Политика конфиденциальности — обязательный документ почти для любого коммерческого сайта: формы заявок, корзина, подписка и даже Яндекс Метрика означают обработку персональных данных. Роскомнадзор проверяет наличие политики одной из первых, а ошибки в ней показывают, что и остальные требования 152-ФЗ не выполнены. Ниже — когда политика обязательна, где её разместить, из чего она состоит, чем отличается от согласия, как описать cookie и аналитику, типичные ошибки шаблонов и штрафы.
Юрист по персональным данным: пакет документов для сайта →
Когда политика обязательна
Обязанность опубликовать документ, определяющий политику в отношении обработки персональных данных, есть у каждого оператора (ч. 2 ст. 18.1 Закона № 152-ФЗ). Оператор, который собирает данные через интернет, публикует политику на страницах своего сайта, через которые идёт сбор. Сайт собирает персональные данные, если на нём есть:
- форма заявки, обратного звонка, записи или расчёта;
- корзина и оформление заказа, личный кабинет, регистрация;
- подписка на рассылку, онлайн-чат, виджеты мессенджеров;
- форма отклика на вакансию;
- сервисы аналитики и рекламные пиксели, которые собирают идентификаторы посетителей.
ИП — тоже оператор, и для него в ч. 3 ст. 13.11 КоАП установлен отдельный размер штрафа.
Где разместить политику
Закон требует публикации на страницах сайта, с использованием которых осуществляется сбор, и доступа к документу средствами сети (ч. 2 ст. 18.1). На практике это ссылка в подвале каждой страницы и ссылка рядом с каждой формой. Политика должна открываться без регистрации и быть доступной для чтения.
- Отдельная страница, например
/privacy, со ссылкой в подвале всех страниц. - Ссылка на политику рядом с каждой формой, где вводят данные: заявка, заказ, регистрация, подписка, чат.
- Под формой — отдельная галочка согласия на обработку персональных данных со ссылкой на текст согласия; не проставлена заранее.
- Для рассылки — ещё одна отдельная галочка (см. статью о согласии на рекламную рассылку).
- Если используете Яндекс Метрику, пиксели и cookie — баннер с выбором и описание в политике.
Что должно быть в политике
Закон не утверждает единую форму политики, но перечисляет, что должно определяться в документах оператора: для каждой цели обработки — категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения (п. 2 ч. 1 ст. 18.1). Политика не может ограничивать права субъектов данных. Структура, которая закрывает эти требования:
| Раздел политики | Что написать |
|---|---|
| Оператор | Наименование или ФИО ИП, ИНН, ОГРН, адрес, контакты для обращений по персональным данным |
| Цели обработки | Каждая цель отдельно: обработка заявок, исполнение договора, рассылка, аналитика сайта, подбор персонала |
| Категории данных и субъектов по каждой цели | Какие данные (имя, телефон, e-mail, IP, cookie) и чьи (клиенты, посетители, соискатели) |
| Правовые основания | Согласие, договор с субъектом, исполнение закона — по каждой цели |
| Действия и способы обработки | Сбор, запись, хранение, передача; с использованием средств автоматизации или без |
| Сроки обработки и хранения, порядок уничтожения | Сколько храните данные по каждой цели и как удаляете |
| Передача третьим лицам | Хостинг, CRM, сервисы рассылок, службы доставки, платёжные сервисы, сервисы аналитики |
| Права субъектов | Получить сведения, уточнить, удалить, отозвать согласие; куда и как обратиться |
| Меры защиты | Организационные и технические меры: доступы, пароли, шифрование, ответственный |
Главное правило: политика описывает то, что действительно происходит с данными на вашем сайте. Если заявки уходят в CRM, а письма — через сервис рассылок, это должно быть в разделе о передаче. Пример структуры — политика на нашем сайте.
Политика и согласие — разные документы
Политика рассказывает, как компания обрабатывает данные. Согласие — основание обработки там, где закон его требует. С 1 сентября 2025 года согласие должно быть оформлено отдельно от иных информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 Закона № 152-ФЗ, изменения внесены Законом № 156-ФЗ). Поэтому:
- текст согласия — отдельный документ или отдельный блок, а не пункт политики или оферты;
- галочка согласия — отдельная от галочки «ознакомлен с офертой» и не проставлена заранее;
- для рекламной рассылки — своя галочка; подробнее в статье «Согласие на рекламную рассылку».
Не для всякой обработки нужно согласие: если данные нужны для исполнения договора с человеком, основанием служит сам договор (ч. 1 ст. 6 Закона № 152-ФЗ). Это тоже стоит отразить в политике по каждой цели.
Cookie, Метрика и пиксели
Сервисы аналитики и рекламы собирают IP-адреса, идентификаторы браузера и устройства, историю действий на сайте и передают их владельцу сервиса. Безопасный подход: описать в политике цель «аналитика и улучшение сайта», состав собираемых данных и сервисы, а на сайте показывать cookie-баннер с выбором — принять все cookie или только необходимые. Если пиксели передают данные иностранным компаниям, это может оказаться трансграничной передачей с отдельными требованиями закона.
