Политика обработки персональных данных для сайта: что писать и где размещать
Вы собираете на сайте телефоны и почту через форму заявки? Значит, по закону у вас должна быть политика обработки персональных данных. Без неё сайт уже нарушает 152-ФЗ, даже если вы ничего не продаёте, а просто принимаете заявки на консультацию.
Разберёмся без юридического тумана: зачем нужна политика, что в ней писать, где размещать и на чём чаще всего попадаются.
Коротко: что такое политика и зачем она нужна
Политика обработки персональных данных — это публичный документ. В нём вы объясняете посетителю, какие данные собираете, зачем, сколько храните, кому передаёте и как он может отозвать согласие.
Это не согласие. Это разные документы.
- Политика объясняет правила: как вы обращаетесь с данными.
- Согласие фиксирует, что конкретный человек с этими правилами согласился.
Одно без другого не работает. Политика должна быть на сайте всегда, даже если форм нет, но есть аналитика. Согласие — в каждой форме, где человек оставляет данные.
Требование закреплено в ч. 2 ст. 18.1 152-ФЗ: оператор обязан опубликовать политику и обеспечить к ней доступ.
> ⚠️ Политика — не единственный документ. Если сайт собирает персональные данные, оператор обязан подать уведомление в Роскомнадзор по ст. 22 152-ФЗ. Политика этого не заменяет. Проверяющий смотрит на комплект: политика, согласие, уведомление.
Что обязательно указать в политике
Минимальный рабочий набор. Без этих пунктов документ не считается полноценным.
- Кто оператор. Наименование или ФИО ИП, ИНН, адрес, электронная почта для обращений.
- Какие данные собираете. Имя, телефон, почта, адрес доставки, cookie, IP — только то, что реально собираете.
- Зачем собираете. Цели: обратный звонок, оформление заказа, доставка, рассылка, аналитика.
- Сколько храните. Конкретные сроки или условие: до отзыва согласия, до достижения цели, в течение срока действия договора.
- Кому передаёте. Курьеры, платёжные системы, хостинг, сервисы аналитики, партнёры — с указанием категорий получателей.
- Как отозвать согласие. Адрес почты или форма обращения.
- Куда подать обращение. Контакты для запросов по данным.
- Отдельный блок про cookie и аналитику. Даже если формы нет.
- Возрастное ограничение. Если аудитория включает несовершеннолетних.
Всё остальное — дополнение. Оно не заменяет эти пункты.
> 📌 Про меры защиты. Политика должна соответствовать реальным мерам по ст. 19 152-ФЗ и Приказу РКН № 996 от 27.10.2022 (оценка вреда, модель угроз). Если в политике написано «шифрование и ограничение доступа», проверяющий может спросить, чем это подтверждается. Слова должны совпадать с документами.
> ⚠️ Специальные категории и биометрия. Если вы собираете данные о здоровье, религиозных или политических убеждениях, национальности или биометрию — требования к политике иные (ст. 10 и ст. 11 152-ФЗ). Общие шаблоны к таким сайтам не применяются.
Рабочий пример — политика обработки персональных данных на этом сайте. По ней видно структуру и уровень детализации. Но копировать её один в один не стоит: у каждого оператора свои данные, цели и получатели.
Чего в политике быть не должно
Две крайности встречаются чаще всего.
Первая — политика на десять страниц с перечнем данных, которых у вас нет. Биометрия, паспортные данные, сведения о здоровье. Проверяющий сверяет список с тем, что видит на сайте, и задаёт вопросы.
Вторая — три абзаца общих слов. «Мы уважаем вашу приватность и защищаем данные». Без целей, сроков и получателей. Такой документ формально есть, но не защищает.
Лучше две страницы, где описано ровно то, что происходит на сайте. Тогда политика действительно работает.
> ❌ Политика как замена согласию. Если в форме нет отдельной галочки, а есть только ссылка на политику — это не согласие. Политика объясняет правила, но не фиксирует выбор человека.
> ❌ Согласие «по факту использования сайта». Формулировка «используя сайт, вы соглашаетесь с политикой» в 2026 году всё чаще не признаётся надлежащим согласием. Нужен осознанный выбор, а не имитация.
Где размещать политику
Требование простое: документ открывается по прямой ссылке, без регистрации и лабиринта.
На практике используют четыре места.
- Подвал каждой страницы. Ссылка «Политика обработки персональных данных».
- Рядом с каждой формой. Ссылка на политику под кнопкой «Отправить».
- Отдельный адрес вида /privacy-policy. Его удобно указывать в рекламе, договорах, карточках организаций.
- Страница контактов. Ссылка на документ ещё раз.
Если политика лежит только в PDF, добавьте HTML-версию. PDF хуже читается с телефона, не индексируется поиском и часто открывается скачиванием вместо просмотра. PDF можно оставить как копию для скачивания, но основной должна быть страница.
> 🔍 Про cookie. Политики недостаточно, если на сайте стоят счётчики и cookie. В 2026 году практика РКН и судов склоняется к тому, что cookie + IP + аналитика — это обработка персональных данных. Нужен осознанный выбор (cookie-баннер) и, как правило, уведомление в Роскомнадзор. «Молчаливое» согласие (продолжение просмотра сайта) всё чаще не признаётся надлежащим.
Как часто обновлять политику
Каждый раз, когда меняется что-то из этого списка:
- появляются новые цели обработки;
- подключаются новые сервисы или подрядчики;
- меняются реквизиты оператора;
- меняется перечень собираемых данных;
- меняется срок хранения.
