Политика конфиденциальности для сайта: как проверить и адаптировать шаблон

👤 Автор: Павел Шабанов | 📅 Актуализировано: 11 ноября 2026 года | ⏱️ Время чтения: 14 мин.

Политика конфиденциальности для сайта должна описывать фактическую обработку персональных данных: формы, цели, получателей, сроки и порядок реализации прав человека. Шаблон можно использовать как основу, но замена реквизитов не проверяет соответствие документа вашему бизнесу. Если заявка уходит в CRM, почту и сервис рассылок, а политика обещает «никому ничего не передавать», исправлять придётся не только формулировки. [ст. 18.1 152-ФЗ]

Почему готового шаблона недостаточно

Шаблон не знает, какие сведения собирает ваш сайт, куда отправляет заявки и кто получает доступ к базе. Эти обстоятельства нужно установить до подготовки окончательной редакции: политика и локальные правила должны соответствовать обработке оператора. [ст. 18.1 152-ФЗ]

Заголовок не заменяет содержание

«Политика конфиденциальности» — распространённое название. Закон говорит о документе, определяющем политику оператора в отношении обработки персональных данных; отдельного обязательного коммерческого названия он не устанавливает. [ст. 18.1 152-ФЗ]

Поэтому переименование страницы в «Политику обработки ПДн» само по себе ничего не исправит.

Учебный пример. Компания скопировала текст интернет-магазина. На её сайте нет доставки и оплаты, зато есть загрузка резюме и онлайн-запись. Получился подробный документ — только про чужой бизнес.

Публикация не равна соответствию

Проверьте, не остались ли в тексте чужие контакты, неиспользуемые сервисы и неподходящие основания. Особенно опасны обещания «данные не передаются третьим лицам» и «всё удаляется немедленно».

При этом неверный пункт политики не означает автоматический штраф именно по части 3 статьи 13.11 КоАП: эта часть касается обязанности опубликовать документ или обеспечить доступ. Правовую квалификацию определяют по фактическому нарушению.

Без страшилок. Но и без самоуспокоения.

Неудачные формулировки шаблона: что исправить

Это направления проверки, а не универсальные формулировки для вставки в политику. Правовая основа — требования к согласию (ст. 9 закона № 152-ФЗ), поручению обработки (ч. 3, 4 ст. 6) и прекращению обработки (ст. 21).

Формулировка шаблона	Что выяснить перед заменой
«Не передаём данные третьим лицам»	Кто получает данные или доступ: CRM, почтовый сервис, подрядчики; в какой роли они действуют
«Все данные хранятся до отзыва согласия»	Каковы цели, основания и сроки для каждого набора данных
«Нажимая кнопку, вы соглашаетесь с политикой»	Нужно ли согласие, где его отдельный текст и как подтверждается получение
«Можем использовать данные в любых целях»	Какие конкретные цели действительно определены и допустимы

Политика и согласие: разные задачи

Политика объясняет правила обработки, а согласие подтверждает решение человека разрешить конкретную обработку, когда для неё выбрано или требуется такое основание. Опубликованный текст не заменяет получение согласия. [ч. 1 ст. 9 152-ФЗ]

Не подменяйте согласие ознакомлением с политикой

Фраза «Я согласен с политикой» не раскрывает автоматически, на какую обработку человек согласился. Если используете согласие, проверьте его конкретность, информированность и возможность доказать получение. [ч. 1 ст. 9 152-ФЗ]

С 1 сентября 2025 года согласие нужно оформлять отдельно от другой информации и документов, которые человек подтверждает или подписывает. [ч. 1 ст. 9 152-ФЗ]

Практический вариант для формы — доступные отдельно политика и текст согласия, понятное действие пользователя и сохранение подтверждения. Это способ реализации требования, а не установленный законом универсальный дизайн кнопки.

Не путайте согласие и договор

Согласие нужно не для любой операции. Статья 6 допускает другие основания, включая необходимые действия по заключению договора по инициативе субъекта и исполнению договора с ним. [ст. 6 152-ФЗ]

Однако договор с компанией-покупателем не превращает любую обработку контактов её сотрудников в исполнение договора с самим человеком.

Рекламные сообщения тоже проверьте отдельно. Политика, которая упоминает маркетинг, не заменяет предварительное согласие адресата на рекламу по сетям электросвязи.

Как найти все точки сбора?

Составьте перечень форм, автоматических сборов и подключённых сервисов, затем проследите движение тестовой заявки до всех получателей. Такой обход помогает подготовить документ под обработку, а не под внешний вид главной страницы.

