Политика обработки персональных данных: образец, что должно быть и куда её разместить

Политику в отношении обработки персональных данных обязан иметь и опубликовать каждый оператор — от индивидуального предпринимателя с одной формой заявки на сайте до компании с тысячами сотрудников. Это самый заметный документ по 152-ФЗ: его видно на сайте, и именно с него на проверке начинает инспектор.

Чаще всего проблема не в том, что политики нет, а в том, что она скачана типовым шаблоном, спрятана в глубине сайта или расходится с тем, что компания реально делает с данными. Разберём, что в политике обязательно, чем она отличается от смежных документов, как её правильно разместить и что грозит, если этого не сделать.

Кто обязан иметь политику и публиковать её

Обязанность вытекает из статьи 18.1 152-ФЗ. Пункт 2 части 1 относит издание документа, определяющего политику оператора в отношении обработки персональных данных, к мерам, которые оператор обязан принять. Часть 2 этой же статьи добавляет требование опубликовать документ или иным образом обеспечить к нему неограниченный доступ.

Исключений для малого бизнеса, ИП или самозанятых в законе нет. Как только вы собираете и храните фамилию и хотя бы один контакт человека — для заявки, доставки, рассылки, кадрового учёта — вы оператор персональных данных, и политика для вас обязательна. Например, мастер маникюра, который принимает записи через форму на одностраничнике и хранит телефоны клиентов в заметках, — уже оператор, и политика на его сайте должна быть.

Для операторов, которые собирают данные через сайт, статья 18.1 формулирует требование прямо: документ, определяющий политику, размещается на страницах сайта. То есть недостаточно, чтобы политика где-то существовала, — она должна быть на самом сайте, через который идёт сбор.

Политика, политика конфиденциальности и положение — что есть что

Три похожих названия регулярно путают, и на проверках это выходит боком: на сайт выкладывают не тот документ.

Политика и политика конфиденциальности — это одно и то же. «Политика в отношении обработки персональных данных» — формулировка из статьи 18.1, «политика конфиденциальности» — бытовое имя, пришедшее из зарубежной практики; в тексте 152-ФЗ его нет. На сайте можно использовать любое название — посетителю привычнее второе, — но при утверждении приказом лучше писать официальное.

Положение — как правило другой документ. Он внутренний и бывает не всегда: зачастую описывает процедуры для сотрудников — кто имеет доступ к данным, как оформляются места хранения, что делать при запросе субъекта. Небольшой оператор иногда объединяет содержание политики и положения, но публиковать на сайте нужно именно публичную часть.

Что должно быть в политике обработки персональных данных

В 2017 году Роскомнадзор выпустил Рекомендации по составлению документа, определяющего политику оператора. Дословно следовать им закон не обязывает, но инспектор сверяет политику по этой логике, и осмысленные отклонения нужно уметь объяснить. Сложившийся на практике состав политики выглядит так — девять разделов плюс практический раздел про cookie, если у оператора есть сайт.

Главный принцип — тот же, что и для согласия: каждый раздел должен отражать вашу реальную деятельность, а не усреднённую. Политика, где перечислены цели, которых у вас нет, и меры защиты, которые вы не применяете, на проверке работает против вас.

Cookie в политике: что писать и нужен ли отдельный баннер

Если сайт использует cookie, счётчики аналитики или рекламные пиксели, в политику добавляют отдельный раздел: какие cookie устанавливаются, с какой целью и как посетитель может от них отказаться через настройки браузера.

Прямого требования получать отдельное согласие на обработку cookie в 152-ФЗ нет, и cookie-баннер с галочкой не обязателен. Обязанность оператора — уведомить посетителя, что сайт использует cookie и с какой целью. Достаточно, чтобы эта информация была доступна в политике и, по желанию, в коротком уведомлении на сайте. Как оформить это технически — в техническом чек-листе для сайта.

Образец политики и почему скачанный шаблон опасен

Готовый шаблон из интернета описывает усреднённую компанию: набор целей, категорий данных и мер защиты под некий абстрактный бизнес, иногда с чужими реквизитами, оставшимися в тексте. Если эти формулировки не совпадают с тем, что реально происходит у вас, на проверке несоответствие политики реальности расценивается так же, как её отсутствие. Инспектору важно, чтобы документ описывал вашу деятельность, а не сам факт, что документ есть.

Что стоит проверить в готовом тексте, прежде чем публиковать:

• везде ли стоят ваши реквизиты — наименование, адрес, контакт для обращений;
• совпадают ли перечисленные цели с тем, зачем вы на самом деле собираете данные;
• есть ли раздел о трансграничной передаче, если вы пользуетесь зарубежными сервисами;
• стоит ли актуальная дата редакции.

Куда и как разместить политику на сайте

Требование статьи 18.1 — неограниченный доступ. На практике это означает несколько конкретных вещей.

