По запросу «политика конфиденциальности для сайта» Яндекс первыми показывает конструкторы таких документов. Это удобная заготовка, но в ней не будет главного: ваших целей, ваших сервисов и ваших сроков хранения. Чтобы понять, чего не хватает, нужно знать, что должно быть в документе. Об этом статья.
Источники текста: статья 18.1 закона № 152-ФЗ в редакции от 26 июля 2026 года и рекомендации Роскомнадзора по составлению такого документа, опубликованные в 2017 году. Рекомендации вышли до поправок 2022 и 2025 годов, поэтому там, где закон с тех пор изменился, мы опираемся на закон. Статья не заменяет юриста: она помогает понять, что должно быть в документе, и задать правильные вопросы тому, кто его пишет.
Нужна ли политика вашему сайту
Нужна, если сайт собирает данные людей: через форму заявки, подписку, регистрацию или онлайн-запись. Это следует из части 2 статьи 18.1. Оператор, который собирает персональные данные через интернет, обязан опубликовать документ о своей политике на страницах сайта, с помощью которых идёт сбор, и обеспечить к нему доступ.
Размер бизнеса значения не имеет. В статье 13.11 КоАП за отсутствие доступа к политике отдельно названы штрафы и для организаций, и для предпринимателей: 30–60 тысяч рублей и 10–20 тысяч рублей. Малое предприятие из реестра платит как предприниматель.
Если на сайте нет ни одной формы, вопрос упирается в счётчики посещений. Закон на него прямо не отвечает; как устроен этот спор, мы разбирали в статье о персональных данных на сайте.
Как этот документ называется
В законе нет слов «политика конфиденциальности». Он говорит о «документе, определяющем политику оператора в отношении обработки персональных данных». Отсюда второе название, которое встречается на сайтах: «политика обработки персональных данных».
«Политика конфиденциальности» — привычное название того же документа: так его ищут и так подписывают ссылку в подвале. Называть можно и так, и так. Важно содержание: документ должен описывать, какие данные и зачем вы обрабатываете, а не обещать «бережное отношение к информации».
Чем политика отличается от согласия и оферты
Эти три документа часто склеивают в один, и напрасно.
Политика — рассказ оператора о том, как он обращается с данными. Её никто не подписывает. Она опубликована и доступна любому.
Согласие — действие конкретного человека: он разрешает обработку своих данных для названной цели. С 1 сентября 2025 года статья 9 закона требует оформлять согласие отдельно от других документов. Фраза «отправляя форму, вы соглашаетесь с политикой конфиденциальности» этому требованию не отвечает: политика не является согласием, а согласие нельзя прятать внутри политики.
Оферта или пользовательское соглашение — условия договора: что вы продаёте, как платить, как вернуть деньги. К персональным данным они относятся только тем, что договор может быть основанием для обработки.
На сайте это три разные ссылки. У формы заявки стоит галочка со ссылкой на текст согласия и ссылка на политику. Оферта нужна там, где что-то покупают.
Что писать: шесть разделов
Роскомнадзор в рекомендациях 2017 года предлагает собирать политику из шести частей. Ниже они названы так же, как в рекомендациях, с пояснением для сайта.
Общие положения
Назначение документа, основные понятия, права и обязанности оператора и человека, чьи данные обрабатываются. Здесь же называют самого оператора: наименование или ФИО предпринимателя, ИНН, адрес, контакты для обращений.
Цели сбора персональных данных
Конкретные цели, а не «улучшение качества обслуживания». Для сайта это, например, ответ на заявку, заключение и исполнение договора, рассылка новостей, статистика посещений. Закон запрещает обрабатывать данные способом, несовместимым с целью сбора, поэтому цель, которой нет в списке, потом нельзя «подразумевать».
Правовые основания обработки
Для каждой цели — основание: согласие человека, договор с ним, требование закона. Рекомендации отдельно предупреждают, и то же сказано в инструкции к форме уведомления: сам закон № 152-ФЗ правовым основанием не является. Он устанавливает правила обработки, а не даёт право обрабатывать.
Объём и категории данных, категории людей
Какие именно данные собираются для каждой цели и чьи они. Рекомендации советуют перечислить все данные в привязке к целям и категориям людей. После поправок 2022 года это уже не совет: статья 18.1 требует, чтобы документы оператора определяли для каждой цели категории и перечень данных, категории людей, способы и сроки обработки и хранения и порядок уничтожения.
Для сайта сюда входят и данные счётчиков посещений, если они подключены. В форме уведомления Роскомнадзора для них есть отдельная строка: «сведения, собираемые посредством метрических программ».
Порядок и условия обработки
Самый объёмный раздел. В нём описывают:
- что делают с данными: сбор, запись, хранение, использование, передача, удаление;
- способы обработки и её сроки;
- кому данные передаются. Рекомендации советуют называть конкретные наименования и местонахождение третьих лиц, цели передачи и объём данных. Для сайта это хостинг, CRM, сервис рассылок, коллтрекинг, счётчики;
- передаются ли данные за рубеж;
- какие меры защиты приняты;
- где хранятся данные. Рекомендации напоминают об обязанности использовать базы, находящиеся в России;
- сроки хранения. В рекомендациях это конкретная дата или условие, после которого обработка прекращается.