Проверь страницы и сценарии

Начните с видимых точек:

• Формы заявки, консультации и обратного звонка
• Регистрация, личный кабинет и оформление заказа
• Подписка, скачивание материалов и участие в мероприятиях
• Онлайн-запись, чат и обращения в поддержку
• Отзывы, комментарии и загрузка файлов
• Страницы вакансий и отправка резюме

Добавьте рекламные посадочные страницы, мобильные версии и формы во всплывающих окнах. Один сайт может содержать несколько технически разных способов отправки.

Учебный пример. Основная форма сохраняет заявку в CRM, а форма на старом лендинге отправляет её на почту бывшего подрядчика. Общая политика не устраняет этот доступ. Сначала отключите лишний маршрут.

Посмотрите невидимый сбор

Отдельно проверьте аналитику, cookie, рекламные пиксели, серверные журналы и виджеты. Для каждого инструмента установите состав сведений и возможность отнести их к определённому человеку.

Не объявляйте все cookie одинаковыми персональными данными. Но и формулировка «аналитика анонимная» без проверки настроек ничего не доказывает.

Попросите разработчика показать фактические отправки. Список установленных плагинов полезен, но не всегда описывает всю работу сайта.

Цели, данные и правовые основания

Для каждой цели сопоставьте группу людей, необходимые сведения, операции и применимое основание; не объединяйте всю работу сайта словами «ведение деятельности». Закон требует соответствия содержания и объёма данных заявленным целям. [ст. 5 152-ФЗ]

Формулируйте понятный результат

Вместо «обработка информации пользователей» запишите, что компания собирается сделать: ответить на обращение, подготовить предложение, исполнить заказ или направлять рекламу.

Для рабочей карты используй связку:

• Цель: какой результат нужен бизнесу и человеку
• Субъекты: чьи сведения обрабатываются
• Данные: какие поля и технические сведения используются
• Основание: почему обработка допустима
• Завершение: когда необходимость в ней прекращается

Роскомнадзор рекомендует раскрывать в политике цели, основания, объём и категории данных, а также порядок реализации прав.

Убирайте избыточные поля

Учебный пример. Для обратного звонка нужны контакт и содержание вопроса. Форма дополнительно требует дату рождения и домашний адрес.

Сначала выясните необходимость этих сведений. Нельзя исправить избыточный сбор простым добавлением полей в политику: статья 5 запрещает избыточность относительно целей. [ст. 5 152-ФЗ]

РКН отдельно рекомендует минимизировать собираемые сведения и отказаться от накопления «на всякий случай».

Текст должен отражать законный процесс. Не оправдывать любой существующий.

Кому фактически уходят заявки?

Проверьте всех получателей: CRM, почту, хостинг, интеграторов, сервисы рассылок и других лиц, которым раскрываются данные или предоставляется доступ. Если обработка поручена подрядчику, применяются специальные требования статьи 6. [ст. 6 152-ФЗ]

Разделите роли получателей

Сервис может работать по вашему поручению либо самостоятельно определять свои цели. Эти роли нельзя назначить одинаково всем контрагентам.

Для поручения закон предусматривает договорные условия о составе данных, действиях, целях, конфиденциальности, безопасности и других обязанностях. Публикация политики не заменяет такой договор. [ст. 6 152-ФЗ]

По общему правилу оператор вправе поручить обработку другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Поэтому проверьте не только договор с подрядчиком, но и допустимость самого поручения. Получать согласие непосредственно у человека обработчик по поручению оператора не обязан. [ч. 3 и 4 ст. 6 152-ФЗ]

Не обязательно превращать политику в каталог технических настроек. Но читатель должен понимать схему обработки, а компания — уметь предоставить предусмотренные статьёй 14 сведения о получателях и обработчиках. [ст. 14 152-ФЗ]

Проверь размещение и зарубежные передачи

Российская CRM не доказывает отсутствие зарубежных маршрутов: рядом могут работать иностранная аналитика или дополнительная интеграция.

С 1 июля 2025 года часть 5 статьи 18 запрещает при сборе персональных данных граждан РФ перечисленные в ней операции с использованием баз данных за пределами России, кроме установленных законом исключений. Требования локализации и правила трансграничной передачи нужно проверять отдельно. Наличие базы в России и уведомление о трансграничной передаче сами по себе не подтверждают законность всей схемы работы с зарубежным сервисом. [ч. 5 ст. 18 152-ФЗ] [письмо Минцифры № П25-44929]

Согласие пользователя не отменяет требования локализации. Для трансграничной передачи нужно отдельно проверить статью 12 и процедуру уведомления, а не просто дописать разрешение в политику.

Сроки хранения без бессрочных обещаний

Сроки устанавливают по целям и применимым обязанностям, а не одной фразой «до отзыва согласия» для всей базы. Хранить данные дольше необходимого по общему правилу нельзя. [ст. 5 152-ФЗ]

Разделите разные наборы сведений

Заявка без продолжения, заключённый договор, бухгалтерский документ и рекламная подписка имеют разные основания и условия завершения.

