← Все статьи

Политика конфиденциальности: что в ней должно быть и чем опасен шаблон

08.08.2026 · 7 мин чтения

Документ, с которого начинается соответствие 152-ФЗ. Он же — самый частый кандидат на «скачал шаблон, вставил, забыл». Разберём, что в нём должно быть и почему чужой шаблон опаснее, чем кажется.

Обязанность опубликовать

Часть 2 статьи 18.1 152-ФЗ: оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ.

«Неограниченный доступ» для сайта означает: ссылка есть в подвале каждой страницы, документ открывается без регистрации, без пароля и без личного кабинета. Политика, лежащая в PDF по ссылке из письма, требованию не отвечает.

Что должно быть в документе

• Кто оператор — наименование или ФИО, ИНН, адрес, контакты для обращений
• Какие данные собираются — конкретный перечень: имя, телефон, email, адрес доставки, cookie-идентификаторы. Не «иные данные», а список
• Цели обработки — зачем именно вам эти данные: обработка заявок, доставка, рассылка. Каждая цель отдельно
• Правовые основания — согласие, исполнение договора, требование закона
• Кому передаются — службы доставки, платёжные сервисы, аналитика. С названиями
• Сроки хранения — конкретный срок или критерий его определения
• Права субъекта — как получить сведения о своих данных, исправить их, отозвать согласие, потребовать удаления
• Как эти права реализовать — адрес, куда писать, и срок ответа
• Меры защиты — общее описание того, как данные защищены
• Дата редакции

Почему шаблон — это половина работы

Скачанная политика описывает не ваш сайт. В ней остаются пункты про видеонаблюдение, которого у вас нет, про биометрические данные, которые вы не собираете, и про передачу в дочерние компании, которых не существует.

Это не безобидно. Политика — публичное заявление о том, как вы работаете с данными. Если она описывает несуществующие процессы, а реальные не описывает, документ не выполняет свою функцию, и при проверке это видно сразу. Хуже того, расхождение показывает, что к требованию отнеслись формально, — а это влияет на отношение проверяющего ко всему остальному.

Практический подход: возьмите шаблон как структуру, пройдите по пунктам и в каждом напишите то, что происходит у вас на самом деле. Три вопроса для сверки — какие формы есть на сайте, куда падают данные из них, какие сторонние сервисы подключены.

Частые расхождения с реальностью

• Сроки хранения. В политике написано «до отзыва согласия», а заявки лежат в базе вечно и никто их не удаляет
• Cookie. Политика утверждает, что сайт cookie не использует, а в шапке стоит счётчик
• Аналитика. Упомянута Метрика, а фактически работает ещё и Google Analytics
• Адрес для обращений. Указана почта, которую никто не читает несколько лет

Политика и согласие — не одно и то же

Публикация политики не заменяет получение согласия в формах. Это два разных требования: политика — публичный документ о ваших правилах, согласие — основание обрабатывать данные конкретного человека. Сайт с идеальной политикой и без чекбоксов в формах нарушает 152-ФЗ ровно так же, как сайт вообще без документов.

Что грозит

Невыполнение обязанности опубликовать политику — ст. 13.11 КоАП, до 300 000 ₽ для юридических лиц. Отдельно наказывается обработка данных без согласия и обработка, несовместимая с заявленными целями.

Суммы штрафов приведены для юридических лиц и актуальны на дату публикации. Размеры санкций периодически пересматриваются — сверяйтесь с действующей редакцией КоАП.

Статья носит информационный характер и не является юридической консультацией.