Как описать цели обработки персональных данных в политике: примеры без общих фраз

Коротко: Цель обработки нужно описать конкретно: что именно вы делаете с данными, для какого результата и в рамках какой деятельности. Формулировка строится по схеме «в целях [конкретная деятельность], а именно: [перечень действий]».

Как описать цели обработки персональных данных – этот вопрос встаёт перед каждым владельцем сайта, который готовит политику обработки ПДн. Формальный подход («обработка данных осуществляется в целях...») приводит к тому, что документ не раскрывает сути, а пользователи не понимают, зачем вы вообще собираете их данные.

Проблема в том, что большинство политик копируют друг у друга формулировки из разряда «для улучшения качества обслуживания» или «в маркетинговых целях». Это общие фразы, которые не раскрывают сути. В статье 5 152-ФЗ закреплён принцип: обработка должна быть ограничена конкретными, заранее определёнными и законными целями. Если цель не описана – обработка считается необоснованной, и это прямое нарушение. Разберём, как правильно сформулировать цели, какие формулировки использовать и как избежать типичных ошибок.

Почему общие формулировки – это риск для бизнеса

Если в политике написано «в целях развития бизнеса» или «для улучшения сервиса» – это абстракция. Из неё нельзя установить, какая конкретная операция с данными скрывается за такой формулировкой, а значит, нельзя оценить, соответствует ли обработка заявленной цели.

Юридические последствия расплывчатых целей:

• Привлечение по ст. 13.11 КоАП РФ – обработка, несовместимая с целями сбора, – нарушение ч. 1 ст. 13.11 КоАП: 150–300 тыс. ₽ для организации, 50–100 тыс. ₽ для ИП; повторно организации и ИП – 300–500 тыс. ₽ (ч. 1.1).
• Запрос уточнений – цель обработки входит в сведения уведомления (п. 2 ч. 3 ст. 22 152-ФЗ). Если сведения неполные или недостоверные, Роскомнадзор вправе потребовать уточнить их до внесения в реестр операторов (ч. 6 ст. 22).
• Проблемы с согласиями – согласие на обработку должно быть конкретным и предметным (ч. 1 ст. 9 152-ФЗ). Если цель в согласии описана общими словами, такое согласие можно оспорить, и тогда обработка, которая на нём держится, останется без законного основания.

Что говорит закон о целях обработки

152-ФЗ «О персональных данных» (от 27.07.2006) в статье 5 устанавливает принципы обработки. Ключевой принцип: обработка должна быть ограничена конкретными, заранее определёнными и законными целями. Не допускается обработка, несовместимая с целями сбора данных.

Статья 9 закона требует, чтобы согласие на обработку было конкретным, предметным, информированным, сознательным и однозначным. Это значит, что из текста согласия должно быть однозначно понятно: какие данные собираются, зачем, как долго хранятся и кому передаются.

Статья 10.1 (введена 519-ФЗ от 30.12.2020, действует с 1 марта 2021) регулирует обработку данных, разрешённых для распространения. Если вы планируете публиковать данные пользователей (например, отзывы с именем и фото), согласие на распространение оформляется отдельно от согласия на обработку, с правом человека указать условия и запреты.

Как правильно сформулировать цель: структура и требования

Хорошая формулировка цели обработки персональных данных отвечает на три вопроса:

1. Что именно вы делаете с данными? (собираете, храните, передаёте, используете для...)
2. Для какого конкретного результата? (заключение договора, доставка товара, начисление зарплаты)
3. В рамках какой деятельности? (основной уставной деятельности, требований закона, оказания конкретной услуги)

Правильная структура цели: «Обработка персональных данных осуществляется в целях [конкретная деятельность], а именно: [перечень конкретных действий]».

