Политику обработки персональных данных обязан опубликовать или иным образом сделать общедоступной любой оператор: компания, индивидуальный предприниматель, физическое лицо (ч. 2 ст. 18.1 152-ФЗ). Исключение — гражданин, который обрабатывает данные исключительно для личных и семейных нужд и не нарушает при этом прав других людей: на такую обработку закон не распространяется (п. 1 ч. 2 ст. 1 152-ФЗ). Вместе с политикой публикуются сведения о том, какие требования к защите данных вы выполняете.
Если данные собираются через сайт, политику и сведения о защите нужно разместить на тех страницах сайта, с которых идёт сбор, и обеспечить доступ к ним средствами сети (ч. 2 ст. 18.1 152-ФЗ). Ссылка, которая ведёт на несуществующую страницу или на файл, требующий входа, этому не помогает.
Политика не заменяет согласие. Политика — общий документ, где вы рассказываете, как обращаетесь с данными. Согласие даёт конкретный человек, и оформляется оно отдельно. Политика описывает вашу собственную обработку, поэтому чужой образец без переработки почти всегда расходится с тем, что вы делаете на самом деле.
Кто обязан иметь политику
Обязанность опубликовать политику закон адресует каждому оператору, без деления на компании и граждан: оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите (ч. 2 ст. 18.1 152-ФЗ). Оператор — тот, кто организует или ведёт обработку и сам определяет её цели и состав данных (п. 2 ст. 3 152-ФЗ). Если на сайте есть форма заявки, а заявки получаете вы и вы же решаете, что с ними делать, то оператор, как правило, вы, а не разработчик сайта.
Юридическому лицу закон ставит ещё одну задачу. Компания издаёт документы, определяющие политику в отношении обработки, и локальные акты, где для каждой цели обработки определены категории и перечень данных, категории людей, чьи данные обрабатываются, способы, сроки обработки и хранения, порядок уничтожения (п. 2 ч. 1 ст. 18.1 152-ФЗ). Это одна из мер, которые оператор принимает для выполнения закона; состав и перечень таких мер оператор определяет сам, если иное не предусмотрено федеральными законами (ч. 1 ст. 18.1).
Для индивидуального предпринимателя п. 2 ч. 1 ст. 18.1 прямо не действует: он адресован юридическому лицу. Локальные акты ИП обычно всё равно готовит, потому что так проще описать свою обработку и показать, что меры приняты, но это практика, а не прямая обязанность из этой нормы. Опубликовать политику ИП обязан на общих основаниях по ч. 2 ст. 18.1. Если вы работаете как физическое лицо без статуса ИП или как самозанятый, ваш случай разобран в отдельной статье базы знаний про самозанятых.
На сайтах этот документ называют по-разному: «политика конфиденциальности», «политика обработки персональных данных», «положение о персональных данных». В законе он называется «документ, определяющий политику оператора в отношении обработки персональных данных». Значение имеет содержание, а не заголовок.
Что написать в политике: разделы и нормы
Готового перечня разделов политики в 152-ФЗ нет. Есть два ориентира. Первый — п. 2 ч. 1 ст. 18.1: он называет, что документы политики и локальные акты юридического лица определяют для каждой цели обработки. Второй — ч. 2 ст. 18.1: вместе с политикой публикуются сведения о реализуемых требованиях к защите. Мы собираем политику из этих элементов. Это наше прочтение нормы: формулировку «в политике должны быть такие-то разделы» закон не содержит.
Главное слово в п. 2 ч. 1 ст. 18.1 — «для каждой цели». Данные, сроки и способы описываются не одним списком на весь документ, а отдельно под каждую цель. Удобнее всего сначала выписать цели, а потом пройти по таблице для каждой из них.
