Коротко: Отсутствие политики конфиденциальности на сайте, собирающем персональные данные, – нарушение 152-ФЗ. Штраф по ч. 3 ст. 13.11 КоАП: организации – 30–60 тысяч рублей, ИП – 10–20 тысяч, директору (должностному лицу) – 6–12 тысяч.
Многие владельцы сайтов считают политику конфиденциальности формальным документом, который можно отложить «на потом». Однако отсутствие этого документа на сайте – прямое нарушение 152-ФЗ «О персональных данных», за которое предусмотрен штраф за отсутствие политики конфиденциальности. Разбираемся, какие риски вы на себя берёте, если на вашем сайте нет политики обработки персональных данных, и как избежать санкций.
Почему политика конфиденциальности обязательна
Политика конфиденциальности – это публичный документ, в котором вы как оператор персональных данных объясняете посетителям сайта, какие именно данные вы собираете, зачем и как их обрабатываете. Без этого документа вы нарушаете сразу несколько статей 152-ФЗ.
Что говорит закон
Обязанность опубликовать политику в отношении обработки персональных данных прямо установлена ч. 2 ст. 18.1 152-ФЗ «О персональных данных» (от 27.07.2006): на сайте её размещают на страницах, где собираются персональные данные, и обеспечивают к ней доступ.
Кого касается требование
Требование о наличии политики конфиденциальности распространяется на любой сайт, который собирает персональные данные пользователей. Это касается:
- интернет-магазинов (сбор данных для оформления заказа)
- сайтов с формами обратной связи
- лендингов со сбором email и телефона
- блогов с подпиской на рассылку
- даже простых сайтов-визиток, если на них есть форма заявки
Размер штрафа за отсутствие политики конфиденциальности
Штраф за отсутствие политики конфиденциальности регулируется КоАП РФ, а именно статьёй 13.11. Суммы приведены по ст. 13.11 КоАП в редакции на 04.08.2026.
Штраф за неопубликование политики или необеспечение доступа к ней установлен ч. 3 ст. 13.11 КоАП. Для малого бизнеса действует правило ст. 4.1.1 КоАП о замене штрафа предупреждением (при соблюдении условий статьи).
Для должностных лиц и ИП
Директору (должностному лицу) грозит штраф от 6 до 12 тысяч рублей, индивидуальному предпринимателю – от 10 до 20 тысяч рублей. Гражданам – от 1,5 до 3 тысяч рублей.
Для юридических лиц
Организациям – от 30 до 60 тысяч рублей.
Если данные собираются без надлежащего согласия
Это отдельное нарушение: ч. 1 или ч. 2 ст. 13.11 КоАП (для организаций – от 150 тысяч рублей, ИП по ч. 1 – 50–100 тысяч). Штрафы по разным частям не складываются автоматически: порядок назначения определяют ч. 5–6 ст. 4.4 КоАП. Отдельной санкции за повтор для ч. 3 нет: повторность учитывается как отягчающее обстоятельство в пределах той же санкции.
Кому и какой штраф грозит за отсутствие политики конфиденциальности (ч. 3 ст. 13.11 КоАП).
| Нарушитель | Штраф |
|---|---|
| Организация | 30–60 тысяч рублей |
| ИП | 10–20 тысяч рублей |
| Должностное лицо (директор) | 6–12 тысяч рублей |
| Гражданин | 1,5–3 тысячи рублей |
Как Роскомнадзор обнаруживает отсутствие политики
Роскомнадзор активно мониторит сайты на предмет соблюдения 152-ФЗ. Проверки могут быть как плановыми, так и внеплановыми – по жалобам пользователей.
Жалобы пользователей
Любой посетитель сайта может подать жалобу в Роскомнадзор, если не найдёт на сайте политику конфиденциальности. Особенно часто жалуются конкуренты и «профессиональные жалобщики».
Автоматический мониторинг
Роскомнадзор использует автоматизированные системы для сканирования сайтов. Они проверяют наличие ссылки на политику конфиденциальности, её доступность и соответствие базовым требованиям.
Плановые проверки
С 2022 года плановые проверки бизнеса ограничены мораторием (ПП № 336), поэтому чаще всего отсутствие политики выявляют без выезда: по жалобам и при автоматическом мониторинге сайтов.