Дата редакции должна стоять в документе. Старые версии можно не удалять: они подтверждают, какие правила действовали раньше. Но актуальная версия должна быть видна сразу.
> ⚠️ Несоответствие — самостоятельное нарушение. Если политика не совпадает с тем, что реально происходит на сайте (другие сервисы, подрядчики, данные), это нарушение само по себе — независимо от того, когда документ обновлялся. Проверяющий сверяет текст с сайтом.
Ошибки, которые видит проверяющий
Список собран по типовым замечаниям при проверке сайтов.
- Политика скопирована с чужого сайта: в тексте чужие ИНН, почта и виды данных.
- Ссылка «Политика» ведёт на якорь в оферте, страницу «в разработке» или файл, который не открывается.
- В политике нет контактов для обращений по данным.
- Политика есть, но дата редакции прошлогодняя, а на сайте уже другие сервисы и подрядчики.
- В политике указаны данные, которых сайт не собирает.
- Политика не упоминает cookie и аналитику, хотя метрики стоят.
- Политика и согласие — один документ. Отдельного согласия в форме нет.
- Политика есть, а уведомление в Роскомнадзор не подано.
- В политике заявлены меры защиты, которые не подтверждаются документами (нет оценки вреда, модели угроз).
Чек-лист: готова ли ваша политика
Проверьте по пунктам.
- ✅ Документ открывается по прямой ссылке без регистрации.
- ✅ Ссылка на политику есть в подвале и рядом с каждой формой.
- ✅ Указан оператор: наименование или ФИО, ИНН, адрес, почта.
- ✅ Перечислены данные, которые сайт реально собирает.
- ✅ Указаны цели обработки.
- ✅ Указаны сроки хранения.
- ✅ Указаны категории получателей данных.
- ✅ Есть порядок отзыва согласия.
- ✅ Есть контакты для обращений.
- ✅ Есть блок про cookie и аналитику.
- ✅ Стоит дата редакции.
- ✅ Документ доступен в HTML, а не только в PDF.
- ✅ Политика соответствует реальным процессам на сайте.
- ✅ Уведомление в Роскомнадзор подано (если сайт собирает данные).
- ✅ Если собираются специальные категории или биометрия — есть отдельные формулировки.
Если все пункты отмечены — политика в порядке.
Чем грозит отсутствие политики
Нарушение требований ч. 2 ст. 18.1 152-ФЗ образует состав административного правонарушения по ч. 8 ст. 13.11 КоАП РФ. Для юрлиц штраф — до 100 000 ₽; для ИП и должностных лиц суммы ниже, при повторном нарушении — строже.
Отсутствие контактов для обращений по данным — часть ненадлежащего выполнения обязанности по ст. 18.1. Оно квалифицируется в рамках той же статьи, а не как отдельная «надбавка» к штрафу.
Повторное нарушение почти всегда дороже первого. Подробнее о штрафах — в отдельной статье про штрафы за отсутствие документов на сайте.
FAQ
Политика и согласие — это одно и то же?
Нет. Политика объясняет правила обработки данных. Согласие фиксирует, что конкретный посетитель с этими правилами согласился. В форме должно быть отдельное согласие и отдельная галочка.
Нужна ли политика, если на сайте нет форм?
Да, если на сайте есть cookie и счётчики аналитики. Технические данные посетителей — это тоже обработка. Просто перечень данных в политике будет короче. И, как правило, потребуется уведомление в Роскомнадзор.
Можно ли скачать политику с другого сайта и поменять реквизиты?
Технически можно, но опасно. В чужом тексте остаются данные и формулировки, которые не совпадают с вашим сайтом. Проверяющий сверяет перечень данных и получателей с тем, что видит. Лучше сделать документ под свой сайт.
Нужна ли политика ИП на упрощёнке?
Да. Форма налогообложения не влияет на обязанности по 152-ФЗ. ИП — такой же оператор персональных данных, как и ООО.
Где взять образец политики?
Можно взять за основу типовую структуру и адаптировать под свой сайт. Рабочий пример — политика обработки персональных данных на этом сайте. Если не хотите разбираться самостоятельно, документ можно заказать под ключ.
Что делать, если политика обновлялась?
Обновить дату редакции, проверить реквизиты, подрядчиков и перечень данных. Старую версию можно сохранить как архив.
Нужно ли уведомление в Роскомнадзор, если есть политика?
Да, если сайт собирает персональные данные. Политика и уведомление — разные обязанности по 152-ФЗ. Политика публикуется на сайте, уведомление подаётся в Роскомнадзор до начала сбора данных.
Итог
Политика обработки персональных данных — обязательный документ для любого сайта, который собирает данные или ставит cookie. В ней должны быть оператор, данные, цели, сроки, получатели, контакты и дата редакции. Документ размещают в подвале, рядом с формами и по прямой ссылке вида /privacy-policy.
Главное — не количество страниц, а совпадение документа с реальностью. Проверяющий сверяет данные и реквизиты с тем, что видит на сайте.
Хотите проверить, всё ли в порядке с документами на вашем сайте? Пройдите проверку сайта — она покажет, какие пункты остались красными.
————————————————————————
Материал носит информационный характер и не заменяет юридическую консультацию. Суммы и формулировки актуальны на 18 октября 2026 года. Перед применением сверяйтесь с 152-ФЗ и КоАП РФ. Как устроены условия работы на этом сайте, описано в разделе условия оказания услуг.