Политика обработки персональных данных

Обязательна для любого сайта, через который собираются персональные данные: формы заявок, регистрация, подписка, обратный звонок, счётчики аналитики с cookie. Требование опубликовать документ установлено ч. 2 ст. 18.1 152-ФЗ и действует для любого оператора – юрлица, ИП или физлица. Исключение – чисто информационный сайт, который никаких данных пользователей не собирает.

Политика – документ оператора о том, как он обрабатывает данные (ст. 18.1 152-ФЗ): публикуется для всех и подписи не требует. Согласие – волеизъявление самого субъекта данных по ст. 9 152-ФЗ: конкретное, информированное и однозначное, на сайте оформляется чекбоксом или иным активным действием. Один чекбокс «согласен с политикой» согласие не заменяет – у формы нужны оба элемента.

По ч. 3 ст. 13.11 КоАП РФ за неопубликование политики: юрлица – 30 000–60 000 ₽, ИП – 10 000–20 000 ₽, должностные лица – 6 000–12 000 ₽, граждане – 1 500–3 000 ₽. Реформа 420-ФЗ, действующая с 30 мая 2025 года, эти суммы не меняла – она повысила штрафы по другим частям ст. 13.11.

Закон требует опубликовать политику на страницах, с использованием которых собираются данные (ч. 2 ст. 18.1 152-ФЗ). На практике это ссылка в футере на всех страницах плюс отдельная ссылка возле каждой формы сбора: при проверках Роскомнадзор смотрит доступность документа именно с форм. Кроме того, по запросу субъекта или регулятора оператор обязан предоставить документ и офлайн.

По действующим рекомендациям Роскомнадзора – шесть блоков: общие положения с реквизитами оператора; конкретные цели сбора; правовые основания обработки; объём и категории данных и субъектов; порядок и условия обработки, включая сроки хранения и передачу третьим лицам; порядок актуализации, уничтожения данных и ответов на запросы субъектов. Единой обязательной формы закон не устанавливает – рекомендации носят методический характер, но проверки ориентируются на них.

Как основу – да, но документ должен описывать реальные процессы вашего сайта. Типичные ошибки копипасты: чужие реквизиты и домены, неполный список целей и категорий данных, отсутствие сроков хранения, неучтённые счётчики аналитики, CRM и рассылки. Формально опубликованный, но не соответствующий реальности документ при проверке не защищает.

Нужна: форма обратной связи с полями имени, телефона или email – это сбор персональных данных, а обязанность опубликовать политику по ч. 2 ст. 18.1 152-ФЗ лежит на любом операторе независимо от масштаба бизнеса. Для ИП в ч. 3 ст. 13.11 КоАП предусмотрен отдельный штраф – 10 000–20 000 ₽.