Что должно быть в политике конфиденциальности
Просто разместить на сайте документ с названием «Политика конфиденциальности» недостаточно. Его содержание должно соответствовать требованиям 152-ФЗ.
Обязательные разделы
В политике конфиденциальности должны быть указаны:
- цели сбора персональных данных
- перечень собираемых данных
- правовые основания обработки
- способы обработки (автоматизированная, неавтоматизированная)
- сроки обработки и хранения
- порядок уничтожения данных при достижении целей обработки
- категории субъектов персональных данных
- контактные данные оператора
- права субъектов персональных данных (РКН рекомендует включать их в политику)
Согласие на обработку
Политика конфиденциальности – это не замена согласию на обработку персональных данных. Согласие (ст. 9 152-ФЗ) должно быть конкретным, предметным, информированным, сознательным и однозначным. Политика лишь раскрывает условия, на которых вы получаете это согласие.
Специальные категории данных
Если вы собираете специальные категории персональных данных (здоровье, национальность, судимость и т.п. – ст. 10 152-ФЗ), в политике нужно отдельно описать, на каком основании и с какими гарантиями это происходит. Для таких данных нужно согласие в письменной форме (или иное основание из ч. 2 ст. 10 152-ФЗ).
Как избежать штрафа
Чтобы не получить штраф за отсутствие политики конфиденциальности, нужно выполнить несколько простых действий.
Разместить политику на сайте
Самый очевидный шаг – разработать и разместить политику конфиденциальности на сайте. Закон требует, чтобы политика была доступна со страниц, где собираются данные (ч. 2 ст. 18.1 152-ФЗ). Удобнее всего поставить ссылку в подвале (футере) и у каждой формы (корзина, регистрация).
Уведомить Роскомнадзор
Если вы только начинаете обработку персональных данных, необходимо подать уведомление в Роскомнадзор. Это делается через pd.rkn.gov.ru или Госуслуги. Форма утверждена приказом РКН от 28.10.2022 №180, рассмотрение занимает 30 дней.
Обновлять политику
Законодательство меняется, практика формируется. Например, cookie считаются персональными данными, если вместе с другими данными позволяют определить человека. За обработку данных без согласия – в том числе за сбор cookie – организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Политику конфиденциальности нужно регулярно актуализировать.
Учитывать cookie
Если на сайте используются cookie, рекомендуем отдельно описать работу с ними в политике. Прямой нормы про формат cookie-баннера в 152-ФЗ нет: закон требует согласия до начала обработки. Для чувствительных случаев (передача данных рекламным партнёрам) рекомендуем активное согласие (галочка), а не молчаливое.
Что грозит кроме штрафа
Штраф за отсутствие политики конфиденциальности – не единственная проблема. Есть и другие риски.
Блокировка сайта
Заблокировать сайт за нарушения в области персональных данных можно только по решению суда. На основании вступившего в силу судебного акта сайт вносится в реестр нарушителей прав субъектов персональных данных, и, если нарушение не устранено, доступ к нему ограничивают операторы связи. Предписание Роскомнадзора само по себе блокировку не влечёт.
Это означает потерю трафика, клиентов и доходов на неопределённый срок.
Репутационные потери
Отсутствие политики конфиденциальности подрывает доверие пользователей. В эпоху заботы о приватности это может стать серьёзным конкурентным недостатком.
Уголовная ответственность
В особо тяжёлых случаях (например, если отсутствие политики привело к утечке данных и нарушению прав граждан) возможна уголовная ответственность. Ст. 137 УК (незаконный сбор/распространение сведений о частной жизни) и новая ст. 272.1 УК (действует с 11.12.2024) – незаконное использование/передача/сбор/хранение компьютерной информации с ПДн, полученной незаконным путём: штраф до 300 000₽, принудительные работы или лишение свободы до 4 лет (ч.1).
Частые ошибки при составлении политики
Даже если политика конфиденциальности есть, она может не соответствовать требованиям закона. Вот типичные ошибки.
Копирование чужой политики
Нельзя просто скопировать политику конфиденциальности с другого сайта. У каждого бизнеса свои цели обработки, свои данные, свои процессы. Шаблонная политика не защитит от штрафа.