| Раздел | Что написать | Норма |
|---|---|---|
| Цели обработки | Для чего вы собираете данные: ответить на заявку, исполнить договор, вести кадровый учёт, отправлять рассылку. Каждую цель отдельно, без формулы «и иных целях» | п. 2 ч. 1 ст. 18.1 152-ФЗ |
| Категории и перечень данных | Для каждой цели — какие данные: имя и телефон для заявки, адрес для доставки, реквизиты для договора | п. 2 ч. 1 ст. 18.1 152-ФЗ |
| Категории субъектов | Чьи это данные: посетители сайта, клиенты, работники, кандидаты, представители контрагентов | п. 2 ч. 1 ст. 18.1 152-ФЗ |
| Способы обработки | Как вы работаете с данными: в CRM, в учётной программе, в почте, на бумаге; передаёте ли их подрядчику | п. 2 ч. 1 ст. 18.1 152-ФЗ |
| Сроки обработки и хранения | Для каждой цели — сколько вы храните данные и от какого события отсчитываете срок | п. 2 ч. 1 ст. 18.1 152-ФЗ |
| Порядок уничтожения | Что происходит с данными, когда цель достигнута или появилось иное законное основание прекратить обработку | п. 2 ч. 1 ст. 18.1 152-ФЗ |
| Сведения о защите | Какие требования к защите данных вы выполняете — в общем виде, без паролей, адресов серверов и схем доступа | ч. 2 ст. 18.1 152-ФЗ |
Тот же п. 2 ч. 1 ст. 18.1 ставит ограничение: такие документы не могут содержать положения, которые ограничивают права людей, чьи данные обрабатываются, или возлагают на оператора полномочия и обязанности, не предусмотренные законодательством. Пункты, которые урезают права человека или дают оператору полномочия сверх закона, из текста нужно убрать.
Помимо разделов из таблицы, в политике обычно указывают, кто оператор и как с ним связаться. Это не требование ст. 18.1, а практическая деталь: человеку, который прочитал политику, нужно понимать, к кому обратиться с вопросом о своих данных.
Где и как опубликовать политику на сайте
Для сбора через интернет закон говорит конкретно. Оператор, который собирает данные с помощью сети, обязан опубликовать политику и сведения о защите в этой сети, в том числе на страницах своего сайта, с которых идёт сбор, и обеспечить доступ к документу средствами этой сети (ч. 2 ст. 18.1 152-ФЗ). Отсюда три практических вывода.
- Политика открывается по ссылке с каждой страницы, где есть форма: заявка, заказ, запись, подписка, обратный звонок, регистрация в личном кабинете.
- Документ доступен без входа, регистрации и запроса по почте. Прислать политику по просьбе — не то же самое, что опубликовать её на сайте.
- Опубликован действующий текст. Если вы поменяли процессы, а на сайте висит прошлогодняя версия, сайт показывает не вашу текущую обработку.
Наше прочтение: ссылку на политику стоит ставить рядом с самой формой, а не только в подвале главной страницы. Человек видит её в тот момент, когда отправляет данные. Закон расположение ссылки на странице не уточняет, поэтому это ориентир, а не требование нормы.
Если данные собираются не через сайт, а через страницу в соцсети или мессенджер, норма к слову «сайт» не привязана: политику нужно опубликовать в соответствующей сети и обеспечить доступ к ней средствами этой сети. Как это сделать в профиле соцсети, разобрано в статье про самозанятых.
Политика и согласие — разные документы
Политика — общий документ оператора. Она адресована всем и не требует подписи посетителя. Согласие — решение конкретного человека разрешить обработку своих данных для определённой цели. Согласие нужно не всегда. Например, обработка допускается без него, если она необходима для исполнения договора, стороной которого является сам человек, или для заключения договора по его инициативе (п. 5 ч. 1 ст. 6 152-ФЗ). Если для конкретной цели нет другого законного основания обработки, требуется согласие. Когда согласие нужно, а когда нет, подробно разобрано в статье о согласии на сайте.
Если согласие всё-таки нужно, оно оформляется отдельно от других информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ). Один чекбокс «Принимаю политику и даю согласие на обработку персональных данных» этому требованию не соответствует. Если на сайте нужны оба действия, у формы два отдельных элемента: ссылка на политику для ознакомления и отдельная отметка согласия там, где оно требуется.
Ещё одна частая ошибка — текст согласия внутри политики. Политика рассказывает, как оператор обращается с данными. Если внутри неё написано «отправляя форму, вы даёте согласие на…», такое согласие не оформлено отдельно, и есть риск, что его не признают данным по ч. 1 ст. 9. А если посетитель политику даже не подтверждает, согласия может не быть вовсе.
Почему чужой образец или текст генератора — риск
По запросу «образец политики» поиск выдаёт в основном готовые файлы чужих организаций и генераторы. Проблема в том, что политика по смыслу п. 2 ч. 1 ст. 18.1 описывает конкретную обработку: ваши цели, ваши данные, ваши сроки. Текст другой организации описывает её обработку. Генератор описывает типовую, которой у вас может не быть.
На практике расхождение выглядит так (пример условный). Интернет-магазин взял политику сервисной компании. В ней указаны цели «консультирование клиентов» и «заключение договоров оказания услуг», но нет доставки и нет рассылки, которые магазин ведёт. Формально политика опубликована, но документ описывает чужую обработку.
