Политика обработки персональных данных для сайта: образец и разбор пунктов

Коротко: Политика обработки персональных данных – обязательный документ для сайта, собирающего данные посетителей. Она публикуется в свободном доступе по ст. 18.1 152-ФЗ, а за её отсутствие предусмотрен штраф по ч. 3 ст. 13.11 КоАП (30–60 тысяч рублей для организаций).

Политика обработки персональных данных для сайта – это документ, который обязан быть у каждого сайта, собирающего любые данные посетителей: от имени и e-mail в форме подписки до IP-адреса и cookie. Без него ваш сайт формально нарушает 152-ФЗ «О персональных данных», и даже одна жалоба пользователя может привести к проверке Роскомнадзора и штрафу.

При этом политика – не просто формальность. Это документ, который объясняет посетителю, какие данные вы собираете, зачем и как храните. Если в ней написано одно, а на деле происходит другое – это уже отдельное нарушение. Разберём, из чего состоит грамотная политика обработки персональных данных для сайта, и дадим образец с пояснением каждого пункта.

Что такое политика обработки персональных данных и зачем она нужна

Политика обработки персональных данных – это официальный документ оператора (владельца сайта), который раскрывает порядок работы с персональными данными. Требование иметь такой документ закреплено в ст. 18.1 152-ФЗ: оператор обязан опубликовать политику в свободном доступе и обеспечить возможность ознакомления с ней.

На практике это означает: на сайте должен быть раздел или страница с текстом политики, доступная по прямой ссылке (обычно в подвале сайта). Если политики нет – это нарушение. За неопубликованную политику штраф по ч. 3 ст. 13.11 КоАП – 30–60 тысяч рублей для организаций, 10–20 тысяч для ИП; малому бизнесу при первом нарушении штраф могут заменить предупреждением (ст. 4.1.1 КоАП).

Политика выполняет три функции:

1. Информирует пользователя. Человек имеет право знать, какие данные о нём собираются и зачем. Это прямое требование ст. 18 152-ФЗ.
2. Защищает оператора. Если политика написана корректно и реально соблюдается, она снижает риски претензий и штрафов.
3. Фиксирует внутренние правила. Политика – это база для остальных документов: согласий на обработку, договоров с подрядчиками, инструкций для сотрудников.

Политика обработки персональных данных для сайта – это часть системы. Обычно она работает вместе с формой согласия на обработку данных, уведомлением в Роскомнадзор и внутренними регламентами.

Образец политики обработки персональных данных для сайта

Ниже – типовой образец политики с комментариями. Его можно адаптировать под свой сайт: убрать лишнее, добавить специфику вашего бизнеса. Но базовые разделы должны быть обязательно.

---

1. Общие положения

Образец текста:

Настоящая политика обработки персональных данных (далее – Политика) определяет порядок обработки персональных данных посетителей и пользователей сайта [адрес сайта] (далее – Сайт) оператором – [наименование организации / ФИО индивидуального предпринимателя] (далее – Оператор).

1.1. Оператор обеспечивает защиту обрабатываемых персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.

1.2. В настоящей Политике используются термины в значениях, определённых Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ).

1.3. Действие Политики распространяется на все персональные данные, обрабатываемые Оператором с использованием Сайта и без него.

Комментарий: В общих положениях обязательно укажите, кто оператор (организация или ИП), какой сайт подпадает под политику, и что вы работаете в рамках 152-ФЗ. Ссылка на закон здесь обязательна – это показывает, что вы осознаёте свои обязанности.

2. Состав обрабатываемых персональных данных

Образец текста:

2.1. Оператор обрабатывает следующие категории персональных данных:

• имя, фамилия, отчество (при наличии);
• контактный телефон;
• адрес электронной почты;
• данные, автоматически передаваемые Сайтом в процессе использования: IP-адрес, данные cookie, сведения о браузере, дата и время посещения, адрес запрашиваемой страницы;
• [добавьте свои поля, если собираете что-то ещё: город, компания, должность и т.п.].

2.2. Оператор не обрабатывает специальные категории персональных данных (ст. 10 152-ФЗ), касающиеся расовой, национальной принадлежности, политических взглядов, религиозных убеждений, состояния здоровья, интимной жизни, а также биометрические персональные данные (ст. 11 152-ФЗ), за исключением случаев, предусмотренных законодательством.