Требования к формулировке цели

• Конкретность – цель должна быть связана с реальной деятельностью вашей компании. Нельзя писать «для статистики», если вы на самом деле передаёте данные рекламным партнёрам.
• Измеримость – из формулировки должно быть понятно, когда цель достигнута (например, «для исполнения договора» – цель достигнута, когда договор исполнен).
• Соответствие закону – цель не должна противоречить законодательству. Например, «для сбора данных о состоянии здоровья» без письменного согласия или иного основания по ч. 2 ст. 10 152-ФЗ – нарушение.
• Ограниченность – цель должна быть узкой. «Для улучшения качества обслуживания» – слишком широко, а «для направления уведомлений о статусе заказа» – конкретно.

Примеры целей обработки персональных данных для разных ситуаций

Приведём формулировки, которые можно адаптировать под свой бизнес. Это не шаблоны для копирования «как есть», а ориентиры, как должна выглядеть конкретная цель.

Цели для интернет-магазина

• «Обработка персональных данных осуществляется в целях заключения и исполнения договора купли-продажи, а именно: оформление заказа, расчёт стоимости, доставка товара, возврат денежных средств, информирование о статусе заказа».
• «Обработка персональных данных осуществляется в целях регистрации и ведения личного кабинета покупателя, включая хранение истории заказов и предоставление доступа к электронным чекам».
• «Обработка персональных данных осуществляется в целях направления информационных сообщений о статусе доставки и сервисных уведомлений, связанных с исполнением договора».

Цели для сайта с формами обратной связи

• «Обработка персональных данных осуществляется в целях обработки обращений пользователей, а именно: получение и рассмотрение заявки, консультирование по услугам, подготовка коммерческого предложения».
• «Обработка персональных данных осуществляется в целях связи с пользователем по указанным им контактным данным для уточнения деталей обращения».

Цели для компании с сотрудниками

• «Обработка персональных данных работников осуществляется в целях кадрового учёта, начисления и выплаты заработной платы, ведения воинского учёта, оформления командировок, предоставления отпусков».
• «Обработка персональных данных осуществляется в целях исполнения требований налогового законодательства, а именно: ведение налоговых регистров, подача отчётности, исчисление страховых взносов».
• «Обработка персональных данных осуществляется в целях обеспечения пропускного режима на территорию организации, включая фиксацию времени прихода и ухода».

Цели для маркетинга и рекламы

• «Обработка персональных данных осуществляется в целях направления рекламных и информационных рассылок при условии отдельного согласия пользователя на получение таких рассылок».
• «Обработка персональных данных осуществляется в целях проведения опросов и исследований удовлетворённости клиентов, включая анализ ответов и подготовку сводной статистики».
• «Обработка персональных данных осуществляется в целях персонализации рекламных предложений на основе анализа истории просмотров и покупок пользователя».

Важно: для рекламных рассылок и звонков нужно отдельное предварительное согласие (ч. 1 ст. 15 152-ФЗ, ч. 1 ст. 18 закона «О рекламе»). Если пользователь не дал согласие на рекламу, но вы используете его данные для рассылок – это нарушение. Цель «для маркетинга» в политике не заменяет согласие на рекламную рассылку.

Цели для мобильных приложений

• «Обработка персональных данных осуществляется в целях предоставления функциональности приложения, а именно: создание учётной записи, синхронизация данных между устройствами, восстановление пароля».
• «Обработка персональных данных осуществляется в целях аналитики использования приложения, включая сбор обезличенной статистики о действиях пользователя для улучшения интерфейса».
• «Обработка геолокационных данных осуществляется в целях предоставления функций, связанных с определением местоположения пользователя (построение маршрута, поиск ближайших объектов), только при активном использовании соответствующих функций».

Как описать цель, если данных несколько: группировка по направлениям

На практике у компании редко бывает одна цель. Обычно это 5–10 разных направлений обработки. Чтобы политика осталась читаемой, цели группируют по направлениям деятельности.

