Политика конфиденциальности сайта это публичный документ, в котором владелец сайта объясняет, какие персональные данные собирает, зачем и как долго хранит. Опубликовать её обязан каждый, кто собирает данные через сайт (ч. 2 ст. 18.1 закона № 152-ФЗ). Ссылку на неё ставят в футере и рядом с каждой формой. За отсутствие политики юрлицу грозит штраф до 60 000 рублей.
Ниже разобрано, кто обязан иметь такой документ, что в нём писать, где разместить на сайте, когда дополнительно нужно уведомить Роскомнадзор и какие штрафы по статье 13.11 КоАП РФ грозят в редакции 2026 года. В конце - разбор интернет-магазина и типичные ошибки.
Кто обязан публиковать политику конфиденциальности
Политику обязан опубликовать любой оператор персональных данных, который собирает их через интернет. Оператор - это организация, индивидуальный предприниматель или гражданин, который сам решает, зачем и как обрабатывать сведения о людях. Размер бизнеса значения не имеет: лендинг самозанятого фотографа с формой «Записаться на съёмку» подпадает под требование так же, как крупный маркетплейс.
Персональными данными считается любая информация, по которой можно определить человека. На практике сайт собирает их почти всегда: имя и телефон в форме обратного звонка, электронная почта в подписке на рассылку, адрес доставки в корзине, данные личного кабинета. Если на сайте нет ни одной формы, регистрации и сервисов, которые идентифицируют посетителя, обязанность формально не возникает, но таких сайтов у бизнеса почти не бывает.
Для юридических лиц пункт 2 части 1 статьи 18.1 дополнительно требует издать внутренние документы о политике обработки и локальные акты с процедурами. Публичная политика на сайте - это внешняя, открытая часть этого пакета. Индивидуальный предприниматель в пункте 2 прямо не назван, но обязанность опубликовать документ о политике по части 2 статьи 18.1 распространяется на всех операторов, включая ИП.
Что закон требует от оператора
Часть 2 статьи 18.1 содержит два требования: опубликовать документ о политике и сведения о реализуемых требованиях к защите данных, а также обеспечить к ним доступ средствами сети. Для сайта это означает, что текст должен лежать на страницах, через которые идёт сбор данных, и открываться любому посетителю без регистрации и оплаты.
Закон не утверждает единую форму документа, но задаёт его содержание через другие нормы. Пункт 2 части 1 статьи 18.1 перечисляет, что определяется для каждой цели обработки: категории и перечень данных, категории людей, чьи данные обрабатываются, способы и сроки обработки и хранения, порядок уничтожения. Там же сказано главное ограничение: документ не может содержать положения, ограничивающие права субъектов персональных данных.
Кроме того, по части 4 статьи 18.1 оператор обязан представить свои документы о политике по запросу Роскомнадзора. Поэтому политика на сайте должна совпадать с тем, что компания делает с данными на самом деле: проверяющий сравнит текст с реальными формами и базами.
Что должно быть в политике: обязательные разделы
Полезная политика отвечает на те вопросы, которые посетитель вправе задать оператору по части 7 статьи 14 закона. Если ответ есть в тексте заранее, у человека меньше поводов писать запросы, а у проверяющего - меньше поводов для претензий. Минимальный набор разделов такой:
- Кто оператор. Полное наименование или ФИО предпринимателя, ИНН, ОГРН или ОГРНИП, адрес, электронная почта для обращений по персональным данным.
- Цели обработки. Не «для улучшения сервиса», а конкретно: оформление и доставка заказа, ответ на заявку, рассылка новостей, исполнение договора.
- Перечень данных по каждой цели. Для доставки - имя, телефон, адрес; для рассылки - только электронная почта. Цели и перечни должны совпадать с полями реальных форм.
- Правовые основания. Согласие человека, исполнение договора, требование закона. От основания зависит, можно ли продолжать обработку после отзыва согласия.
- Действия с данными и способы обработки. Сбор, запись, хранение, передача, уничтожение; с использованием средств автоматизации или без них.
- Кому передаются данные. Службы доставки, платёжные сервисы, сервисы рассылок, хостинг - с наименованиями, если обработка им поручена.
- Сроки хранения и порядок уничтожения. Сколько лежат данные по каждой цели и что происходит после её достижения.