Комментарий: Перечислите все данные, которые реально собираете. Если вы собираете данные о здоровье клиентов (например, медицинский центр) или другие специальные категории – для них нужно согласие в письменной форме (п. 1 ч. 2 ст. 10 152-ФЗ), и это стоит отразить в политике отдельным пунктом. Если не собираете – напишите прямо, что не обрабатываете. Это снижает риски.

3. Цели обработки персональных данных

Образец текста:

3.1. Оператор обрабатывает персональные данные в следующих целях:

• установление и поддержание связи с пользователем (обратная связь);
• предоставление информации о товарах, работах, услугах Оператора;
• заключение и исполнение договоров, стороной которых является пользователь;
• улучшение работы Сайта, анализ поведения пользователей;
• выполнение требований законодательства Российской Федерации.

3.2. Обработка персональных данных осуществляется на основании: 152-ФЗ, согласия пользователя на обработку персональных данных, договоров с пользователями, а также иных законных оснований, предусмотренных ст. 6 152-ФЗ.

Комментарий: Цели должны быть конкретными и не «резиновыми». Если вы собираете e-mail для рассылки – так и напишите. Если используете данные для таргетированной рекламы – это отдельная цель, и для неё нужно отдельное согласие. Помните: цель обработки должна соответствовать тому, что вы реально делаете с данными.

4. Правовые основания обработки

Образец текста:

4.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Российской Федерации;
• 152-ФЗ «О персональных данных»;
• Гражданский кодекс Российской Федерации;
• согласия пользователей на обработку персональных данных;
• договоры, заключаемые между Оператором и пользователями.

Комментарий: Здесь достаточно перечислить основные акты. Если ваш бизнес регулируется отраслевым законом (например, банковская деятельность, медицина) – добавьте его.

5. Порядок и условия обработки персональных данных

Образец текста:

5.1. Оператор обрабатывает персональные данные с использованием средств автоматизации и без них.

5.2. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.

5.3. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия пользователя, если иное не предусмотрено федеральным законом.

5.4. Передача персональных данных третьим лицам осуществляется при наличии законного основания (согласие пользователя, договор с пользователем, требование закона). Третьи лица обязаны обеспечить конфиденциальность и безопасность персональных данных.

5.5. Оператор вправе поручить обработку персональных данных другому лицу на основании договора, в том числе для: хостинга Сайта, отправки электронных писем, ведения бухгалтерского учёта, оказания юридических услуг.

5.6. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных 152-ФЗ.

Комментарий: Это ключевой раздел. Если вы передаёте данные подрядчикам (например, CRM-системе, сервису рассылок, аналитике) – это нужно отразить. Если передаёте данные за границу – нужен отдельный пункт (см. ниже). Также здесь уместно указать, что данные хранятся в России (если это так).

6. Трансграничная передача персональных данных

Образец текста:

6.1. Оператор [осуществляет / не осуществляет] трансграничную передачу персональных данных [в следующие страны: ...]. Перечень стран с адекватной защитой прав субъектов персональных данных – приказ Роскомнадзора от 16.09.2026 № 253.

6.2. До начала трансграничной передачи Оператор обязан уведомить Роскомнадзор о намерении осуществлять такую передачу.

Комментарий: Это важный пункт, о котором часто забывают. Если ваш сайт использует зарубежные сервисы аналитики (Google Analytics, Meta Pixel) или облачные хранилища – формально это трансграничная передача. Перечень стран с «адекватной защитой» утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026); состав стран сверяйте с текстом приказа, США в нём нет. Уведомить Роскомнадзор о трансграничной передаче нужно до её начала – и при передаче в любую страну. В страны из перечня передавать данные можно сразу после уведомления; в остальные государства, включая американские сервисы (Google Analytics, Meta Pixel), – не раньше чем через 10 рабочих дней после уведомления, и Роскомнадзор вправе запретить такую передачу. Отдельного согласия пользователя именно на трансграничную передачу закон не требует – достаточно уведомления. Если не передаёте – напишите, что трансграничная передача не осуществляется.

7. Сроки обработки и хранения персональных данных

Образец текста:

7.1. Персональные данные обрабатываются и хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством.

7.2. Согласие на обработку персональных данных хранится в течение 3 лет с момента его отзыва или истечения срока действия.