Пример группировки целей в политике

Раздел «Цели обработки персональных данных»:

1. Заключение и исполнение договоров – обработка данных клиентов и контрагентов для оформления заказов, выставления счетов, доставки товаров, подписания актов.
2. Кадровый учёт – обработка данных сотрудников для оформления трудовых отношений, начисления зарплаты, ведения кадровой документации.
3. Обратная связь и поддержка – обработка данных пользователей, обратившихся через формы на сайте, для консультирования и решения вопросов.
4. Маркетинговые коммуникации – обработка данных для направления рекламных материалов (только при отдельном согласии).
5. Безопасность – обработка данных для обеспечения информационной безопасности, включая логирование действий пользователей и защиту от несанкционированного доступа.

Внутри каждой группы можно перечислить конкретные действия. Такая структура понятна и проверяющему, и пользователю.

Типичные ошибки при описании целей

Ошибка 1: «Улучшение качества обслуживания»

Это самая распространённая общая фраза. Что именно вы улучшаете? Скорость доставки? Интерфейс сайта? Работу колл-центра? Без конкретики цель не проверяема. Замените на: «анализ обращений пользователей для оптимизации времени ответа службы поддержки».

Ошибка 2: «В маркетинговых целях»

Слишком широко. Маркетинг – это и рассылки, и реклама, и опросы, и аналитика. Уточните: «для направления информационных писем о новых акциях и скидках при наличии отдельного согласия пользователя».

Ошибка 3: «Для исполнения законодательства»

Это не цель, а основание. Из такой формулировки не видно, какой именно закон вы исполняете и какие данные для этого нужны. Укажите это прямо, например: «для исполнения требований налогового законодательства в части исчисления и уплаты страховых взносов».

Ошибка 4: Цель не соответствует реальной обработке

Если в политике написано «для исполнения договора», а на деле вы передаёте данные рекламным партнёрам – это нарушение. Заявленные цели сравнивают с фактическими действиями с данными, поэтому расхождение – риск.

Ошибка 5: Цель без указания срока обработки

Цель должна быть связана со сроком обработки: хранить данные можно не дольше, чем требует цель, если срок не установлен законом или договором (ч. 7 ст. 5 152-ФЗ). Если вы пишете «для исполнения договора», укажите, что данные хранятся в течение срока договора и далее столько, сколько требует закон, – например, не менее 5 лет для бухгалтерских документов (ст. 29 402-ФЗ) или 3 года исковой давности (ст. 196 ГК). Срок хранения самого документа-согласия (3 года, Перечень Росархива № 236) – это отдельный вопрос.

Общие формулировки можно заменить на конкретные, привязанные к реальным действиям с данными.

Как связать цели обработки с согласием

Цели в согласии должны совпадать с теми целями политики, для которых основание – согласие. Цели по договору и закону (кадровый учёт, налоги, исполнение заказа) в согласие включать не нужно: после отзыва согласия оператор вправе продолжить обработку по этим основаниям (ч. 2 ст. 9).

Структура письменного согласия по ч. 4 ст. 9 152-ФЗ:

• ФИО субъекта персональных данных (или его представителя).
• Адрес, номер документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе.
• Наименование оператора (вашей компании) и его адрес.
• Цель обработки персональных данных – та же формулировка, что в политике (для целей, основанных на согласии).
• Перечень персональных данных, на обработку которых даётся согласие.
• Наименование и адрес лица, которое обрабатывает данные по поручению оператора (если обработка будет поручена).
• Перечень действий с данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение) и общее описание способов обработки.
• Срок действия согласия и способ его отзыва.
• Подпись субъекта.

Для согласия, которое посетитель даёт галочкой в форме на сайте, письменная форма не обязательна, но этот состав – удобный ориентир.

С 1 сентября 2025 года согласие оформляют отдельно от иных документов, которые подписывает человек (ч. 1 ст. 9 в ред. 156-ФЗ).

Если вы обрабатываете специальные категории данных (здоровье, национальность и другие – ч. 1 ст. 10 152-ФЗ), нужно согласие в письменной форме, кроме случаев ч. 2 ст. 10; состав письменного согласия – девять пунктов ч. 4 ст. 9. Сведения о судимости в перечень ч. 1 ст. 10 не входят – для них отдельное правило ч. 3 ст. 10. Для биометрических данных (ст. 11 152-ФЗ) – только письменное согласие, кроме исключений, перечисленных в законе.

