Коротко: Политика конфиденциальности – добровольный документ, охватывающий любые сведения о пользователе, включая cookie и технические данные. Политика обработки персональных данных – обязательный документ по 152-ФЗ, регулирующий только персональные данные.
Многие владельцы сайтов путают два документа или считают их взаимозаменяемыми. На практике разница между политикой конфиденциальности и политикой обработки персональных данных принципиальна: это разные правовые режимы, разные требования к содержанию и разная ответственность за отсутствие. Разберёмся по порядку.
Что такое политика конфиденциальности
Политика конфиденциальности (Privacy Policy) – это документ, который регулирует отношения с пользователями сайта по поводу любых собираемых сведений, включая персональные данные, но не ограничиваясь ими. Она описывает:
- Какие данные собираются (включая cookie, техническую информацию браузера, IP-адреса)
- Как эти данные используются
- Кому и при каких условиях могут передаваться
- Как пользователь может отказаться от сбора или удалить данные
Этот документ пришёл из западной практики (в ЕС сейчас действует GDPR) и не имеет прямого аналога в российском законодательстве. В России политика конфиденциальности – это добровольный документ, который сайт принимает для информирования пользователей. Он не предусмотрен 152-ФЗ «О персональных данных», но часто используется как дополнение или замена политики обработки ПДн на сайтах, работающих с иностранной аудиторией.
Что такое политика обработки персональных данных
Политика обработки персональных данных – это документ, прямо предусмотренный 152-ФЗ. Он обязателен для любого оператора ПДн (организации или ИП, которые собирают и обрабатывают данные граждан). По ч. 2 ст. 18.1 152-ФЗ оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн. Если данные собираются через сайт, политику публикуют на страницах сайта, через которые идёт сбор.
Этот документ должен содержать:
- Цели обработки ПДн
- Правовые основания обработки
- Перечень обрабатываемых данных
- Порядок и условия обработки
- Сроки обработки и хранения
- Порядок уничтожения данных при достижении целей или отзыве согласия
- Сведения о реализуемых требованиях к защите данных
Политика обработки ПДн – это часть системы защиты персональных данных оператора. Если её нет на сайте, это нарушение ч. 2 ст. 18.1 152-ФЗ.
Основные различия между документами
Правовой статус
Политика конфиденциальности – добровольный документ, не предусмотренный российским законодательством. Политика обработки ПДн – обязательный документ, прямо требуемый 152-ФЗ.
Сфера регулирования
Политика конфиденциальности охватывает любые сведения о пользователе (включая cookie, историю просмотров, технические данные), не только те, что подпадают под определение персональных данных. Политика обработки ПДн регулирует только отношения, связанные с персональными данными в смысле 152-ФЗ.
Требования к содержанию
Для политики конфиденциальности нет законодательно установленных требований к структуре и содержанию. Для политики обработки ПДн требования установлены ст. 18.1 152-ФЗ и разъяснениями Роскомнадзора.
Ответственность за отсутствие
За неопубликованную политику обработки ПДн – штраф по ч. 3 ст. 13.11 КоАП РФ: ИП – 10–20 тыс. ₽, организации – 30–60 тыс. ₽. За отсутствие отдельной политики конфиденциальности ответственности нет. Но если сайт собирает cookie и данные счётчиков, их нужно описать в политике обработки ПДн – после решения Таганского суда (2024) cookie считаются персональными данными.
Когда нужна политика конфиденциальности
Российский закон отдельной политики конфиденциальности не требует. Описать нужно сами данные, и это можно сделать в политике обработки ПДн. Отдельный документ (политика конфиденциальности или политика cookie) удобен, если:
- Сайт собирает cookie или технические данные (IP-адреса, информацию о браузере)
- Сайт использует аналитические системы (Яндекс Метрика, Top.Mail.ru)
- Сайт ориентирован на жителей ЕС – тогда может применяться GDPR со своими требованиями
- Сайт передаёт данные третьим лицам (рекламные сети, партнёры)
В октябре 2024 года Таганский суд Москвы признал cookie персональными данными. Поэтому cookie и данные счётчиков нужно описать в политике обработки ПДн (или в отдельной политике cookie) и получить на них согласие.