7.3. Документы по личному составу (если Оператор является работодателем) хранятся: 50 лет – если оформлены после 1 января 2003 года; 75 лет – если оформлены до 1 января 2003 года.

7.4. После достижения целей обработки или отзыва согласия персональные данные уничтожаются в течение 30 дней, если иное не предусмотрено законом.

Комментарий: Сроки здесь – не случайные цифры. 3 года хранения согласия – это требование перечня, утверждённого приказом Росархива № 236. 30 дней на уничтожение данных после отзыва согласия – это ст. 21 152-ФЗ. Если вы работодатель – добавьте пункт про кадровые документы.

8. Права субъектов персональных данных

Образец текста:

8.1. Пользователь вправе:

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения своих персональных данных;
• отозвать согласие на обработку персональных данных в любой момент;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

8.2. Для реализации своих прав пользователь направляет запрос Оператору по адресу: [адрес электронной почты] или почтовым отправлением по адресу: [юридический адрес].

8.3. Запрос должен содержать: фамилию, имя, отчество, номер основного документа, удостоверяющего личность, сведения о дате выдачи документа и выдавшем его органе, сведения, подтверждающие отношения с Оператором (номер договора, дата заявки и т.п.), а также подпись; запрос в форме электронного документа подписывается электронной подписью.

Комментарий: Права пользователя – это зеркальное отражение обязанностей оператора. Сроки зависят от запроса: после отзыва согласия данные уничтожают в течение 30 дней (ч. 5 ст. 21 152-ФЗ); ненужные или незаконно полученные данные – в течение 7 рабочих дней (ч. 3 ст. 20); требование прекратить обработку – 10 рабочих дней (ч. 5.1 ст. 21); запрос сведений об обработке – 10 рабочих дней (ч. 3 ст. 14). Содержание запроса определяет ч. 3 ст. 14 152-ФЗ.

9. Согласие на обработку персональных данных

Образец текста:

9.1. Обработка персональных данных осуществляется на основании согласия пользователя, если иное не предусмотрено законодательством.

9.2. Согласие на обработку персональных данных может быть дано пользователем в любой форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом.

9.3. В случаях, предусмотренных законодательством, согласие оформляется в письменной форме и должно содержать: фамилию, имя, отчество, адрес, номер основного документа, удостоверяющего личность, сведения о дате выдачи документа и выдавшем его органе, а также иные сведения, предусмотренные ст. 9 152-ФЗ.

9.4. Для обработки специальных категорий персональных данных (ст. 10 152-ФЗ) и биометрических персональных данных (ст. 11 152-ФЗ) требуется отдельное письменное согласие пользователя.

9.5. Согласие на распространение персональных данных (ст. 10.1 152-ФЗ) оформляется отдельно от согласия на обработку. Пользователь вправе определить условия распространения своих данных и установить запреты на передачу определённых категорий данных.

Комментарий: Раздел про согласия – один из самых важных. С 1 марта 2021 года (519-ФЗ от 30.12.2020) согласие на распространение данных оформляется отдельно от согласия на обработку. Если вы публикуете отзывы клиентов с именами и фото – вам нужно именно согласие на распространение. Если собираете данные о здоровье или биометрию – нужно отдельное письменное согласие.

10. Использование файлов cookie

Образец текста:

10.1. Сайт использует файлы cookie и аналогичные технологии для: обеспечения работы Сайта, сбора статистики посещаемости, улучшения пользовательского опыта.

10.2. Пользователь может отключить cookie в настройках браузера, однако это может повлиять на корректность работы Сайта.

10.3. Информация, собираемая с помощью cookie, может обрабатываться Оператором и третьими лицами (сервисами аналитики, рекламными партнёрами).

10.4. При передаче данных, собираемых с помощью cookie, рекламным партнёрам Оператор запрашивает активное согласие пользователя (установка галочки в специальной форме).

Комментарий: Cookie могут быть персональными данными, если по ним можно определить человека (п. 1 ст. 3 152-ФЗ). За обработку данных без законного основания, в том числе без согласия там, где оно нужно, организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет, практика ещё формируется. Но для передачи данных рекламным партнёрам безопаснее использовать активное согласие (галочку), а не молчаливое продолжение использования сайта.

11. Заключительные положения

Образец текста:

11.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на Сайте.

11.2. Вопросы, не урегулированные настоящей Политикой, регулируются законодательством Российской Федерации.