Устаревшая информация
Если ваш бизнес изменился (появились новые формы сбора данных, новые партнёры), а политика осталась прежней – это нарушение. Политика должна отражать реальное положение дел.
Отсутствие контактов
В политике обязательно должны быть контактные данные оператора (название компании, адрес, email, телефон). Без них субъект не может реализовать свои права.
Неучёт биометрии
Если вы используете биометрические данные (отпечатки пальцев, а также фото, видео и голос – когда они служат для установления личности), это нужно отдельно прописать в политике. Биометрические ПДн (ст. 11 152-ФЗ) обрабатываются с письменного согласия субъекта, кроме случаев, перечисленных в ч. 2 ст. 11 (реадмиссия, правосудие, обязательная дактилоскопическая и геномная регистрация, оборона, безопасность и др.). Фото, видео и голос – биометрия, если используются для установления личности.
Как проверить свой сайт
Чтобы убедиться, что ваш сайт соответствует требованиям 152-ФЗ, можно провести самостоятельную проверку.
Проверьте наличие политики
Убедитесь, что ссылка на политику конфиденциальности есть на каждой странице сайта, особенно на страницах со сбором данных.
Проверьте содержание
Прочитайте политику и ответьте на вопросы:
- Указаны ли цели сбора?
- Перечислены ли собираемые данные?
- Есть ли контакты оператора?
- Описаны ли права субъектов?
- Указаны ли сроки обработки?
Проверьте соответствие реальности
Сравните то, что написано в политике, с тем, что реально происходит на сайте. Если вы собираете данные через форму обратной связи, а в политике про это ничего нет – это нарушение.
Что запомнить
Штраф за отсутствие политики конфиденциальности – это реальная угроза для любого владельца сайта, который собирает персональные данные. Но главное – это не только деньги. Отсутствие политики подрывает доверие пользователей и создаёт репутационные риски.
Чтобы избежать проблем, достаточно разработать и разместить на сайте политику конфиденциальности, соответствующую требованиям 152-ФЗ, регулярно её обновлять и следить за изменениями законодательства. Помните: политика конфиденциальности – это ваш первый шаг к соблюдению закона и защите прав пользователей. Игнорирование этого требования рано или поздно приведёт к штрафу за отсутствие политики конфиденциальности, которого можно было легко избежать.
Частые вопросы
Какой штраф за отсутствие политики конфиденциальности на сайте?
Штраф установлен ч. 3 ст. 13.11 КоАП РФ: организации – 30–60 тысяч рублей, ИП – 10–20 тысяч, директору – 6–12 тысяч. Для малого бизнеса возможна замена штрафа предупреждением (ст. 4.1.1 КоАП).
Кому грозит штраф, если политики нет?
Требование распространяется на любой сайт, собирающий персональные данные: интернет-магазины, сайты с формами обратной связи, лендинги со сбором email и телефона, блоги с подпиской и даже сайты-визитки с формой заявки.
Как Роскомнадзор узнаёт об отсутствии политики?
Роскомнадзор мониторит сайты: проверки бывают плановыми и внеплановыми по жалобам пользователей. Также используются автоматизированные системы, которые сканируют наличие и доступность ссылки на политику. Плановые проверки бизнеса ограничены мораторием (ПП № 336).
Что должно быть в политике конфиденциальности?
В политике указывают цели сбора данных, перечень собираемых данных, категории субъектов, способы обработки, сроки обработки и хранения, порядок уничтожения данных и контакты оператора; права субъектов РКН рекомендует включать. Просто разместить документ с таким названием недостаточно.
На что опираемся
- 152-ФЗ «О персональных данных» – ст. 18.1 (обязанность опубликовать политику)
- 152-ФЗ «О персональных данных» – ст. 10 (специальные категории данных)
- 152-ФЗ «О персональных данных» – ст. 11 (биометрические данные)
- КоАП РФ – ст. 13.11 (штрафы за нарушения при обработке персональных данных)
- УК РФ – ст. 137 (незаконный сбор/распространение сведений о частной жизни)
- УК РФ – ст. 272.1 (незаконное использование/передача/сбор/хранение компьютерной информации с ПДн)
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.