Проверка политики конфиденциальности: 4 пункта, которые должны быть в тексте

Коротко: Неполная политика конфиденциальности не соответствует ст. 18.1 152-ФЗ и может стать основанием для требования Роскомнадзора и штрафа по ст. 13.11 КоАП. Для каждой цели нужно указать категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения; права субъекта РКН рекомендует включать. Ниже – четыре ключевых раздела, которые стоит проверить.

Политика конфиденциальности – это не просто документ «для галочки». По закону 152-ФЗ «О персональных данных» она обязана быть у каждого сайта, который собирает любые данные посетителей: от имени и email в форме подписки до IP-адреса и cookie. Но многие владельцы сайтов копируют шаблонные тексты из интернета, не подозревая, что такая политика не соответствует закону. Если Роскомнадзор проведёт проверку политики конфиденциальности, за отсутствие политики на сайте предусмотрен штраф по ч. 3 ст. 13.11 КоАП: организациям 30–60 тысяч рублей, ИП 10–20 тысяч. Если же обработка идёт с нарушением закона (например, заявленные цели не совпадают с фактическими), применяется ч. 1: организациям 150–300 тысяч, ИП 50–100 тысяч (для малого бизнеса – с учётом ст. 4.1.1 КоАП о предупреждении). Разберём четыре ключевых раздела, которые стоит проверить.

1. Цели обработки персональных данных

Политика конфиденциальности должна чётко и конкретно объяснять, зачем вы вообще собираете данные. Формулировка «для улучшения качества сервиса» – это отписка. Роскомнадзор требует, чтобы каждая цель была прописана отдельно и соответствовала реальным действиям на сайте.

Какие цели нужно указать

В типовом интернет-магазине или информационном сайте целей может быть несколько:

• Обработка заказов и доставка товаров (если вы продаёте что-то онлайн).
• Обработка обращений через форму обратной связи.
• Рассылка рекламных и информационных материалов (только с отдельного согласия).
• Аналитика поведения пользователей на сайте (сбор статистики через Яндекс.Метрику или Google Analytics).
• Обеспечение безопасности сайта (например, защита от DDoS-атак).

Важно: если вы используете данные для одной цели, а в политике написали другую – это нарушение. Например, вы собираете email для отправки заказа, а потом начинаете рассылать рекламные письма без отдельного согласия. Такое действие незаконно, и при проверке это вскроется.

Почему расплывчатые формулировки опасны

Фраза «для выполнения обязательств перед пользователем» – слишком широкая. Она не позволяет понять, какие именно обязательства имеются в виду. Если в политике нет конкретных целей, пользователю трудно понять, на что он соглашается, а согласие должно быть конкретным и информированным (ч. 1 ст. 9 152-ФЗ). При проверке политики конфиденциальности инспектор Роскомнадзора первым делом посмотрит на раздел целей – и если он неконкретный, это уже повод для претензий.

2. Состав собираемых данных

Второй обязательный пункт – перечень того, какие именно данные вы собираете. Недостаточно написать «мы собираем персональные данные». Нужно перечислить их по категориям: ФИО, адрес электронной почты, номер телефона, IP-адрес, данные cookie, сведения о местоположении и так далее.

Категории данных по 152-ФЗ

Закон делит персональные данные на несколько категорий, и для каждой – свои требования:

• Общие данные (ФИО, email, телефон) – для их обработки достаточно простого согласия.
• Специальные категории (ст. 10 152-ФЗ) – данные о состоянии здоровья, национальности, политических взглядах, судимости. Обработка допускается только в случаях, перечисленных в ч. 2 ст. 10; для сайта обычно это согласие в письменной форме (галочки недостаточно).
• Биометрические данные (ст. 11 152-ФЗ) – отпечатки пальцев, изображение лица и голос, если оператор использует их для установления личности. Для них нужно письменное согласие, и отказать в услуге, если человек не даёт биометрию, вы не имеете права (кроме случаев, установленных законом).

Если на вашем сайте есть форма загрузки резюме, где соискатели указывают национальность или состояние здоровья, эти данные относятся к специальным категориям, и на их обработку нужно согласие в письменной форме. Обычное фото в резюме биометрией не является.

Cookie – теперь тоже персональные данные

Cookie считаются персональными данными, если вместе с IP и другими данными позволяют определить человека. Тогда их сбор и обработка должны быть описаны в политике конфиденциальности. Если вы используете cookie для аналитики или рекламы (например, Яндекс.Директ или Google Ads), это нужно указать. А для передачи данных рекламным партнёрам лучше использовать активное согласие (галочка, а не просто уведомление).

3. Порядок и сроки обработки данных

Мало сказать, что вы собираете данные – нужно объяснить, как именно вы их обрабатываете, храните и когда уничтожаете. Это третий критический пункт, который часто упускают.

