни слова — описано не всё.
- 6Найдите порядок уничтожения данных. Этот пункт пропускают чаще остальных.
Первые два пункта видны машине снаружи. Наша проверка открывает страницу, находит ссылку на политику и пробует её открыть — заодно считает формы, где просят контакт без галочки согласия. Бесплатно и без регистрации.
Проверить свой сайтПроверка читает разметку страницы: она видит, есть ли ссылка и открывается ли документ, но не читает, что в нём написано. Остальные четыре пункта — только глазами.
Шесть ошибок, которые встречаются чаще всего
Чужой шаблон без правки
Самая частая беда, и её видно с первого взгляда: в документе остаются реквизиты другой компании, ссылки на несуществующие приложения, цели обработки, которых у вас нет. Закон требует документ, определяющий политику ОПЕРАТОРА, то есть вашу. Чужая политика вашей не является.
Политика есть, а ссылки на неё нет
Часть 2 статьи 18.1 требует не написать документ, а обеспечить к нему неограниченный доступ на страницах, где собираются данные. Файл, лежащий в папке без единой ссылки, обязанность не закрывает.
Ссылка есть, а страница не открывается
Обычное дело после переезда или смены шаблона. Со стороны это хуже отсутствия: документ обещан и недоступен. Проверяется одним нажатием, а живёт годами.
Ни слова про cookie
Если сайт ставит аналитику, идентификаторы посетителя попадают под обработку. Умолчать о них — значит описать не всё, что собираете.
Срок хранения «бессрочно»
Закон требует уничтожения по достижении цели. Документ, который обещает хранить вечно, противоречит сам себе и первому же вопросу проверяющего.
Документ ограничивает права человека
Прямой запрет в том же пункте 2: политика не может содержать положений, ограничивающих права субъектов и возлагающих на оператора полномочия, которых нет в законе. Формулировки вроде «оператор вправе передавать данные любым третьим лицам» — как раз про это.
Штраф за неопубликование
«…влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц — от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от десяти тысяч до двадцати тысяч рублей; на юридических лиц — от тридцати тысяч до шестидесяти тысяч рублей».
Сумма небольшая, и в этом её особенность: штраф выписывается за сам факт, а факт обнаруживается за минуту — достаточно открыть сайт. Рядом стоят более дорогие части той же статьи: обработка без согласия в письменной форме там, где оно требуется, обойдётся юридическому лицу от трёхсот до семисот тысяч.
Что ещё требуют от сайта
Политика — один документ из нескольких, и обычно не единственный невыполненный пункт. Согласие на обработку данных — это другая обязанность: политику вы публикуете, а согласие получаете, и одно не заменяет другого. Уведомление в Роскомнадзор подаётся до начала обработки, то есть до первой принятой заявки. Маркировка рекламы касается всех, кто размещает рекламу в интернете.
Из наших собственных разборов чужих сайтов Екатеринбурга: отсутствующая или неоткрывающаяся ссылка на политику — вторая по частоте правовая находка после формы без галочки согласия. И самая дешёвая в исправлении.
Частые вопросы о политике конфиденциальности
Да. Обязанность возникает не от количества форм, а от самого факта сбора данных через интернет. Часть 2 статьи 18.1 закона 152-ФЗ прямо говорит про оператора, который собирает персональные данные с использованием информационно-телекоммуникационных сетей, и требует опубликовать документ на страницах сайта, через которые идёт сбор.
Как основу — можно, как готовый документ — нет. Закон требует документ, определяющий политику именно вашей организации: ваши цели обработки, ваш перечень данных, ваши сроки. Шаблон с чужими реквизитами и чужими целями эту обязанность не закрывает, а на проверке работает против вас: видно, что документ никто не читал.
Это разные документы и разные обязанности. Политика — ваш публичный документ о том, как вы обращаетесь с данными; её вы публикуете. Согласие — действие человека, который разрешает обработку; его вы получаете. Одно не заменяет другого: опубликованная политика не отменяет необходимости получить согласие, и наоборот.
Отдельный документ закон не требует, но умолчать нельзя. Если сайт ставит счётчики и сохраняет идентификаторы посетителя, это часть того, что вы собираете, и она должна быть описана — проще всего разделом внутри политики: какие файлы ставятся, зачем, как отказаться.
Часть 3 статьи 13.11 КоАП: на граждан от полутора до трёх тысяч рублей, на должностных лиц от шести до двенадцати тысяч, на индивидуальных предпринимателей от десяти до двадцати тысяч, на юридических лиц от тридцати до шестидесяти тысяч. Штраф небольшой, но он выписывается за сам факт и обнаруживается за минуту — проверяющему достаточно открыть сайт.
Календарной обязанности обновлять документ раз в год нет. Обновлять нужно тогда, когда меняется то, что в нём написано: появились новые формы, новые цели, новый подрядчик, которому вы передаёте данные, сменился адрес или название. Дата в шапке документа при этом должна соответствовать последней правке, а не году, когда его нашли в интернете.
Мы не юристы и не даём правовых консультаций. На странице приведены требования действующих актов со ссылками, чтобы их можно было проверить самостоятельно: Федеральный закон от 27.07.2006 № 152-ФЗ, статья 18.1, часть 1 пункт 2 и часть 2, в редакции Федерального закона от 14.07.2022 № 266-ФЗ; Кодекс об административных правонарушениях, часть 3 статьи 13.11 в редакции Федерального закона от 24.02.2021 № 19-ФЗ. Тексты сверены 11 сентября 2026 года.