Цели обработки и cookie: что писать в политике

Cookie могут быть персональными данными, если их можно связать с человеком (ст. 3 152-ФЗ). За обработку данных без законного основания – в том числе за сбор cookie без согласия – организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Прямой нормы, запрещающей счётчики и cookie до согласия, в 152-ФЗ нет, как нет и единой нормы о формате cookie-баннера. Это позиция Роскомнадзора: cookie, идентификаторы и IP-адрес посетителя он считает персональными данными, а для их обработки счётчиком нужно согласие (ч. 1 ст. 6 и ст. 9 152-ФЗ). Поэтому надёжнее не запускать счётчики до согласия, а согласие получать активным действием посетителя (кнопка «Принять» или галочка), а не продолжением просмотра сайта.

В политике цели обработки cookie стоит описать так:

• «Обработка файлов cookie осуществляется в целях обеспечения работоспособности сайта, запоминания настроек пользователя, анализа посещаемости и поведения пользователей на сайте».
• «Обработка файлов cookie рекламными партнёрами осуществляется в целях показа персонализированной рекламы только при условии отдельного согласия пользователя».

Если вы передаёте данные в зарубежные сервисы аналитики (например, Google Analytics), помните: перечень стран с адекватной защитой – приказ РКН от 16.09.2026 № 253 (США в нём нет), проверьте по нему страну сервиса. О трансграничной передаче нужно уведомить Роскомнадзор до её начала – в любую страну, отдельно от уведомления об обработке персональных данных. Если страна в перечень не входит – например, США – передавать данные можно не раньше чем через 10 рабочих дней после уведомления: за это время Роскомнадзор рассматривает его и вправе запретить передачу. Уведомление не разрешает собирать данные сразу в зарубежную базу: при сборе данные россиян нельзя записывать и хранить в базах за пределами России (ч. 5 ст. 18 152-ФЗ), штраф – 1–6 млн ₽ для организации и ИП (ч. 8 ст. 13.11 КоАП). Счётчик, который отправляет данные посетителей прямо на зарубежные серверы, надёжнее заменить российским.

Как проверить, что цели в вашей политике корректны

Чек-лист для самопроверки

1. Каждая цель конкретна – из неё понятно, какие действия с данными выполняются.
2. Цель соответствует реальной деятельности – вы действительно делаете то, что написали.
3. Цель не дублирует другую – нет пересечений между разделами.
4. Цель согласована с согласием – для целей, основанных на согласии, формулировки в политике и согласии совпадают.
5. Указаны сроки обработки – для каждой цели есть срок хранения данных.
6. Цель законна – обработка не нарушает требований 152-ФЗ и смежных законов.
7. Для специальных категорий – есть письменное согласие или иное основание по ч. 2 ст. 10 152-ФЗ.
8. Для биометрии – есть письменное согласие по ст. 11 152-ФЗ.
9. Для распространения данных – есть отдельное согласие по ст. 10.1 152-ФЗ.
10. Для передачи за рубеж – подано уведомление о трансграничной передаче (ст. 12 152-ФЗ), а при сборе данные россиян не записываются в зарубежные базы (ч. 5 ст. 18).

Как проверить формулировку

Возьмите любую цель из вашей политики и задайте вопрос: «Что именно я делаю с данными в рамках этой цели?» Если ответ – «храню, потому что надо», цель сформулирована неправильно. Правильный ответ: «собираю адрес доставки, чтобы передать его курьерской службе и доставить заказ».