Типичные ошибки
- Чужой шаблон без правки. В политике нет вашей CRM, рассылки или сервиса доставки — документ противоречит реальности.
- Согласие спрятано в политике. С сентября 2025 года это не работает.
- Нет сроков хранения. «До достижения целей» без конкретики — частое замечание.
- Политика есть, но не на тех страницах. Ссылка только в подвале главной, а формы — на лендингах без ссылки.
- Политика не совпадает с уведомлением в Роскомнадзор. Разные цели и состав данных — повод для вопросов.
Штрафы
За невыполнение обязанности опубликовать политику или обеспечить к ней доступ — ч. 3 ст. 13.11 КоАП: для граждан — 1 500–3 000 ₽, для должностных лиц — 6 000–12 000 ₽, для ИП — 10 000–20 000 ₽, для юридических лиц — 30 000–60 000 ₽. Половинная оплата штрафа для ст. 13.11 не предусмотрена (ч. 1.3-3 ст. 32.2 КоАП). Сам штраф невелик, но проверка редко ограничивается политикой: обработка без согласия там, где оно нужно, — ч. 2 ст. 13.11, для организации до 700 000 ₽, а утечки наказываются оборотными штрафами. Обзор всех санкций — в статье «Персональные данные для бизнеса в 2026 году», порядок уведомления Роскомнадзора — в статье «Как подать уведомление в Роскомнадзор».
Политика нужна и для договоров: в публичной оферте на сайте обычно ссылаются на неё в разделе о персональных данных.
Подготовим документы для сайта. Оставьте заявку на странице юриста по персональным данным или напишите нам в Telegram @lawyerchepik.
Частые вопросы
Обязательно ли размещать политику конфиденциальности на сайте?
Да, если сайт собирает персональные данные: формы заявок и заказов, регистрация, подписка, онлайн-чат. Оператор, который собирает данные через интернет, обязан опубликовать политику обработки персональных данных на страницах сайта, через которые идёт сбор, и обеспечить к ней доступ (ч. 2 ст. 18.1 Закона № 152-ФЗ).
Какой штраф за отсутствие политики на сайте?
По ч. 3 ст. 13.11 КоАП: для граждан — 1 500–3 000 ₽, для должностных лиц — 6 000–12 000 ₽, для ИП — 10 000–20 000 ₽, для юридических лиц — 30 000–60 000 ₽. Скидка 50% за быструю оплату к штрафам по ст. 13.11 не применяется (ч. 1.3-3 ст. 32.2 КоАП). Обычно отсутствие политики выявляют вместе с другими нарушениями, штрафы за которые выше.
Можно ли скачать готовый образец политики?
Можно взять структуру, но не текст целиком. Политика должна описывать ваши реальные цели, данные, сроки и сервисы: если в ней нет CRM, куда уходят заявки, или рассылки, которую вы делаете, документ не защищает, а показывает проверяющему расхождение. Пример структуры — политика на нашем сайте.
Нужно ли согласие, если есть политика?
Это разные документы. Политика описывает, как компания обрабатывает данные. Согласие — волеизъявление человека, когда оно является основанием обработки. С 1 сентября 2025 года согласие оформляется отдельно от иных документов, которые человек подтверждает (ч. 1 ст. 9 Закона № 152-ФЗ), поэтому «соглашаясь с политикой, вы даёте согласие» больше не годится.
Нужно ли упоминать Яндекс Метрику и cookie?
Да, если сайт их использует. Сервисы аналитики собирают IP-адреса, идентификаторы устройств и поведение на сайте, а данные передаются владельцу сервиса. В политике укажите цель (аналитика, улучшение сайта), состав данных, сервисы и сроки, а на сайте дайте посетителю выбор в cookie-баннере.
Нужно ли подавать уведомление в Роскомнадзор?
Как правило, да: оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные, за исключением случаев, перечисленных в ч. 2 ст. 22 Закона № 152-ФЗ. Политика и уведомление должны совпадать по целям и составу данных. Порядок подачи — в статье «Как подать уведомление в Роскомнадзор».
Итог
Политика конфиденциальности обязательна для сайта, который собирает персональные данные, и должна быть доступна на каждой странице с формой. Она описывает реальные цели, данные, сроки, сервисы и права посетителей, а согласие с сентября 2025 года оформляется отдельно. Штраф за отсутствие политики для компании — 30 000–60 000 ₽, но главный риск в том, что вместе с ней проверяют и остальные требования 152-ФЗ.
Политику, согласия и формы на сайте удобно поддерживать в актуальном виде на абонентском обслуживании — от 15 000 ₽ в месяц.
Нормы сверены 21 октября 2026 года по ст. 6, 9, 18.1, 22 Федерального закона № 152-ФЗ, Федеральному закону № 156-ФЗ и ст. 13.11, 32.2 КоАП РФ в действующих редакциях. Статья носит справочный характер и не заменяет консультацию по конкретной ситуации.