• Доступ без условий. Политика открывается без регистрации, без ввода данных, без запроса «пришлём по почте».
• Ссылка в футере на каждой странице и отдельная страница документа — обычно по адресу вроде /policy или /privacy. С любой страницы политика должна открываться в один-два клика.
• Человекочитаемый формат. Отдельная страница, а не только PDF на скачивание. Файл допустим как дополнение, но не как единственный способ.
• Ссылка рядом с формами. У каждой формы, которая собирает данные, — ссылка на политику. Это не то же самое, что чекбокс согласия: согласие человек даёт активным действием под конкретную цель, а политика просто информирует.

Техническую часть — вёрстку футера, ссылки у форм, доступность документа — мы закрываем в рамках услуги приведения сайта в соответствие 152-ФЗ.

Политика ≠ согласие ≠ уведомление в реестр

Эти три вещи выполняют разные функции, и наличие одной не заменяет другие.

• Политика информирует всех субъектов об обработке в целом. Она ничего не «разрешает».
• Согласие — волеизъявление конкретного человека под конкретную цель.
• Уведомление — разовое информирование Роскомнадзора о том, что оператор обрабатывает данные, с описанием целей и категорий.

На проверке эти документы сверяют между собой. Цели обработки, указанные в политике, в текстах согласий и в поданном уведомлении, должны совпадать. Типичный разрыв: в политике из шаблона осталась цель «продвижение товаров и услуг», рекламной рассылки у компании нет, а в уведомлении эта цель не указана — инспектор фиксирует, что политика не отражает реальную обработку. Ещё чаще бывает наоборот: компания завела рассылку, но ни в политику, ни в уведомление новую цель не внесла.

Смежные материалы: согласие на обработку персональных данных, регистрация в реестре операторов, полный комплект документов по 152-ФЗ.

Как часто обновлять политику

Разовая публикация не закрывает вопрос навсегда. Политику обновляют при изменении процессов обработки:

• появилась новая цель обработки;
• подключили новую систему аналитики;
• сменился хостинг или начали передавать данные новому подрядчику;
• изменилось законодательство.

В спокойном режиме политику стоит пересматривать раз в год: за это время обычно накапливаются мелкие расхождения между текстом и реальностью. Каждая редакция должна иметь дату. Если вашей политике больше года, её почти наверняка стоит проверить отдельно — в 2025 году изменились правила трансграничной передачи данных, требования к согласию и размеры штрафов.

Что грозит, если политики нет или она недоступна

Ответственность установлена частью 3 статьи 13.11 КоАП РФ. С 30 мая 2025 года суммы выросли — изменения внесены Федеральным законом от 30.11.2024 № 420-ФЗ.

Ключевой нюанс: состав наказывает не только за отсутствие политики, но и за то, что она есть, но не опубликована или недоступна — лежит во внутренней папке, спрятана в глубине сайта, выдаётся по запросу. С точки зрения проверки политика без свободного доступа приравнивается к её отсутствию.

Этот штраф не поглощает другие составы: обработка без согласия (части 1 и 2 статьи 13.11) и неподача уведомления в Роскомнадзор (часть 10, до 300 000 ₽ юрлицу) — отдельные нарушения. На одной проверке суммы по разным основаниям складываются, а на практике эти нарушения почти всегда идут в связке. Реальные дела по статье 13.11 — с суммами и обстоятельствами — собраны в разделе судебной практики.

Итог

Порядок работы с политикой обработки персональных данных:

1. Понять, что политика обязательна для любого оператора — включая ИП и самозанятых.
2. Не путать публичную политику с внутренним положением об обработке данных.
3. Составить документ по сложившейся на практике структуре (около девяти разделов), каждый — под свою реальную деятельность.
4. Свести цели обработки в политике с текстами согласий и с уведомлением в реестр.
5. Опубликовать так, чтобы политика открывалась в один-два клика с любой страницы и читалась без скачивания.
6. Обновлять при каждом изменении процессов и пересматривать раз в год, проставляя дату редакции.

Если нужно быстро получить корректную политику под свои реквизиты — соберите её в бесплатном генераторе, вместе с согласием для сайта.

Читайте дальше: согласие на обработку персональных данных: образец, как заполнить и отозвать, комплект документов по 152-ФЗ: сколько документов нужно на самом деле, приведение сайта в соответствие 152-ФЗ: технический чек-лист.

Источники:

• КонсультантПлюс, Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18.1, проверено 2026-09-01
• КонсультантПлюс, КоАП РФ, ст. 13.11, проверено 2026-09-01
• Рекомендации Роскомнадзора от 31.07.2017 по составлению документа, определяющего политику оператора в отношении обработки персональных данных, проверено 2026-09-01
• Федеральный закон от 30.11.2024 № 420-ФЗ, проверено 2026-09-01