Риск здесь двойной. Документ не выполняет свою задачу: человек, прочитавший политику, не узнаёт, что на самом деле происходит с его данными. И при проверке такой текст плохо показывает, что меры по ст. 18.1 у вас приняты. Брать образец как основу можно. Публиковать его без сверки со своими процессами — нет: каждую цель, категорию данных и срок в нём нужно заменить на свои.
Штраф за неопубликованную политику
За невыполнение обязанности опубликовать политику или иным образом обеспечить неограниченный доступ к ней или к сведениям о реализуемых требованиях к защите предусмотрен штраф по ч. 3 ст. 13.11 КоАП РФ:
- для граждан — от 1 500 до 3 000 рублей;
- для должностных лиц — от 6 000 до 12 000 рублей;
- для индивидуальных предпринимателей — от 10 000 до 20 000 рублей;
- для юридических лиц — от 30 000 до 60 000 рублей.
Суммы приведены по тексту ч. 3 ст. 13.11 КоАП РФ в редакции Федерального закона от 24.02.2021 № 19-ФЗ; текст сверен с ИПС «Законодательство России» 28.10.2026. Санкции меняются, поэтому перед расчётом риска проверьте действующую редакцию.
Эта часть статьи говорит о публикации и доступе. Если на странице с формой ссылки на политику нет или она не открывается, есть риск, что это расценят как неисполнение обязанности по ч. 2 ст. 18.1. Ошибки в содержании политики — отдельный вопрос, и решается он сверкой текста с тем, как вы на самом деле обрабатываете данные.
Что сделать
- Выпишите все цели, для которых вы собираете персональные данные, — по формам сайта, договорам, кадровым процессам и рассылкам, а не по тексту старой политики.
- Проверьте, что для каждой цели в политике или локальных актах указаны категории и перечень данных, категории людей, способы, сроки обработки и хранения, порядок уничтожения. Для юридического лица это прямо требует п. 2 ч. 1 ст. 18.1 152-ФЗ, для ИП это наш ориентир.
- Уберите из текста цели, данные и способы обработки, которых у вас нет, и пункты, которые ограничивают права людей, чьи данные вы обрабатываете.
- Добавьте сведения о том, какие требования к защите данных вы выполняете, — в общем виде, без паролей и технических деталей.
- Откройте каждую страницу сайта с формой и проверьте, что ссылка на политику там есть и открывается без входа и регистрации; лучше всего — рядом с самой формой.
- Проверьте, что согласие на обработку, если оно нужно, оформлено отдельной отметкой, а не спрятано в политике и не объединено с ней одним чекбоксом.
- Если данные приходят через соцсеть или мессенджер, опубликуйте политику и там — например, ссылкой в описании профиля.
- Пройдите проверку сайта: она просматривает главную и до семи внутренних страниц, ищет на них ссылку на политику и пытается открыть одну найденную ссылку в пределах сайта, если доступ к ней не закрыт. Каждую форму на сайте она не проверяет, поэтому страницы с формами, которые не попали в просмотр, откройте сами. Соответствие текста политики вашей обработке сканер не оценивает — его сверяете вы.
Нормы
- ч. 2 ст. 18.1 152-ФЗпо действующему тексту ИПС на 28.10.2026; второе предложение — в ред. 266-ФЗ от 14.07.2022
- п. 2 ч. 1 ст. 18.1 152-ФЗв ред. 266-ФЗ от 14.07.2022, с 01.09.2022
- ч. 1 ст. 18.1 152-ФЗ (вводная часть)по действующему тексту ИПС на 28.10.2026 (в ред. 266-ФЗ от 14.07.2022)
- п. 5 ч. 1 ст. 6 152-ФЗпо действующему тексту ИПС на 28.10.2026 (в ред. 363-ФЗ от 21.12.2013, 231-ФЗ от 03.07.2016, 266-ФЗ от 14.07.2022)
- п. 1 ч. 2 ст. 1 152-ФЗпо действующему тексту ИПС на 28.10.2026
- ч. 1 ст. 9 152-ФЗв ред. 156-ФЗ от 24.06.2025, с 01.09.2025
- п. 2 ст. 3 152-ФЗпо действующему тексту ИПС на 28.10.2026
- ч. 3 ст. 13.11 КоАП РФпо тексту ИПС на 28.10.2026 (в ред. 19-ФЗ от 24.02.2021)