В рабочей таблице зафиксируйте срок либо проверяемое событие: завершение рассмотрения обращения, окончание соответствующей обязанности хранения, прекращение подписки.

Учебный пример. После консультации клиент отказывается от рекламы. Компания прекращает рекламное использование, но отдельно оценивает основания хранения документов по оплаченной услуге.

Не обещайте удалить всё одним нажатием, если другие законные основания сохраняются.

Различайте основания прекращения

При достижении цели статья 21 предусматривает уничтожение в срок до 30 дней с установленными законом исключениями. [ст. 21 152-ФЗ]

Отзыв согласия и отдельное требование прекратить обработку регулируются разными положениями. Для требования о прекращении действует срок до 10 рабочих дней, возможное продление до пяти рабочих дней и предусмотренные законом исключения. [ст. 21 152-ФЗ] После отзыва согласия обработка прекращается в срок до 30 дней с даты его поступления — с предусмотренными законом условиями и исключениями. [ч. 5 ст. 21 152-ФЗ]

Поэтому строка «все обращения исполняются за 30 дней» может оказаться неверной.

Проверьте также резервные копии и выгрузки. Удаление карточки из CRM ещё не описывает судьбу остальных экземпляров.

Как описать права пользователя?

Укажите доступный порядок получения сведений, уточнения данных, отзыва согласия и обращения по поводу прекращения обработки; внутри компании назначьте исполнителя этих запросов. Права и порядок доступа регулирует статья 14. [ст. 14 152-ФЗ]

Дайте работающий канал связи

Включите актуальные сведения об операторе и контакт для вопросов по ПДн. Проверьте, что письма действительно читают, а не пересылают между отделами без ответственного.

Для запроса сведений статья 14 предусматривает определённые реквизиты и способы направления. Не заменяйте эти правила требованием «пришлите скан паспорта в любом случае». [ст. 14 152-ФЗ]

Безопасный порядок идентификации нужно согласовать отдельно. Нельзя раскрывать данные заявителю только потому, что он написал с похожего адреса.

Не расширяй исключения

По статье 14 сведения предоставляют в течение 10 рабочих дней; продление максимум на пять рабочих дней требует мотивированного уведомления. [ст. 14 152-ФЗ]

Не вписывайте право компании игнорировать запросы по своему усмотрению. Локальные документы не могут ограничивать права субъектов вопреки закону. [ст. 18.1 152-ФЗ]

Полезная проверка — тестовое обращение. Если никто не знает, кому его передать, одной редактурой политики проблема не решится.

Сверка сайта и политики

Сравните каждое заявление документа с конкретным процессом и подтверждением: таблица покажет, где менять текст, а где — саму обработку.

Таблица для самопроверки

Ниже — учебная структура. Она не подтверждает наличие нарушений на вашем сайте.

«Сайт — политика — фактическая обработка»: таблица сверки по статьям 5, 6, 9, 14, 18.1 и 21 закона № 152-ФЗ и рекомендациям Роскомнадзора.

Что проверяем	Что описать в политике	Чем проверить фактическую обработку
Заявка на консультацию	Цель, сведения, основание, порядок завершения	Тестовая отправка, карта полей, настройки получателей
Рекламная подписка	Самостоятельная цель, используемые контакты, прекращение	Механизм согласия, подтверждения, тест отказа
CRM и подрядчики	Схема передачи и обработки	Договоры, роли, доступы, интеграции
Аналитика	Инструменты, категории сведений, цели и основания	Настройки, сетевые запросы, документация поставщика
Хранение	Сроки или условия завершения по целям	Правила CRM, архивы, резервные копии, выгрузки
Права пользователя	Контакты, порядок обращений и применимые сроки	Работающий адрес, ответственный, контрольное обращение

Определите вид исправления

Разделяй три результата:

• Документ устарел, процесс допустим — актуализировать описание
• Процесс нарушает требования — сначала изменить обработку
• Доказательств недостаточно — запросить сведения и не делать преждевременный вывод

Не всё лечится новым абзацем.

В постановлении Верховного суда от 21 января 2026 года № 5-АД25-119-К2 довод о доступе злоумышленника через подрядчика не освободил Минтруд от ответственности: подтверждений необходимых мер не хватило. Дело касалось инцидента 2023 года, а не штрафа за шаблонную политику; его практический урок — необходимость подтверждать контроль, включая работу подрядчиков. [дело ВС № 5-АД25-119-К2]

Когда обновлять документ и настройки?

