Нужна ли политика конфиденциальности: требования и практика 2026 года

Политика конфиденциальности на сайте обязательно или нет — вопрос, который решается по нормам, а не на глаз. Федеральный закон № 152-ФЗ действует с 2006 года, а с 30 мая 2025 года заметно выросли штрафы: до 300 000 рублей за обработку персональных данных без законного основания. Утечка сведений обойдётся компании в 3–15 млн рублей, а повторное нарушение — до 500 млн. Документ нужен каждому, кто собирает хотя бы имя и телефон через форму заявки, а таких проектов около 96%. Текст обновляют раз в год, согласие — при любом изменении целей сбора. Уведомление в уполномоченный орган подают до начала обработки, а не после запуска рекламы. Подробнее о правовых аспектах читайте в нашем материале про 152-ФЗ о персональных данных.

Пример из практики. Магазин товаров для сада из Воронежа работал два года с формой обратного звонка и без отдельного документа о правилах обработки. В марте 2025 года пришла жалоба от покупателя, которому продолжали приходить рассылки после отказа. Проверка надзорного органа нашла три нарушения: нет опубликованного текста, не оформлено согласие на маркетинг, не назначен ответственный за обработку. Итог — предписание, штраф 130 000 рублей и два месяца работы над бумагами. Основатель заплатил 60 000 рублей юристу, ещё 40 000 ушли на аудит процессов и перенастройку форм, что часто случается при разработке интернет-магазина без учета юридических нюансов.

По данным Роскомнадзора, в 2025 году ведомство провело свыше 12 000 проверок соблюдения законодательства о персональных данных. Доля компаний, получивших предписания за отсутствие опубликованных правил, составила около 23%. Средний штраф для организаций вырос с 30 000 до 90 000 рублей, для индивидуальных предпринимателей — с 10 000 до 30 000. Почти 40% нарушений выявляют не при плановой проверке, а по жалобе клиента, сотрудника или конкурента.

Кто обязан публиковать документ

Обязанность возникает не по размеру компании, а по факту работы с данными. Если через форму на странице вы получаете имя, телефон, почту или адрес доставки, вы уже оператор персональных данных и подпадаете под требования закона. Исключений для малого бизнеса, самозанятых и витрин без онлайн-оплаты нет: режим налогообложения здесь значения не имеет.

• Владельцы форм заявок, обратного звонка и подписки на новости (см. как настроить форму обратной связи).
• Магазины с онлайн-оплатой, доставкой и личным кабинетом покупателя.
• Сервисы с регистрацией: там хранятся пароли, телефоны и история заказов.
• Компании с CRM, колл-центром или рассылками по базе контактов.
• Медицинские, образовательные и кадровые проекты: у них данные особой категории.
• Подрядчики, которым передают базу клиентов на обработку по договору поручения.

Публикация текста — лишь часть обязанностей оператора. Нужно оформить приказ о назначении ответственного, вести журнал учёта обращений субъектов, хранить согласия и уведомить уполномоченный орган о начале обработки. Уведомление подаётся до фактического старта работы с данными. Нарушение срока — отдельный состав, за который наказывают независимо от остальных ошибок.

Что должно быть внутри документа

Текст пишут не для проверяющего, а для пользователя, поэтому язык должен быть понятным. Формулировки вида «в целях улучшения качества обслуживания» без расшифровки не проходят: инспектор ждёт конкретных целей, сроков и правовых оснований. Ниже — минимум, который стоит проверить перед публикацией, как это делается при составлении политики конфиденциальности на сайте.

• Сведения об операторе: полное наименование, адрес, контакты для обращений.
• Перечень обрабатываемых данных: имя, телефон, почта, адрес, файлы cookie.
• Цели обработки с указанием правового основания по каждому пункту.
• Способы обработки: сбор, запись, хранение, использование, удаление.
• Сроки хранения и порядок уничтожения после достижения цели.
• Права субъекта: доступ, уточнение, отзыв согласия, удаление сведений.
• Порядок передачи третьим лицам: хостинг, службы доставки, аналитика.
• Дата последнего обновления и способ связи с ответственным за обработку.

Отдельно оформляют согласие. Это не тот же документ: согласие — самостоятельный текст или галочка с расшифровкой, где человек подтверждает конкретные цели. Фраза «отправляя форму, вы соглашаетесь с правилами» покрывает базовую обработку, но не даёт права на рекламные рассылки и передачу контактов партнёрам. Для маркетинга нужно отдельное подтверждение, иначе жалоба почти гарантирована.

Таблица: когда документ нужен, а когда нет

Разница между строками таблицы не в формальностях, а в объёме обязанностей. Там, где сбор данных отсутствует, достаточно следить за настройками счётчиков. Где есть формы и оплата, комплект документов становится обязательным, а его отсутствие превращается в статью расходов наравне с рекламой.

Штрафы и как проходят проверки

Ответственность закреплена в Кодексе об административных правонарушениях. За обработку данных без согласия в письменной форме предусмотрено наказание от 30 000 до 150 000 рублей для юридических лиц, при повторном нарушении суммы растут кратно. За невыполнение обязанности по опубликованию правил штрафуют отдельно, поэтому отсутствие текста даёт сразу два состава.

• Нет опубликованных правил обработки — от 30 000 рублей и предписание.
• Обработка без согласия субъекта — от 150 000 рублей при повторном случае.
• Утечка данных — от 3 до 15 млн рублей, при повторе до 500 млн.
• Неуведомление уполномоченного органа — до 300 000 рублей.
• Игнорирование запроса пользователя об удалении — штраф и судебный иск.
• Отказ предоставить сведения о том, какие данные собраны, — отдельный протокол.

Проверки бывают плановые и внеплановые, последние чаще всего связаны с жалобой. Инспектор запрашивает внутренние документы: приказ о назначении ответственного, перечень обрабатываемых данных, журнал учёта обращений, договоры с подрядчиками. Если данных нет, компания получает предписание с конкретным сроком устранения, обычно от десяти дней до месяца. Нарушение срока превращается в новый протокол и повторный штраф.

Пошаговый порядок действий

Привести работу с данными в порядок можно за две недели, если идти по этапам и не откладывать учёт на последний день. Начните с инвентаризации: выпишите все формы, счётчики и сервисы, куда попадают сведения о людях. Затем определите, какие цели вы преследуете и на каком основании обрабатываете каждую категорию данных.

• Составить перечень форм, рассылок, счётчиков и внешних сервисов.
• Издать приказ о назначении ответственного за организацию обработки.
• Написать и опубликовать текст правил в открытом доступе.
• Оформить согласия отдельно для заявок, рассылок и передачи партнёрам.
• Подать уведомление в уполномоченный орган до начала обработки.
• Завести журнал обращений и регламент ответа с конкретными сроками.
• Проверить договоры с хостингом, доставкой и аналитикой на поручение обработки.
• Настроить сроки хранения и порядок уничтожения сведений.

Особое внимание уделите cookie и аналитике. Счётчики собирают идентификаторы посетителей, а значит, тоже относятся к персональным данным. При первом визите разумно показать короткое уведомление с кнопкой согласия и ссылкой на полный текст. Настройки счётчиков стоит проверить на предмет передачи сведений за рубеж: если серверы находятся в другой стране, требуется отдельное основание и уведомление.

Cookie, аналитика и зарубежные сервисы

Идентификаторы, которые записывает система веб-аналитики, привязываются к конкретному устройству и посетителю. По логике закона это те же персональные данные, даже если человек не оставил ни телефона, ни почты. Поэтому баннер о cookie — не украшение страницы, а рабочий инструмент: он фиксирует момент, когда посетитель узнал о сборе и согласился с ним. Подробнее о настройке читайте в статье про подключение Яндекс Метрики и Google Analytics.

Отдельная история — зарубежные платформы. Формально передача сведений за границу требует основания, а в ряде случаев и отдельного уведомления. На практике компании решают вопрос проще: переносят счётчик и почтовые рассылки на российские сервисы. Это снимает часть вопросов, но не отменяет необходимости описать в тексте, какие данные и куда уходят.

• Уведомление о cookie показывают до загрузки сторонних скриптов.
• В тексте перечисляют виды собираемых идентификаторов и срок их хранения.
• Согласие можно отозвать: для этого нужна рабочая кнопка, а не абзац в правилах.
• Часть аналитики отключают, если она больше не используется для отчётности.
• При передаче данных за границу указывают страну и правовое основание.

Простой тест: пройдите свой ресурс как посетитель и посмотрите, какие запросы к внешним серверам уходят при загрузке страницы. Если среди них есть системы, о которых нет ни слова в опубликованном тексте, значит документам веры не будет — это первое, что замечает проверяющий.

Передача данных подрядчикам

Хостинг, служба доставки, бухгалтерия на аутсорсе, рекламный подрядчик с доступом к базе — все эти организации получают персональные данные ваших клиентов. По закону каждый такой случай оформляется договором поручения на обработку, где указано, какие сведения передаются, с какой целью и какие меры защиты применяет исполнитель.

На практике чаще всего забывают про хостинг-провайдера и подрядчика по рекламе. Первый хранит базы данных вместе с контактами, второй получает доступ к спискам клиентов для настройки таргетинга. Без поручения и без упоминания в опубликованных правилах такая передача считается незаконной, а ответственность лежит на операторе, то есть на вас.

• Договор поручения с указанием состава данных и цели обработки.
• Подтверждение мер защиты: доступ по ролям, журналирование, резервные копии.
• Условие об удалении сведений после окончания договора.
• Запрет использовать базу в собственных целях подрядчика.
• Пункт об обязанности сообщать о любом инциденте в течение оговорённого срока.

Полезно раз в год проводить сверку списка подрядчиков с текстом правил. Компании редко проверяют этот перечень, а между тем именно расхождение между договорной практикой и опубликованным текстом превращает обычную проверку в затяжное дело с предписанием.

Ответственность руководителя и сотрудников

Наказание за нарушения ложится не только на организацию. Руководитель отвечает персонально: при повторных нарушениях возможна дисквалификация на срок до трёх лет. Отдельные составы касаются должностных лиц, которые отвечают за организацию обработки и обязаны контролировать доступ сотрудников к личным данным клиентов.

Внутри компании стоит закрепить простые правила. Сотрудник не может выгрузить базу на личный носитель, переслать список клиентов на частную почту или скопировать его для подработки на стороне. Каждый такой случай при утечке рассматривается как нарушение со стороны оператора, даже если виноват конкретный менеджер. Поэтому доступ выдают по ролям, а действия фиксируют в журналах системы.

• Перечень сотрудников с доступом к персональным данным и обоснование этого доступа.
• Обязательство о неразглашении при приёме на работу и при смене роли.
• Регламент действий при утечке: кому сообщать и в какой срок.
• Журналирование операций в CRM и учётной системе.
• Отзыв доступов при увольнении в день расторжения договора.

При инциденте важен не поиск виновного, а сроки уведомления. О факте утечки сообщают в надзорный орган в течение суток с момента обнаружения, а расследование проводят отдельно. Чем быстрее собрана информация о том, какие записи могли попасть наружу, тем меньше вопросов возникает при разборе. Отдельно проверьте согласие на рассылку: если в нём нет самостоятельной галочки, отказаться от писем пользователь не сможет, поэтому уведомление об отзыве согласия обязательно должно быть заметным и простым.

Типичные ошибки при оформлении

• Скопированный текст с чужого ресурса: не совпадают название, адрес и цели.
• Согласие спрятано в глубине страницы, где его не видит пользователь.
• В документе указаны одни цели, а по факту данные идут в рассылки.
• Забыли про файлы cookie и сторонние счётчики аналитики.
• Не назначен ответственный за организацию обработки сведений.
• Нет порядка ответа на обращения: запросы приходят, а реакции не следует.

Отдельная проблема — расхождения между документами. Если в правилах написано, что данные не передаются третьим лицам, а хостинг и служба доставки фактически их получают, это прямое несоответствие. Проверяющий сопоставляет опубликованный текст, договоры и реальную конфигурацию сервисов. Привести всё к одной версии дешевле, чем объяснять расхождение на проверке. Та же логика касается целей: нельзя собирать телефон «для доставки», а использовать его в холодных звонках.

Сколько стоит подготовка и что входит в комплект

Разработка комплекта документов занимает от двух до десяти рабочих дней и стоит от 15 000 до 60 000 рублей в зависимости от числа процессов. В смету обычно входят правила обработки, текст согласия, приказ о назначении ответственного, уведомление в орган и инструкция для сотрудников. Отдельной строкой идут мобильные приложения и международная передача данных.

• Правила обработки персональных данных под конкретные процессы.
• Формы согласий: базовая, для рассылок, для передачи партнёрам.
• Приказ и должностная инструкция ответственного за обработку.
• Уведомление в уполномоченный орган с корректным перечнем целей.
• Журнал учёта обращений и регламент ответа в установленный срок.
• Памятка для менеджеров: что нельзя обещать клиенту по телефону.

Многие компании останавливаются на публикации текста и считают задачу закрытой. Это самая частая и самая дорогая ошибка: проверяющий смотрит не на страницу, а на внутренние документы. Отсутствие приказа или журнала порождает предписание, даже если правила опубликованы и оформлены аккуратно. Комплект должен быть целостным, иначе он не защищает.

Часто задаваемые вопросы

Закажите разработку документов

Разобраться в требованиях несложно, а вот собрать комплект без ошибок получается не у всех. Мы готовим правила обработки, текст согласия, приказ и уведомление, проверяем формы на страницах и настраиваем порядок ответа на обращения. Рассчитайте стоимость проекта в квиз-калькуляторе или свяжитесь с нами для бесплатной консультации. Специалист посмотрит ваш случай, назовёт сроки и стоимость, а первичная консультация обойдётся без оплаты.