Что делать, если цели в старой политике сформулированы общими фразами

Если ваша текущая политика содержит формулировки вроде «для улучшения качества обслуживания», её нужно переработать. Пошаговый план:

1. Составьте перечень всех операций с данными. Пройдитесь по сайту: какие формы сбора данных есть, какие сервисы подключены (аналитика, CRM, рекламные кабинеты), какие данные передаются третьим лицам.
2. Сгруппируйте операции по направлениям. Например: «работа с клиентами», «кадровый учёт», «маркетинг», «безопасность».
3. Сформулируйте конкретную цель для каждой группы. Используйте структуру «в целях [деятельность], а именно [конкретные действия]».
4. Согласуйте цели с согласиями. Обновите форму согласия, чтобы цели в ней совпадали с политикой.
5. Обновите политику и разместите новую версию на сайте. Укажите дату вступления в силу новой редакции.
6. Уведомите пользователей об изменении политики. Если у вас есть контакты пользователей, направьте уведомление. Если нет – разместите информацию на сайте.
7. Сообщите об изменениях в Роскомнадзор. Цели указаны в уведомлении об обработке, и об их изменении нужно сообщить не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22 152-ФЗ).

Ответственность за некорректно описанные цели

Обработка, несовместимая с целями сбора, – ч. 1 ст. 13.11 КоАП: 150–300 тыс. ₽ для организации, 50–100 тыс. ₽ для ИП; повторно – 300–500 тыс. ₽ (ч. 1.1).

За утечку данных (420-ФЗ от 30.11.2024, вступил в силу 30.05.2025): от 3 до 15 млн рублей по числу людей, если утекли данные от 1 000 человек (ч. 12–14 ст. 13.11 КоАП), специальные категории – 10–15 млн (ч. 16), биометрия – 15–20 млн (ч. 17); за неуведомление РКН об утечке – отдельный штраф 1–3 млн (ч. 11). Оборотный штраф (ч. 15 ст. 13.11 КоАП, повторная утечка) – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей.

Уголовная ответственность: ст. 272.1 УК (действует с 11.12.2024) – незаконное использование, передача, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём: штраф до 300 000 рублей, принудительные работы или лишение свободы до 4 лет (ч. 1).

Что запомнить

Как описать цели обработки персональных данных – от этого зависит, насколько ваша политика соответствует закону и понятна пользователям. Главный принцип: цель должна быть конкретной, измеримой и соответствовать реальным операциям с данными.

Правильная формулировка цели отвечает на вопросы «что именно вы делаете с данными» и «зачем». Общие фразы («для улучшения сервиса», «в маркетинговых целях») – это риск. Конкретные формулировки («для доставки заказа курьерской службой», «для направления уведомлений о статусе заказа») – это защита вашего бизнеса.

Переработайте свою политику, используя принципы из этой статьи: сгруппируйте цели по направлениям, свяжите их с согласиями, укажите сроки обработки. И помните: политика – это отражение реальной работы с данными. Если цели описаны честно и конкретно, проверяющему и пользователю сразу видно, что и зачем вы делаете с данными.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 5 (принципы обработки, конкретные и заранее определённые цели)
• 152-ФЗ «О персональных данных» – ст. 9 (согласие на обработку)
• 152-ФЗ «О персональных данных» – ст. 10 (специальные категории данных)
• 152-ФЗ «О персональных данных» – ст. 10.1 (обработка данных, разрешённых для распространения)
• 152-ФЗ «О персональных данных» – ст. 11 (биометрические данные)
• 152-ФЗ «О персональных данных» – ст. 3 (понятие персональных данных), ч. 3, 6 и 7 ст. 22 (сведения уведомления, их уточнение и изменение)
• 152-ФЗ «О персональных данных» – ст. 15 (согласие на рекламные контакты), ст. 12 и ч. 5 ст. 18 (трансграничная передача и локализация)
• 38-ФЗ «О рекламе» – ч. 1 ст. 18 (реклама по сетям электросвязи)
• ГК РФ – ст. 196 (срок исковой давности); 402-ФЗ «О бухгалтерском учёте» – ст. 29 (хранение документов)
• КоАП РФ – ст. 13.11 (ответственность за нарушение обработки персональных данных)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.