Пересматривайте политику при изменении целей, состава данных, получателей и других существенных условий обработки, а не только при смене года в заголовке. Документ и фактические процессы должны оставаться согласованными. [ст. 18.1 152-ФЗ]

Назначьте события пересмотра

Включите проверку документов в запуск:

• Нового сайта или формы
• CRM, аналитики и сервиса рассылок
• Рекламной подписки или программы лояльности
• Передачи новому подрядчику
• Публикации отзывов и карточек сотрудников

Храните предыдущие редакции и даты их действия. Для согласий дополнительно сохраняй доказательства того, какой текст подтверждал человек. [ч. 1 ст. 9 152-ФЗ]

Новая редакция политики не расширяет автоматически ранее полученное согласие. Если меняются условия обработки, проверьте основание заново.

Не преувеличивай новые штрафы

За незаконную или несовместимую с целями обработку базовая санкция для юридического лица — 150 000–300 000 рублей. [ч. 1 ст. 13.11 КоАП РФ] За нарушения обязательного письменного согласия — 300 000–700 000 рублей; последнюю санкцию нельзя автоматически переносить на любой чекбокс. [ч. 2 ст. 13.11 КоАП РФ]

Оборотный штраф 1–3% (минимум 20 млн, максимум 500 млн рублей) по части 15 относится к установленной законом повторности нарушений по утечкам — это не наказание за сам факт использования шаблона. [ч. 15 ст. 13.11 КоАП РФ]

Разработка и проверка под сайт

Заказывая политику ПДн под ключ, согласуйте обследование процессов, подготовку текста, задания разработчику и проверку размещения. Готовый файл и внедрённый порядок обработки — разные результаты.

Последовательность работы

1. Соберите вводные. Подготовьте адреса страниц, формы, сервисы, договоры и действующие документы.
2. Проверьте маршруты. Проследите тестовые отправки и установите получателей.
3. Разделите цели. Сопоставьте сведения, основания и сроки.
4. Устраните противоречия. Определите, что менять в процессах до публикации.
5. Подготовьте документы. Согласуйте политику и необходимые отдельные согласия.
6. Внедрите изменения. Разместите ссылки, настройте формы и обработку обращений.
7. Проверьте результат. Повторите отправку заявки, отказ от рекламы и обращение пользователя.

Часть 2 статьи 18.1 требует доступа к политике, в том числе на страницах сбора. Практически проверьте ссылки возле форм и отсутствие препятствий вроде обязательной авторизации. [ст. 18.1 152-ФЗ]

Что получить от исполнителя

Зафиксируйте в договоре охват сайта, проверяемые сервисы, состав текстов, число согласований и границы технических работ.

Попросите перечень обнаруженных расхождений. Иначе невозможно понять, почему заменили формулировку и какую проблему это решило.

Для содержательной сверки используйте рекомендации Роскомнадзора. Учитывайте их дату и действующую редакцию закона: рекомендации не заменяют нормативные требования.

Роскомнадзор рекомендует использовать лишь те данные, которые действительно необходимы для оказания услуг, продажи товаров и иной деятельности организации.

— Роскомнадзор, рекомендации операторам персональных данных.

Итог. Шаблон полезен как каркас, если вы способны проверить каждый пункт по своим процессам. При нескольких формах, CRM и подрядчиках разумно сначала провести сверку, затем писать документ. Подрядчик нужен не ради сложного языка, а ради выявления противоречий. Начните с одной тестовой заявки.

Часто задаваемые вопросы

Можно ли использовать бесплатный шаблон?

Да, как основу для адаптации. Проверь цели, сведения, получателей, сроки и обращения. Чужие реквизиты заменить проще, чем обнаружить неподходящие правила обработки.

Нужно ли согласие с самой политикой?

Ознакомление с политикой не подменяет согласие на обработку. Если необходимо согласие, его оформляют отдельно и получают в форме, позволяющей подтвердить факт получения. [ч. 1 ст. 9 152-ФЗ]

Достаточно ли ссылки в подвале сайта?

Проверь доступность на каждой странице сбора. Статья 18.1 прямо упоминает такие страницы; ссылка возле формы помогает обеспечить понятный доступ, включая мобильную версию. [ст. 18.1 152-ФЗ]

Нужно ли перечислять все cookie?

Сначала установите, какие сведения и для чего используются. Не копируйте универсальный перечень: он может не совпасть с настройками вашей аналитики и виджетов.

Можно ли хранить заявки до отзыва согласия?

Эту формулировку нельзя применять автоматически ко всем данным. Срок связан с целью, а достижение цели может потребовать прекращения обработки раньше отзыва с учётом законных исключений. [ст. 21 152-ФЗ]

Нужно ли согласовывать политику с Роскомнадзором?

Общего предварительного утверждения политики коммерческого сайта в РКН не предусмотрено. Документ принимает оператор, который должен обеспечить доступ и подтверждать принятые меры по запросу регулятора. [ст. 18.1 152-ФЗ]