Политика конфиденциальности для сайта: что в ней должно быть

Политика конфиденциальности для сайта нужна каждому, кто собирает данные посетителей, — кроме человека, который делает это исключительно для личных и семейных нужд. Данные — это имя и телефон в форме заявки, адрес для рассылки, данные о визите через счётчик аналитики. Штраф за её отсутствие для компании — 30 000 – 60 000 ₽, и это одно из немногих нарушений закона о персональных данных, которое видно снаружи: проверяющему достаточно открыть сайт и не найти документ.

Дальше — что именно требует закон, из каких блоков состоит документ, откуда берут текст и во что это обходится, а также как за 10 минут проверить то, что принёс подрядчик.

01Что требует закон и чего он не требует

Обязанность живёт в статье 18.1 закона № 152-ФЗ. Часть 2 звучит так:

«Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных».

Второе предложение той же части отдельно говорит про интернет: оператор, который собирает данные через сеть, публикует в ней и сам документ, и сведения о реализуемых требованиях к защите данных, и обеспечивает возможность доступа к ним. Практический вывод: если у вас сайт с формой, документ лежит на этом сайте, а не в папке у бухгалтера.

Оператор в этой конструкции — вы, владелец сайта. Студия, которая его собрала, и платформа, на которой он стоит, обычно обрабатывают данные по вашему поручению — оно оформляется договором по части 3 статьи 6. Перед человеком за их действия отвечает оператор, то есть вы: так сказано в части 5 той же статьи. Обработчик отвечает перед вами по договору, а перед регулятором — за собственные нарушения.

Отсюда же ответ на вопрос, который ищут отдельно: политика конфиденциальности без сайта. Опубликовать документ обязан любой оператор, а делать это именно в интернете — только тот, кто собирает данные через интернет. Способ закон не описывает — важен результат: доступ не ограничен кругом лиц. На практике это информационный стенд в месте приёма клиентов, экран мобильного приложения, страница в стороннем сервисе. Для того, кто собирает данные через сайт, это не замена: ему закон прямо предписывает публикацию в сети.

Ещё одна путаница — в названии. «Политика конфиденциальности» пришла из англоязычной практики, в законе документ называется иначе: политика в отношении обработки персональных данных. Это одно и то же, но если хочется совпадать с формулировкой закона дословно, лучше второе название.

А вот чего в законе нет — так это перечня разделов публикуемой политики. Содержательный список в пункте 2 части 1 статьи 18.1 есть, но адресован он локальным актам: это внутренние документы оператора, публиковать их не нужно. Про сам публикуемый документ закон говорит «опубликовать» и не говорит «состоящий из таких-то разделов». Из-за этого рынок и наполнен образцами, которые формально считаются политикой и при этом ничего не сообщают о вашей обработке.

02Что разбирают 9 статей из топа, а чего в них почти нет

Я открыл 9 статей, которые поиск показывает по запросам «политика конфиденциальности для сайта», «нужна ли политика конфиденциальности на сайте» и «политика конфиденциальности образец», и проверил каждую по 10 пунктам. Считал только то, что написано в тексте самой статьи; упоминание засчитывал наравне с разбором, а по строке о рекомендациях — только рекомендации самого Роскомнадзора, а не других органов и структур.

Картина перекошенная. Про место ссылки и про cookies пишут все 9, про то, откуда вообще взялась обязанность, — 1 статья. Про то, что делать человеку, который документ не составляет сам, а принимает работу подрядчика, — тоже 1.

Это объяснимо: топ написан для того, кто садится писать политику своими руками. Но заказчик чаще оказывается в другой ситуации — документ ему уже принесли, и вопрос у него не «как составить», а «этим можно пользоваться или нет».

03Штраф 30 000 – 60 000 ₽ и почему в топе стоят разные цифры

Отсутствие политики или недоступность её текста — отдельный состав в части 3 статьи 13.11 КоАП. Действующие суммы:

В 8 статьях из 9 штраф назван, но суммы для компании расходятся вчетверо: где-то 15 000 – 30 000 ₽, где-то 30 000 – 60 000 ₽, где-то 60 000 – 100 000 ₽. Первая цифра — из редакции, которая действовала до 27 марта 2021 года. Третья — из старой редакции части 1, то есть вообще про другое нарушение. Действующая часть 3 приведена к нынешним суммам законом от 24 февраля 2021 года № 19-ФЗ, и поправки, вступившие в силу 30 мая 2025 года, её не тронули.