Когда нужна политика обработки персональных данных
Политика обработки ПДн обязательна, если:
- Сайт собирает любые персональные данные (ФИО, телефон, email, адрес)
- Организация обрабатывает данные сотрудников
- Сайт использует формы обратной связи, подписки, регистрации
- Сайт принимает заявки или заказы от пользователей
Фактически, политика обработки ПДн нужна любому сайту, который взаимодействует с пользователями и собирает их данные. Даже простая форма обратной связи с полем «Имя» и «Телефон» делает владельца сайта оператором ПДн.
Как документы соотносятся на практике
На многих российских сайтах эти два документа объединены или один заменяет другой. Объединять можно, но с оговорками:
- Если на сайте есть только политика конфиденциальности, а в ней нет того, что требует 152-ФЗ (цели, основания, перечень данных, сроки, порядок уничтожения), – требование ч. 2 ст. 18.1 не выполнено. Штраф – по ч. 3 ст. 13.11 КоАП: ИП 10–20 тыс. ₽, организации 30–60 тыс. ₽
- Если на сайте есть только политика обработки ПДн, а сайт собирает cookie и данные счётчиков, – их нужно описать в этой же политике. Иначе документ не отражает реальную обработку
Оптимальный вариант – иметь оба документа или один документ, который явно охватывает обе сферы (например, «Политика в отношении обработки персональных данных и конфиденциальности»).
Типичные ошибки при составлении
Путаница в терминах
Многие владельцы сайтов называют политику конфиденциальности «политикой обработки персональных данных» и наоборот. Закон не требует конкретного названия: ч. 2 ст. 18.1 152-ФЗ говорит о «документе, определяющем политику в отношении обработки персональных данных». Значение имеет содержание – документ под любым названием должен содержать всё, что требует закон.
Отсутствие обязательных разделов
В политике обработки ПДн обязательно должны быть указаны: цели обработки, правовые основания, перечень данных, сроки обработки, порядок уничтожения. Без этих разделов документ считается неполным.
Копирование чужого документа
Нельзя просто скопировать политику с другого сайта – она должна отражать реальные процессы обработки данных именно вашей организации. Скопированная политика описывает чужие цели, данные и сроки, а не вашу реальную обработку.
Неактуальность
Законодательство меняется. Например, с 1 марта 2021 года согласие на распространение данных (публикацию отзывов с именем, фото сотрудников) оформляется отдельно (ст. 10.1 152-ФЗ). С 1 сентября 2025 года согласие на обработку тоже оформляется отдельно от других документов (156-ФЗ): «согласие», вписанное в текст политики, этому требованию не отвечает.
Что должно быть в каждом документе
В политике конфиденциальности:
- Какие данные собираются (включая cookie, IP, техническую информацию)
- Как используются cookie и аналитические системы
- Как пользователь может управлять cookie (отключить, удалить)
- Условия передачи данных третьим лицам
- Контакты для вопросов
В политике обработки персональных данных:
- Цели обработки ПДн
- Правовые основания (согласие, договор, закон)
- Перечень обрабатываемых данных
- Сроки обработки и хранения
- Порядок уничтожения при отзыве согласия (30 дней по ч. 5 ст. 21 152-ФЗ)
- Сведения о мерах защиты данных
- Права субъектов ПДн (доступ, исправление, удаление)
- Контакты для обращений (у организации – ответственного за обработку)
Ответственность за нарушения
За отсутствие политики обработки ПДн
Ч. 3 ст. 13.11 КоАП РФ (политика не опубликована и к ней нет неограниченного доступа): ИП – 10–20 тыс. ₽, должностные лица – 6–12 тыс. ₽, организации – 30–60 тыс. ₽. Малому бизнесу при первом нарушении, выявленном при госконтроле, если вреда нет, штраф могут заменить предупреждением (ст. 4.1.1 КоАП).
За отсутствие политики конфиденциальности
Отдельной ответственности нет. Если cookie и данные счётчиков описаны в политике обработки ПДн и на них получено согласие, второй документ не обязателен. Если же сайт собирает cookie без согласия, вопрос уже не в политике, а в обработке без законного основания: ч. 1 ст. 13.11 КоАП – ИП 50–100 тыс. ₽, организации 150–300 тыс. ₽.
За несоответствие требованиям 152-ФЗ
Если политика обработки ПДн не соответствует реальной обработке или в ней нет обязательных сведений, требование закона формально не выполнено. По сайтам Роскомнадзор обычно сначала направляет требование устранить нарушения и даёт срок на исправление.
Практические рекомендации
Для малого бизнеса и ИП
Если вы собираете только базовые данные (имя, телефон, email для связи) и не передаёте их третьим лицам – достаточно политики обработки ПДн, которая охватывает и вопросы конфиденциальности. Убедитесь, что в документе есть раздел о cookie и технических данных.