11.3. Контактная информация Оператора: [адрес], [телефон], [e-mail].

Комментарий: Финальный раздел – формальность, но обязательная. Укажите актуальные контакты, чтобы пользователь мог направить запрос.

---

Ниже – базовые разделы, которые должны быть в политике, и их назначение.

Разбор ключевых пунктов: на что обратить внимание

Согласие на обработку: форма и содержание

Согласие на обработку персональных данных – это отдельный документ или действие, которое подтверждает, что пользователь разрешает вам обрабатывать его данные. По ст. 9 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.

Для обычных данных (имя, e-mail, телефон) согласие может быть в любой форме, подтверждающей факт его получения: галочка в форме, нажатие кнопки «Отправить», письменный документ. Но для специальных категорий (здоровье, национальность и др.) и биометрии нужно именно письменное согласие с полным набором реквизитов: ФИО, адрес, номер документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе.

Отдельная история – согласие на распространение данных (ст. 10.1 152-ФЗ). Оно оформляется отдельно от согласия на обработку. Если вы публикуете отзывы клиентов с именами, фото или видео – вам нужно именно такое согласие. Пользователь вправе указать условия распространения и запреты.

Отзыв согласия: что происходит с данными

Пользователь может отозвать согласие в любой момент. После отзыва вы обязаны уничтожить его данные в течение 30 дней (ст. 21 152-ФЗ). Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).

При этом само согласие как документ вы обязаны хранить 3 года с момента отзыва или истечения срока действия – это требование перечня, утверждённого приказом Росархива № 236. То есть: данные уничтожаете, а документ-основание храните.

Уведомление Роскомнадзора

До начала обработки персональных данных оператор обязан уведомить Роскомнадзор (ст. 22 152-ФЗ). Уведомление подаётся через pd.rkn.gov.ru или Госуслуги, форма утверждена приказом РКН от 28.10.2022 № 180, рассмотрение занимает 30 дней.

Есть исключения: уведомление не нужно, если обработка ведётся без средств автоматизации, если данные обрабатываются в государственных информационных системах в целях защиты безопасности государства и общественного порядка, а также если обработка осуществляется в целях транспортной безопасности. Но на практике безопаснее подать уведомление – это снимает вопросы при проверках.

Утечки данных: новые правила и штрафы

С 30 мая 2025 года действуют новые правила (420-ФЗ от 30.11.2024). При утечке персональных данных оператор обязан:

• уведомить РКН в течение 24 часов (первичное уведомление);
• в течение 72 часов направить детальное уведомление с результатами внутреннего расследования.

Штрафы за утечку выросли существенно: от 3 до 20 млн рублей в зависимости от числа пострадавших и вида данных (ч. 12–14, 16, 17 ст. 13.11 КоАП). За повторную утечку – оборотный штраф от 1% до 3% годовой выручки, но не менее 20 млн и не более 500 млн рублей.

Кроме того, с 11 декабря 2024 года действует новая ст. 272.1 УК – за незаконное использование, передачу, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём. Наказание – штраф до 300 000 рублей, принудительные работы или лишение свободы до 4 лет.

Передача данных третьим лицам и за границу

Если вы передаёте данные подрядчикам (CRM, сервисы рассылок, аналитика, хостинг) – это нужно отразить в политике и заключить с ними договоры, где они обязуются обеспечивать конфиденциальность.

Отдельная сложность – трансграничная передача. Перечень стран с «адекватной защитой» утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026); состав стран сверяйте с текстом приказа. США в нём нет. С июля 2026 года (265-ФЗ) участие в Конвенции Совета Европы само по себе не гарантирует места в перечне. Если вы используете Google Analytics, зарубежные облака или рекламные платформы – это трансграничная передача: до её начала нужно уведомить Роскомнадзор, а в политике – указать, какие данные и в какие страны передаются.

Данные несовершеннолетних

152-ФЗ прямо не фиксирует возраст, с которого человек может самостоятельно соглашаться на обработку данных. По аналогии со ст. 28 и 26 ГК РФ: до 14 лет – за ребёнка согласие даёт родитель; с 14 до 18 лет – безопаснее получать и согласие подростка, и согласие родителя (кроме эмансипированных).

Если ваш сайт собирает данные несовершеннолетних (например, детские онлайн-школы, игровые сервисы) – нужно предусмотреть механизм получения согласия от родителей.