Актуализация, удаление и ответы на запросы
Что происходит, если данные неточны, если человек отозвал согласие или попросил показать, что о нём хранится. Рекомендации советуют включить сюда порядок ответа на обращения и формы самих обращений. Человеку должно быть понятно, куда писать и чего ждать.
Где разместить политику
Закон называет два условия: документ опубликован на страницах, через которые собираются данные, и доступ к нему не ограничен. На сайте это означает три вещи.
- Ссылка в подвале каждой страницы.
- Ссылка рядом с каждой формой, включая всплывающие окна и квизы.
- Страница политики открывается без регистрации и не требует ничего скачивать.
Проверьте и обратное: политика не должна быть закрыта от чтения настройками сайта или висеть на адресе, который отдаёт ошибку. Это стоит проверить после переноса сайта на новый адрес или смены структуры.
Шаблон или генератор: что в них не попадает
По запросу «политика конфиденциальности для сайта» первые места в выдаче занимают генераторы документов. Шаблон или генератор дают структуру и юридические формулировки, и как заготовка они полезны. Но в шаблоне нет того, что знаете только вы.
Проверьте свою политику по восьми вопросам. Если на какой-то из них ответа в тексте нет, документ описывает не ваш сайт.
- Названы ли вы как оператор: с ИНН, адресом и контактом для обращений?
- Перечислены ли цели, для которых данные собираются сейчас, включая рассылки и статистику посещений?
- Для каждой ли цели указано основание и состав данных?
- Названы ли сервисы, которые получают данные с сайта: хостинг, CRM, рассылки, онлайн-запись, чат, счётчики?
- Сказано ли, передаются ли данные за рубеж?
- Указаны ли сроки хранения или условия, при которых данные удаляются?
- Понятно ли человеку, как отозвать согласие и куда направить запрос?
- Совпадает ли всё это с тем, что указано в вашем уведомлении в Роскомнадзоре?
Последний вопрос стоит задать отдельно. Политика, уведомление и текст согласия описывают одно и то же с трёх сторон. Если в политике одна цель, а в уведомлении три, вопрос возникнет к обоим документам. Как устроено уведомление, мы разбирали в отдельной статье.
Когда политику нужно обновить
Политика описывает то, что происходит на сайте, поэтому обновляется вместе с сайтом. Поводы:
- появилась новая форма или новое поле в старой;
- подключили новый сервис, который получает данные посетителей;
- появилась новая цель, например рассылка;
- сменили хостинг или CRM;
- изменился закон.
В первых четырёх случаях могут измениться и сведения, поданные в реестр операторов: об изменениях сообщают в Роскомнадзор не позднее 15-го числа следующего месяца. Удобно вести политику с датой редакции и хранить прежние версии: тогда можно показать, какой текст действовал, когда человек отправлял заявку.
Вопросы и ответы
Обязательна ли политика конфиденциальности на сайте-визитке с одной формой?
Да. Обязанность из части 2 статьи 18.1 возникает из-за сбора данных через сайт, а не из-за числа страниц. Одной формы с именем и телефоном достаточно.
Какой штраф за отсутствие политики?
По части 3 статьи 13.11 КоАП организации грозит от 30 до 60 тысяч рублей, предпринимателю от 10 до 20 тысяч. Малое предприятие из реестра платит как предприниматель.
Можно ли скопировать политику с чужого сайта?
Скопировать можно структуру. Содержание чужой политики описывает чужие цели, чужие сервисы и чужого оператора. Опубликовав её под своим именем, вы заявляете о своей обработке данных то, что не соответствует действительности.
Чем политика конфиденциальности отличается от политики обработки персональных данных?
Названием. Закон говорит о документе, определяющем политику оператора в отношении обработки персональных данных. «Политика конфиденциальности» — распространённое название того же документа.
Нужно ли упоминать в политике cookie и счётчики?
Если они подключены, да: это данные, которые собираются на сайте, и у них есть цель и получатель. В форме уведомления Роскомнадзора сведения, собираемые метрическими программами, вынесены в отдельную категорию данных.
Нужно ли согласие с политикой?
Нет. Политику не подписывают и с ней не «соглашаются»: это ваш документ. Согласие даётся на обработку данных, и у него должен быть собственный текст.
Источники
Проверено 6 октября 2026 года.
- Статья 18.1 закона № 152-ФЗ и статья 9, редакция от 26 июля 2026 года.
- Статья 13.11 КоАП, редакция от 4 августа 2026 года.
- Рекомендации Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных, опубликованы 27 июля 2017 года; страница доступна на прежней версии сайта ведомства.
- Форма уведомления Роскомнадзора — категории данных и людей.