Политика обработки персональных данных — не формальность и не «страница для галочки».
Это документ, который закон требует опубликовать до того, как сайт получит первое имя,
телефон или адрес электронной почты посетителя.
Кому нужна политика
Обязанность возникает у оператора персональных данных — любого лица, которое
организует обработку данных. Форма обратной связи, заявка на звонок, подписка на
рассылку, личный кабинет, отзывы с именем, запись на приём — всё это обработка
персональных данных, а значит, сайт уже принадлежит оператору.
Размер бизнеса значения не имеет: индивидуальный предприниматель с сайтом-визиткой
и форма «оставьте телефон» — такой же оператор, как банк.
Что требует закон
Часть 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ обязывает оператора,
собирающего данные через сайт, опубликовать документ, определяющий его политику в
отношении обработки персональных данных, и сведения о реализуемых требованиях к их
защите. Документ должен быть доступен неограниченному кругу лиц — то есть открываться
без регистрации, без пароля и без запроса в поддержку.
Обычная практика: ссылка в подвале каждой страницы и рядом с каждой формой, где
собираются данные.
Что должно быть в тексте
Политика — это не пересказ закона. В ней должны быть ответы на вопросы, которые
задаст посетитель и проверяющий:
- кто оператор: наименование (для ИП — фамилия, имя, отчество), ИНН, адрес, контакты;
- какие данные собираются: перечень по каждой форме и каждому сервису;
- цели обработки: отдельно по каждой цели, «улучшение работы сайта» целью не является;
- правовые основания: согласие, договор, закон — по каждой цели своё;
- как данные обрабатываются: сбор, хранение, передача, уничтожение;
- кому передаются: сервисы аналитики, службы доставки, платёжные сервисы, CRM;
- сроки хранения и порядок уничтожения;
- права субъекта и порядок их реализации: как получить сведения, уточнить, удалить;
- порядок отзыва согласия — этого требует часть 2 статьи 9 152-ФЗ;
- сведения о трансграничной передаче, если она есть.
Если на сайте стоят счётчики и пиксели, они тоже попадают в политику: идентификаторы
cookie и IP-адрес в связке с поведением относятся к персональным данным
(пункт 1 статьи 3 152-ФЗ).
Чего в политике быть не должно
- Формулировок «мы можем передавать данные третьим лицам» без перечня — это не
информирование, а его имитация.
- Согласия, «встроенного» в политику: политика и согласие — разные документы.
Политика информирует, согласие даёт основание обрабатывать.
- Ссылок на недействующие редакции закона и на «Федеральный закон о персональных
данных 152-ФЗ от 2006 года в редакции 2011 года» — текст меняется часто.
Ответственность
Невыполнение обязанности опубликовать политику — часть 3 статьи 13.11 КоАП РФ.
Отдельно наказывается обработка без законного основания (часть 1 статьи 13.11) и
сбор согласия с нарушением требований к его составу (часть 2 статьи 13.11).
С 30 мая 2025 года санкции по статье 13.11 существенно повышены, а за повторные
нарушения по ряду составов предусмотрены оборотные штрафы.
Штраф — не единственное последствие. По итогам проверки Роскомнадзор выдаёт
предписание, и его неисполнение влечёт самостоятельную ответственность.
Как проверить свой сайт
Минимальный самостоятельный список:
- Ссылка на политику есть в подвале каждой страницы и открывается без входа.
- Рядом с каждой формой есть отметка согласия со ссылкой на политику.
- В политике перечислены все формы, все собираемые поля и все внешние сервисы.
- Названия и реквизиты оператора совпадают с ЕГРЮЛ или ЕГРИП.
- Указан порядок отзыва согласия и адрес для обращений.
Автоматическая проверка сайта сервисом Закониум проходит по этому списку и по
остальным требованиям: она показывает, какие формы собирают данные без согласия,
какие счётчики срабатывают до согласия и какие сведения отсутствуют в политике.