Сама по себе сумма небольшая. Опасна она соседством. Рядом в той же статье стоят: обработка данных в случаях, не предусмотренных законом, — часть 1, 150 000 – 300 000 ₽ для компании; обработка без письменного согласия там, где закон требует именно письменной формы, — часть 2, 300 000 – 700 000 ₽; неподанное уведомление в Роскомнадзор — часть 10, ещё 100 000 – 300 000 ₽. Проверяется это быстро: первые три состава видны на одной странице сайта, а поданное уведомление — в публичном реестре операторов. Мы разбирали, сколько галочек должно стоять под формой заявки и что писать рядом с ними, — согласие и политика чинятся вместе.

04Шесть блоков, которые рекомендует Роскомнадзор

Раз состав документа закон не задаёт, ориентиром служат рекомендации Роскомнадзора от 31 июля 2017 года по составлению документа, определяющего политику оператора. Документ рекомендательный: проверяют соблюдение самого 152-ФЗ, а рекомендации дают понятный каркас, по которому удобно собрать текст и ничего не забыть.

Последняя строка — самая практичная. Субъект данных, то есть человек, чьи данные вы обрабатываете, вправе спросить, что вы о нём знаете, и потребовать удалить. Если в политике не указано, куда обращаться, запрос придёт куда угодно — в комментарии, на общий ящик, в Роскомнадзор.

05Политику публикуют, согласие получают, соглашение заключают

Три документа путают чаще всего, и путаница стоит денег: закрыв одну обязанность, владелец сайта считает закрытыми все три.

Политика — односторонний документ оператора. Вы публикуете его для всех и никого не спрашиваете, согласен ли он. Основание — статья 18.1.

Согласие — действие конкретного человека в отношении своих данных. Обработка на его основании разрешена пунктом 1 части 1 статьи 6, требования к самому согласию собраны в статье 9. Галочка «ознакомлен с политикой конфиденциальности» согласием не является: ознакомление с документом и разрешение обрабатывать данные — разные вещи.

Пользовательское соглашение — договор между вами и посетителем о том, как он пользуется сервисом: что можно, что нельзя, кто за что отвечает. К персональным данным отношения не имеет, законом не требуется, но для сервисов с личным кабинетом полезно.

06Нужен ли в политике отдельный раздел про cookies

Отдельного раздела закон не требует — cookies попадают в политику как один из способов сбора данных. На практике их всё же выносят в отдельный блок, потому что так проще показать посетителю три вещи: какие файлы вы ставите, зачем и как от них отказаться.

Вопрос про баннер согласия и про то, для каких cookies разрешение действительно нужно, — соседний, и разбирали мы его в статье про согласие. Здесь важно другое: если на сайте стоит Яндекс Метрика или любой другой счётчик, в политике он должен быть назван. Счётчик собирает данные о визите независимо от того, заполнил человек форму или просто зашёл почитать.

07Откуда берут текст и во что это обходится

Способов три, и они различаются не качеством, а тем, кто отвечает за расхождения с вашим сайтом.

Бесплатный генератор или конструктор. Такие есть у платформ и у профильных сервисов: вы отвечаете на несколько вопросов и получаете текст. Годится как каркас. Слабое место в том, что генератор описывает типовую обработку, а не вашу: он не знает, что заявки уезжают в конкретную CRM, а рассылка идёт через конкретный сервис.

Юрист. Рыночная вилка на отдельный документ — от 15 000 ₽ и срок 1–3 дня у одних, от 50 000 ₽ и срок 3–20 дней у других, дальше цена растёт вместе с пакетом локальных актов. Разброс большой, поэтому сравнивать предложения имеет смысл по составу: один документ, комплект с согласиями и положениями или сопровождение с уведомлением в Роскомнадзор.

Подрядчик, который делает сайт. Юридическая обвязка — не отдельная услуга, а строка в смете наравне с доменом и тарифом. Сюда же попадает то, чего генератор не сделает: связать текст с реальными формами, поставить ссылки в подвале и рядом с формой, проверить, куда уходят заявки.