Биометрия: отдельные правила

Биометрические персональные данные (ст. 11 152-ФЗ) – это сведения, которые характеризуют физиологические и биологические особенности человека, например отпечатки пальцев, изображение лица, голос, если оператор использует их для установления личности. Обрабатывать их можно только с письменного согласия субъекта, кроме исключений ч. 2 ст. 11 (в том числе реадмиссия, правосудие, обязательная государственная регистрация).

Важный нюанс: оператор не вправе отказать в услуге, если человек не дал согласие на биометрию, когда по закону это согласие не обязательно (ч. 3 ст. 11). Например, если вы используете распознавание лиц для пропуска в офис – вы не можете отказать посетителю, который не хочет сканировать лицо, если есть альтернативный способ доступа.

Типичные ошибки при составлении политики

1. Копирование чужого текста

Самая частая ошибка – скачать политику с другого сайта и заменить название. Это опасно: чужая политика описывает чужие процессы, чужие данные, чужих подрядчиков. Если при проверке выяснится, что в политике написано одно, а на деле происходит другое – это нарушение.

2. Слишком общий текст

«Оператор обрабатывает персональные данные в целях осуществления своей деятельности» – так писать нельзя. Цели должны быть конкретными: обратная связь, рассылка, исполнение договора, аналитика. Чем конкретнее – тем меньше вопросов у проверяющих.

3. Отсутствие раздела про cookie

Многие политики вообще не упоминают cookie. Это рискованно: cookie могут быть персональными данными, и их обработка должна быть описана.

4. Игнорирование трансграничной передачи

Если сайт использует зарубежные сервисы аналитики или облака – а политика говорит, что «трансграничная передача не осуществляется», – это расхождение с реальностью. При проверке это вскроется.

5. Нет контактов для запросов

Пользователь должен знать, куда направить запрос об удалении данных или отзыве согласия. Если контактов нет – это нарушение права субъекта на доступ к информации.

6. Политика есть, а согласия нет

Политика – это только часть системы. Если на сайте есть форма сбора данных, но нет галочки о согласии на обработку – политика не спасает. Согласие должно быть получено до начала обработки.

Как проверить, что политика работает

Наличие текста политики на сайте – это полдела. Важно, чтобы документ реально работал:

1. Ссылка на политику должна быть на каждой странице сайта, где собираются данные (формы, корзина, подписка).
2. Формы сбора данных должны содержать ссылку на политику и механизм получения согласия (галочка, кнопка).
3. Сотрудники должны знать, где лежит политика и как работать с данными клиентов.
4. Подрядчики должны быть ознакомлены с политикой и подписать договоры о конфиденциальности.
5. Уведомление в РКН должно быть подано (если вы не подпадаете под исключения).

Проверить сайт на соответствие 152-ФЗ можно с помощью специализированных сервисов-сканеров, которые анализируют формы, cookie, ссылки на политику и другие элементы. Это быстрый способ найти очевидные проблемы до того, как их найдёт Роскомнадзор.

Что запомнить

Политика обработки персональных данных для сайта – это обязательный документ, который должен быть у каждого оператора. Она выполняет три функции: информирует пользователя, защищает оператора и фиксирует внутренние правила.

Грамотная политика обработки персональных данных для сайта должна включать: общие положения, состав данных, цели обработки, правовые основания, порядок обработки, трансграничную передачу, сроки хранения, права субъектов, порядок получения согласий, правила работы с cookie и контакты.

Главное правило: политика должна соответствовать реальности. Если вы написали, что не передаёте данные третьим лицам, а на деле используете Google Analytics – это нарушение. Если политика обещает уничтожать данные за 30 дней, а вы храните их годами – это тоже нарушение.

Помните: штрафы за нарушения в сфере персональных данных с 2025 года существенно выросли – за утечку до 20 млн рублей, за повторную утечку – оборотные штрафы до 500 млн рублей. Есть и уголовная ответственность по ст. 272.1 УК. Поэтому политика обработки персональных данных для сайта – это документ, который реально защищает ваш бизнес.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 18.1 (опубликование политики)
• 152-ФЗ «О персональных данных» – ст. 18 (право на информацию)
• КоАП РФ – ст. 13.11 (штрафы за нарушения)
• приказ Росархива № 236 (сроки хранения согласий)

Что сделать дальше

1. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
2. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.