152-ФЗ
Политика обработки персональных данных для сайта
Политика обработки персональных данных — это обязательный документ, который оператор, собирающий данные через сайт, должен опубликовать в открытом доступе (ч. 2 ст. 18.1 152-ФЗ). Она определяет, какие данные, с какими целями и на каком основании обрабатывает компания, и какие меры защиты применяет. Отсутствие политики на сайте — одно из самых частых нарушений, которое Роскомнадзор видит сразу при открытии страницы.
Часто путают два документа. «Политика конфиденциальности» — это бытовое, маркетинговое название, пришедшее из зарубежной практики. Российский закон требует именно «Политику в отношении обработки персональных данных»: документ с конкретным составом сведений, опубликованный по постоянному адресу и доступный неограниченному кругу лиц. Можно называть страницу привычным словом, но по содержанию она должна соответствовать требованиям 152-ФЗ, иначе формально политики у оператора нет.
Вторая распространённая ошибка — взять первый попавшийся шаблон из интернета и вставить название своей компании. Такой документ описывает абстрактную обработку, а не то, что реально происходит на вашем сайте: какие формы собирают данные, куда они уходят, используются ли аналитические счётчики и cookie, передаются ли данные партнёрам. При проверке расхождение между текстом политики и фактической обработкой само становится нарушением: инспектор сверяет одно с другим напрямую.
Мы делаем политику от факта, а не от шаблона: сканируем сайт через Chromium, находим точки сбора данных, сверяем с целями и основаниями обработки и собираем документ под вашу реальную деятельность. Текст такой политики описывает то, что реально происходит на сайте, и не расходится с тем, что видит проверяющий.
ст. 18.1 152-ФЗОснование
На сайте, по постоянному адресуГде размещать
Открытый, неограниченному кругу лицДоступ
Шаблон, не отражающий фактЧастая ошибка
Роскомнадзором напрямую на сайтеПроверяется
Зачем политику вообще публиковать на сайте
Часть 2 статьи 18.1 152-ФЗ прямо обязывает оператора, который собирает персональные данные через информационно-телекоммуникационные сети, опубликовать документ, определяющий его политику в отношении обработки, и сведения о реализуемых требованиях к защите. Ключевое слово — «опубликовать»: политику недостаточно иметь «в папке», она должна быть доступна любому посетителю по постоянному адресу.
На практике это первое, что смотрит Роскомнадзор и на что жалуются субъекты. Если человек оставляет данные в форме, а рядом нет ссылки на политику и на согласие, обработка идёт без выполнения информационной обязанности оператора. Поэтому политика — не «документ ради галочки», а публичное подтверждение того, что компания понимает, какие данные собирает и зачем, и берёт на себя обязательства по их защите.
- Публикация обязательна по ст. 18.1, а не по желанию
- Доступ по постоянному адресу, для любого посетителя
- Ссылка на политику — рядом с каждой формой сбора данных
- Отсутствие политики видно проверяющему сразу
Что происходит, когда политики нет или она формальная
Отсутствие политики на сайте — прямое нарушение статьи 18.1, которое фиксируется без выезда: достаточно открыть сайт. Но не лучше и ситуация, когда политика есть, но взята из шаблона и не отражает реальную обработку. Тогда возникает расхождение: в документе написано одно, а формы, счётчики и cookie на сайте делают другое. Такое расхождение при проверке трактуется не в пользу оператора и само по себе становится основанием для претензии.
Размещение корректной политики — базовое требование, которое закрывают в первую очередь. Рабочий вариант — политика, собранная от фактической обработки: она не расходится с тем, что происходит на сайте, и обновляется, когда меняются формы или подключаются новые сервисы.
- Нет политики — нарушение ст. 18.1, видно при открытии сайта
- Шаблонная политика расходится с фактом — тоже нарушение
- Отсутствие политики — частое основание для жалоб субъектов
- Политика от факта не расходится с сайтом и обновляется по мере изменений
Частые вопросы
Чем политика обработки персональных данных отличается от политики конфиденциальности?
«Политика конфиденциальности» — бытовое, маркетинговое название. Российский закон (ст. 18.1 152-ФЗ) требует «Политику в отношении обработки персональных данных» — документ с конкретным составом сведений, опубликованный по постоянному адресу. Назвать страницу можно привычным словом, но по содержанию она должна соответствовать 152-ФЗ, иначе формально политики у оператора нет.
Обязательно ли размещать политику на сайте?
Да. Если оператор собирает персональные данные через сайт (любые формы: заявки, обратная связь, регистрация, подписка), он обязан опубликовать политику обработки в открытом доступе по постоянному адресу (ст. 18.1 152-ФЗ). Ссылка на политику должна быть доступна рядом с формами сбора данных. Отсутствие политики фиксируется Роскомнадзором сразу при открытии сайта.
Что должно быть в политике обработки персональных данных?
Основные сведения: цели обработки, правовые основания, категории субъектов и обрабатываемых данных, порядок и условия обработки и сроки хранения, права субъектов и порядок их реализации, сведения о возможной передаче данных, актуальные реквизиты оператора. Состав должен соответствовать реальной обработке на вашем сайте, а не описывать абстрактную деятельность.
Можно ли взять готовый шаблон политики из интернета?
Технически можно, но это рискованно. Шаблон описывает абстрактную обработку и почти никогда не учитывает ваши реальные формы, аналитические счётчики, cookie и передачу данных партнёрам. При проверке расхождение между текстом политики и фактической обработкой само становится нарушением, потому что Роскомнадзор сверяет одно с другим напрямую. Надёжнее собрать политику от факта.
Чем грозит отсутствие политики на сайте?
Отсутствие опубликованной политики — нарушение части 2 статьи 18.1 152-ФЗ, которое фиксируется без выезда: достаточно открыть сайт. Это одно из самых частых оснований для претензий и жалоб субъектов. Размещение корректной политики — базовое требование, которое закрывают в первую очередь.
Как часто нужно обновлять политику?
Политику обновляют, когда меняется фактическая обработка: появляются новые формы, подключаются сервисы и счётчики, меняются цели или реквизиты оператора, выходят значимые изменения законодательства. Формально жёсткой периодичности нет, но политика, которая разошлась с реальной обработкой, перестаёт защищать оператора. Мы помогаем поддерживать документ в актуальном состоянии.