Для интернет-магазинов
Подойдут два документа или один комплексный, но подробный. Интернет-магазины собирают много данных (адрес доставки, платёжные данные, история заказов) и часто передают их службам доставки, платёжным системам – это нужно явно отражать.
Для сайтов с регистрацией пользователей
Нужна полноценная политика обработки ПДн с описанием всех этапов обработки: от регистрации до удаления аккаунта. Особое внимание – срокам хранения данных после удаления аккаунта.
Для сайтов, использующих аналитику
Опишите cookie и аналитические системы в политике обработки ПДн (или в отдельной политике cookie) и запускайте счётчики только после согласия посетителя. Основание – решение Таганского суда Москвы (октябрь 2024), который признал cookie персональными данными.
Как проверить, что у вас всё в порядке
- Откройте свой сайт и найдите раздел с политикой
- Проверьте, как называется документ – «Политика конфиденциальности» или «Политика обработки персональных данных»
- Если только один документ – убедитесь, что он охватывает обе сферы
- Проверьте, есть ли в документе все обязательные разделы (цели, основания, перечень данных, сроки, порядок уничтожения)
- Убедитесь, что документ актуален – отражает текущие процессы и изменения законодательства
- Проверьте, что ссылка на политику есть на страницах, где посетитель оставляет данные (формы заявки, подписки, регистрации)
Коротко о главном
Разница между политикой конфиденциальности и политикой обработки персональных данных – в правовом статусе, сфере регулирования и требованиях к содержанию. Политика конфиденциальности – добровольный документ, охватывающий любые сведения о пользователе. Политика обработки ПДн – обязательный документ по 152-ФЗ, регулирующий только персональные данные. Для большинства российских сайтов оптимально иметь один комплексный документ, который явно охватывает обе сферы и соответствует актуальным требованиям законодательства.
Частые вопросы
Чем политика конфиденциальности отличается от политики обработки персональных данных?
Политика конфиденциальности – добровольный документ, который охватывает любые сведения о пользователе, включая cookie и технические данные. Политика обработки ПДн – обязательный документ по 152-ФЗ, регулирующий только персональные данные. У них разный правовой статус, сфера регулирования и требования к содержанию.
Можно ли обойтись только политикой конфиденциальности?
Только если в ней есть всё, что требует 152-ФЗ: цели, основания, перечень данных, сроки, порядок уничтожения, меры защиты. Название значения не имеет. Если этих сведений нет, обязанность опубликовать политику (ч. 2 ст. 18.1 152-ФЗ) не выполнена. Штраф за это – по ч. 3 ст. 13.11 КоАП: ИП 10–20 тыс. ₽, организации 30–60 тыс. ₽.
Что будет, если нет политики обработки персональных данных?
За неопубликованную политику обработки ПДн – штраф по ч. 3 ст. 13.11 КоАП РФ: ИП – 10–20 тыс. ₽, организации – 30–60 тыс. ₽. Малому бизнесу при первом нарушении, выявленном при госконтроле, если вреда нет, штраф могут заменить предупреждением (ст. 4.1.1 КоАП).
Нужна ли политика конфиденциальности, если есть политика обработки ПДн?
Не обязательно. Закон требует только политику обработки ПДн. Но если сайт собирает cookie и данные счётчиков, их нужно описать – в самой политике обработки ПДн или в отдельной политике cookie.
Можно ли объединить оба документа в один?
Да, это допустимо. Оптимальный вариант – один документ, который явно охватывает обе сферы, например «Политика в отношении обработки персональных данных и конфиденциальности».
На что опираемся
- 152-ФЗ «О персональных данных» – ч. 2 ст. 18.1 (обязанность опубликовать политику обработки ПДн)
- 152-ФЗ «О персональных данных» – ст. 10.1 (данные, разрешённые для распространения), ч. 5 ст. 21 (срок уничтожения после отзыва согласия)
- 156-ФЗ от 24.06.2025 (согласие отдельно от других документов с 1 сентября 2025 года)
- КоАП РФ – ч. 1 и ч. 3 ст. 13.11 (штрафы за обработку без законного основания и за неопубликованную политику), ст. 4.1.1 (замена штрафа предупреждением)
- Решение Таганского районного суда Москвы от 15.10.2024 по делу № 12-559/2024 (cookie – персональные данные)
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.