Сроки хранения

Закон не устанавливает единого срока для всех данных – он зависит от цели обработки. Например:

• Данные клиента, совершившего покупку, можно хранить на срок исковой давности (3 года, ст. 196 ГК РФ) или гарантийный срок, если он больше.
• Согласие на обработку персональных данных как документ нужно хранить 3 года с момента его отзыва или истечения срока действия (приказ Росархива № 236).
• Документы по личному составу (кадровые данные) хранятся 50 лет, если оформлены после 1 января 2003 года, и 75 лет – если раньше (ст. 22.1 125-ФЗ).

В политике нужно указать конкретные сроки для каждой категории данных. Если вы пишете «храним бессрочно» – это нарушение. Данные должны уничтожаться, как только цель обработки достигнута.

Процедура уничтожения

После того как цель обработки достигнута или пользователь отозвал согласие, вы обязаны уничтожить данные в течение 30 дней (ст. 21 152-ФЗ). Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ). В политике должно быть описано, как именно вы это делаете: стираете файлы, уничтожаете бумажные носители, составляете акт об уничтожении.

Передача третьим лицам

Если вы передаёте данные кому-то ещё (курьерской службе, платёжному шлюзу, сервису email-рассылок), это нужно указать. Причём важно объяснить, на каких условиях и для каких целей происходит передача. Если данные передаются за границу (например, в облачный сервис США), это отдельная история – о трансграничной передаче нужно уведомить Роскомнадзор до её начала, причём в любую страну, а не только в те, что не входят в перечень с «адекватной защитой» (перечень утверждён приказом РКН от 16.09.2026 № 253, действует с 30.10.2026). США в этот перечень не входят, поэтому после уведомления придётся подождать 10 рабочих дней, пока Роскомнадзор рассматривает его, – за это время он может запретить передачу. Отдельного согласия пользователя на такую передачу закон не требует. Но первичная база с данными граждан РФ должна находиться в России (ч. 5 ст. 18 152-ФЗ): облачный сервис США как основную базу использовать нельзя, а уведомление по ст. 12 это не исправляет.

4. Права субъекта персональных данных

Четвёртый обязательный пункт – описание прав, которые есть у пользователя, и инструкция, как эти права реализовать. Без этого раздела политика не соответствует закону.

Какие права нужно перечислить

152-ФЗ даёт субъекту персональных данных следующие права:

• Право знать, какие данные о нём собраны и как они обрабатываются.
• Право требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие или обрабатываются незаконно.
• Право отозвать согласие на обработку в любой момент.
• Право обжаловать действия оператора в Роскомнадзоре.

Как реализовать право на отзыв согласия

Это самый важный механизм. Пользователь должен иметь возможность легко отозвать согласие – например, через форму на сайте или по email. В политике нужно указать точный адрес электронной почты, на который можно направить заявление об отзыве, и срок, в течение которого вы обработаете этот запрос (по закону – 30 дней).

Если пользователь отозвал согласие, вы обязаны прекратить обработку и уничтожить данные. Исключение – если данные нужны для исполнения договора (например, вы не можете удалить данные о заказе, который ещё не доставили). Но это тоже нужно чётко прописать в политике.

Согласие для несовершеннолетних

Если ваш сайт могут посещать несовершеннолетние (до 18 лет), в политике нужно описать, как вы получаете согласие от их родителей или законных представителей. 152-ФЗ возрастных порогов не устанавливает, поэтому ориентируются на общие нормы ГК РФ:

• До 14 лет за ребёнка действуют законные представители (ст. 28 ГК РФ).
• С 14 до 18 лет – подросток с письменного согласия родителя (ст. 26 ГК РФ).

Для биометрических и специальных категорий данных согласие должно быть в письменной форме (ст. 10 и 11 152-ФЗ). В политике стоит указать, что вы не собираете данные детей без согласия родителей, и описать процедуру проверки возраста.

Что должно быть в итоге

Проверка политики конфиденциальности – это регулярный процесс. Закон меняется, появляются новые требования (например, по cookie и биометрии), и ваш документ должен соответствовать актуальным нормам. Если в политике нет целей, состава данных, порядка и сроков обработки или описания прав субъекта (их РКН рекомендует включать), она не соответствует ст. 18.1 152-ФЗ, и это может стать основанием для требования Роскомнадзора и штрафа.

Чтобы избежать проблем, возьмите за правило: раз в полгода проводить проверку политики конфиденциальности на соответствие 152-ФЗ. Убедитесь, что все цели конкретны, состав данных полный, сроки хранения указаны, а права пользователей описаны с инструкцией по реализации. Только тогда ваш документ будет работать как защита, а не как повод для штрафа.

Четыре ключевых раздела политики конфиденциальности и последствия их отсутствия.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 11 (биометрические персональные данные)
• КоАП РФ – ст. 13.11 (нарушение законодательства о персональных данных)
• ГК РФ – ст. 26 и 28 (дееспособность несовершеннолетних)
• приказ Росархива № 236 (сроки хранения согласий на обработку персональных данных)

Что сделать дальше

1. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
2. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.