Если разбираться с этим некогда, разумно отдать вопрос целиком — сопровождение сайта с документами и формами обычно закрывает и текст, и его размещение, и проверку форм за один заход.

08Семь мест, где скачанный образец расходится с вашим сайтом

Смотреть их стоит и в своём документе, и в том, который принёс подрядчик. Проверка идёт сверкой двух окон: политика и сайт рядом.

1. Реквизиты оператора. Наименование, ИНН, адрес, контакты. Чужие реквизиты встречаются чаще, чем кажется: достаточно поискать в интернете кусок фразы из документа и посмотреть, у скольких сайтов он совпадает.
2. Цели. По каждой форме своя. Заявка на расчёт, подписка на рассылку и запись на встречу — три разные цели, а не одна «обратная связь».
3. Состав данных. Перечень должен совпадать с полями ваших форм. Есть поле «компания», а в политике его нет — документ описывает не ваш сайт.
4. Получатели данных. CRM, сервис рассылок, коллтрекинг — сервис, который подменяет номер телефона на сайте и записывает звонки, — облачная таблица. Каждый адресат заявки описывается в документе.
5. Трансграничная передача. Отдельная строка, если хоть один из этих сервисов работает за пределами России.
6. Сроки хранения. Сколько лежат заявки и что с ними происходит потом.
7. Адрес для запросов. Куда человек пишет, чтобы узнать состав своих данных или потребовать удаления.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

09Где документ должен лежать

Требование закона — неограниченный доступ. На практике это отдельная страница с постоянным адресом, ссылка на неё в подвале каждой страницы и рядом с каждой формой, где человек оставляет данные, и открытие без регистрации и пароля. Адрес страницы лучше не менять: на политику ссылаются рекламные кабинеты и модерация, а битая ссылка снаружи выглядит как отсутствие документа.

10Что изменилось к 2026 году, а что не менялось

Про политику как таковую — ничего: часть 3 статьи 13.11 действует в редакции 2021 года, состав документа с 2017 года описывают всё те же рекомендации Роскомнадзора. Менялось вокруг: 30 мая 2025 года вступили в силу поправки, добавившие в статью 13.11 новые составы и суммы, а с 1 сентября 2025 года ужесточились требования к согласию на обработку данных — теперь оно должно быть отдельным.

Практический смысл этого для владельца сайта обратный успокоительному: документ, написанный до 2025 года, скорее всего, всё ещё соответствует закону, а вот форма рядом с ним — уже нет.

11Что спросить у подрядчика

Шесть вопросов в переписку, которые снимают большую часть рисков:

1. Чьи реквизиты стоят в документе? Если не наши — документ не про нас.
2. Совпадает ли перечень данных с полями форм на сайте? Попросите прислать оба списка рядом.
3. Названы ли сервисы, куда уходят заявки? CRM, рассыльщик, таблица — они либо перечислены, либо нет.
4. Есть ли в документе адрес для запросов от людей? Он должен быть рабочим, а не «info@» из шаблона.
5. Ссылка на политику стоит на всех страницах или только на главной? Проверяется с любой внутренней страницы.
6. Отдельная ли галочка согласия под формой? Соседняя обязанность, но закрывается тем же заходом.

Эти вопросы удобно задавать не после запуска, а вместе с остальной приёмкой. Мы собрали, что стоит проверить в сайте до того, как подписан акт, и юридическая обвязка стоит там в одном ряду с настройками и доступами.

Отдельно про доступы. Политика делает оператором данных вас, поэтому логично проверить и то, кто по документам остаётся владельцем сайта и его аккаунтов после сдачи работ — отвечать перед регулятором и владеть площадкой должен один и тот же человек.

Статья не заменяет юридическую консультацию. Биометрия, данные детей, медицинская информация, передача данных за границу — случаи, где документ собирают с юристом. Для обычного сайта с формой заявки хватает трёх вещей: политики по рамке Роскомнадзора, отдельного согласия и поданного уведомления.

Хотите взгляд со стороны — можно обсудить, что поправить на сайте в первую очередь: после такой ревизии обычно остаётся два-три пункта, а не двадцать.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram