Политика конфиденциальности для сайта: структура и типовые ошибки

Политика обработки персональных данных — единственный документ, который закон прямо требует опубликовать в открытом доступе. Не хранить в папке у юриста, не показывать по запросу, а разместить на сайте так, чтобы любой посетитель мог его открыть. Это статья 18.1 закона № 152-ФЗ, и проверяется она первой: инспектору не нужно запрашивать документы, достаточно открыть ваш сайт.

При этом в девяти случаях из десяти на сайте лежит документ, скачанный у другой компании и наспех переименованный. Он создаёт ощущение порядка и одновременно — новое нарушение, потому что описывает обработку данных, которой у вас нет, и не описывает ту, которая есть.

Чем политика отличается от согласия

Эти два документа постоянно путают, хотя у них разные адресаты и разные функции.

Политика — это ваш односторонний документ. Вы публично объявляете: мы такая-то компания, собираем такие-то данные, для таких-то целей, храним столько-то, защищаем так-то. Она одна на всю организацию и действует для всех — посетителей сайта, клиентов, сотрудников, кандидатов.

Согласие — это действие конкретного человека в конкретный момент: он поставил галочку под формой. Согласие относится к одному сценарию — например, к заявке с сайта. Как оно должно быть устроено на стороне форм, мы разобрали отдельно: согласие на обработку персональных данных на сайте.

Отсюда практическое следствие: ссылка на политику под формой не заменяет согласие, а галочка «согласен с политикой» не является согласием на обработку данных. Нужны оба документа, и они должны ссылаться друг на друга.

Что должно быть внутри

Закон задаёт не форму, а состав сведений. Минимально необходимые разделы:

1. Кто оператор. Полное наименование юридического лица или ФИО предпринимателя, ИНН, юридический и фактический адрес, контакты для обращений по вопросам обработки данных. Отдельная почта вроде privacy@ не обязательна, но упрощает жизнь: обращения об отзыве согласия не теряются в общем ящике.
2. Правовые основания. На чём вы стоите: согласие субъекта, исполнение договора, требование закона. Для сайта с формой заявки основание одно — согласие.
3. Категории субъектов и данных. Разделите по группам: посетители сайта (имя, телефон, почта, cookies), клиенты (плюс реквизиты, адрес доставки), сотрудники и кандидаты (плюс паспортные данные). Если группы перечислены одним списком, читатель не поймёт, что именно собирают у него.
4. Цели обработки. Для каждой категории — свои. «Связаться с пользователем по оставленной заявке», «направить коммерческое предложение», «выполнить обязательства по договору». Формулировка «улучшение качества обслуживания» не годится: под неё можно подвести что угодно, а значит цель не определена.
5. Что именно вы с данными делаете. Сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление. Это не бюрократическая формальность: если данные уходят в стороннюю CRM, вы совершаете передачу, и она должна быть названа.
6. Кому передаются данные. Самый пропускаемый пункт. Сервис рассылок, облачная CRM, коллтрекинг, платёжный сервис, курьерская служба — всё это третьи лица. Называть их поимённо закон не требует, но категории указать нужно.
7. Сроки хранения. Либо конкретный срок, либо условие: «до достижения цели обработки», «до отзыва согласия». Бессрочное хранение «на всякий случай» — нарушение принципа ограничения объёма.
8. Права субъекта и порядок их реализации. Как человеку узнать, какие данные о нём есть, потребовать уточнения или удаления, отозвать согласие. Здесь должен быть рабочий адрес и срок реакции.
9. Меры защиты. Без описания технических деталей, которое само по себе стало бы уязвимостью: разграничение доступа, шифрование канала, резервное копирование, назначение ответственного за организацию обработки.
10. Работа с cookies. Какие технологии стоят на сайте — Яндекс.Метрика, счётчики рекламных систем, коллтрекинг, — что они собирают и как от них отказаться.
11. Порядок обновления документа. Дата последней редакции обязательна. Документ без даты выглядит как никогда не пересматривавшийся.

Шесть признаков, что политика скачана у чужих

Мы открываем этот документ на каждом аудите, и опознать заимствование можно за минуту:

• в тексте фигурирует другое юрлицо — чаще всего в разделе про контакты, куда не дошли руки при замене;
• описаны данные, которых вы не собираете — паспортные данные и сведения о состоянии здоровья в политике веб-студии;
• не описаны данные, которые вы собираете — cookies, UTM-метки, номер из коллтрекинга;
• перечислены сервисы, которых у вас нет, — Google Analytics у компании, работающей только с Метрикой;
• указан несуществующий адрес для обращений — почта, которую никто не читает, или домен другой компании;
• нет даты редакции либо стоит дата четырёхлетней давности при том, что формы на сайте с тех пор переделывали дважды.

Отдельная ловушка — генераторы политик. Документ, собранный конструктором за минуту, формально содержит нужные разделы, но описывает абстрактный сайт. Как только фактическая обработка расходится с заявленной, документ начинает работать против вас: он становится доказательством того, что вы знали о требованиях и всё равно их не соблюдали.

Где размещать и как связать с формами

Минимум — постоянная ссылка в подвале на всех страницах. Этого мало.

Политика должна быть доступна там, где человек принимает решение отдать данные: рядом с каждой формой, включая всплывающие окна, форму обратного звонка в шапке и форму подписки в подвале. Отдельная страница с человекопонятным адресом вроде /privacy/, открывающаяся в новой вкладке, — чтобы заполненная форма не потерялась.

Три технические детали, которые ломают всю конструкцию:

• ссылка ведёт на 404 после переезда или смены структуры URL — проверяется за секунду, ломается незаметно;
• документ выложен файлом .doc или .pdf вместо страницы: он хуже индексируется, не открывается на части телефонов и не даёт поставить дату редакции на видное место;
• страница закрыта от индексации в robots.txt или мета-тегом — формально доступ есть, но документ не находится поиском, а РКН смотрит в том числе и на это.

Когда документ нужно обновлять

Политика — не бумага, которую пишут один раз. Пересматривать её нужно, когда:

• на сайте появилась новая форма или новый тип собираемых данных;
• подключили новый сервис — CRM, рассылку, коллтрекинг, чат;
• поменялись реквизиты или адрес компании;
• изменилось законодательство: последняя крупная правка ответственности — Федеральный закон от 30.11.2024 № 420-ФЗ, действующий с 30 мая 2025 года;
• прошло больше года без пересмотра.

Практика простая: правка форм на сайте и правка политики — одна задача, а не две. Если разработчик добавил поле «должность» в форму заявки, документ устарел в тот же день.

Как проверить свою политику за десять минут

Откройте документ на сайте и пройдите по списку:

• название вашей компании, ИНН и адрес — ваши, а не чужие;
• перечислены все формы, которые есть на сайте сейчас;
• указаны cookies и счётчики аналитики;
• названы категории третьих лиц, которым уходят данные;
• есть срок хранения и порядок отзыва согласия;
• указан рабочий адрес для обращений — напишите на него письмо и убедитесь, что оно дошло;
• стоит дата последней редакции;
• ссылка из подвала и из форм открывается, страница отдаёт код 200 и не закрыта от индексации.

Если расхождения нашлись — это не повод переписывать документ с нуля, обычно достаточно привести его в соответствие с фактической обработкой. Полный разбор того, что ещё смотрит регулятор, — в чек-листе проверки сайта на соответствие 152-ФЗ: там 12 пунктов, суммы штрафов и порядок проверок.

Частые вопросы

---

Материал носит информационный характер и не заменяет юридическую консультацию. Если нужно привести в порядок документы, формы и уведомление сразу — это услуга приведения сайта в соответствие с 152-ФЗ. Если неясно, что именно не так, — начните с аудита сайта.