- Права посетителя и как их реализовать. Получить сведения об обработке, потребовать уточнения, блокирования или уничтожения, отозвать согласие; куда писать и в какой срок придёт ответ.
- Меры защиты. Общее описание: ограничение доступа, шифрование соединения, назначение ответственного.
- Файлы cookie и сервисы аналитики. Какие используются и как их отключить.
Отзыв согласия стоит описать особенно подробно. По части 2 статьи 9 человек вправе отозвать согласие, а по части 5 статьи 21 оператор после отзыва прекращает обработку и, если данные больше не нужны для целей, уничтожает их в срок не более тридцати дней. В политике достаточно указать адрес для отзыва и этот срок.
Нужна любому сайту, где есть форма заявки, корзина, личный кабинет, рассылка или счётчик аналитики. Её утверждает владелец сайта — компания или ИП — и выкладывает в открытом доступе; подписи посетителей и нотариуса не требуются. В ней перечисляют, какие данные собирают, зачем, кому передают и сколько хранят. Опубликовать такой документ в интернете обязывает ч. 2 ст. 18.1 закона 152-ФЗ.
Политика, согласие и оферта: чем они отличаются
Политика конфиденциальности, согласие на обработку персональных данных и оферта - три разных документа, и один не заменяет другой. Политика описывает правила оператора для всех посетителей сразу. Согласие - это волеизъявление конкретного человека по конкретной цели. Оферта регулирует саму сделку: товар, цену, доставку, возврат.
| Документ | Чья воля | Где на сайте | Норма |
|---|---|---|---|
| Политика конфиденциальности | Оператора, в одностороннем порядке | Отдельная страница, ссылка в футере и у каждой формы | Ст. 18.1 закона № 152-ФЗ |
| Согласие на обработку данных | Посетителя, по конкретной цели | Отметка или отдельный текст у формы | Ст. 9 закона № 152-ФЗ |
| Публичная оферта | Продавца, адресована всем покупателям | Отдельная страница, ссылка при оформлении заказа | Ст. 435, 437 ГК РФ |
Когда согласие нужно, а когда хватает договора, и какие элементы обязательно в нём указать, подробно разобрано в статье о согласии на обработку персональных данных. Как устроен публичный договор с покупателями, - в материале об оферте и счёте-оферте.
Уведомление Роскомнадзора: кому оно нужно
Кроме публикации политики, почти каждый владелец сайта с формами обязан до начала обработки уведомить Роскомнадзор. Так устанавливает часть 1 статьи 22 закона № 152-ФЗ. Это отдельная обязанность: опубликованная политика не освобождает от уведомления, и наоборот.
С 1 сентября 2022 года большинство прежних исключений отменено. Без уведомления сейчас можно обрабатывать данные только в трёх случаях по части 2 статьи 22:
- обработка ведётся исключительно без средств автоматизации, то есть на бумаге;
- данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
- обработка идёт в случаях, предусмотренных законодательством о транспортной безопасности.
Сайт с формой, CRM и почтовой рассылкой - это обработка с использованием средств автоматизации, поэтому исключение про бумажную обработку к нему не подходит. Уведомление подаётся на бумаге или в электронном виде; Роскомнадзор в течение тридцати дней вносит сведения в реестр операторов, плату за это не берут. Если сведения изменились, новое уведомление подают не позднее 15-го числа следующего месяца, а о прекращении обработки сообщают в течение десяти рабочих дней (часть 7 статьи 22).
Где разместить политику на сайте
Политику размещают отдельной страницей и дают ссылку на неё везде, где сайт собирает данные. Одной ссылки в подвале мало: закон говорит о публикации на страницах, «с использованием которых осуществляется сбор персональных данных». Практичный порядок действий такой:
- Создайте отдельную страницу с постоянным адресом, например
/privacy, без регистрации и всплывающих окон перед текстом. - Поставьте ссылку на неё в футер всех страниц сайта.
- Добавьте ссылку рядом с кнопкой отправки каждой формы: заявки, заказа, подписки, регистрации, отзыва.
- Укажите в тексте дату последней редакции и храните прежние версии: при споре придётся показать, какой документ действовал в момент сбора данных.
- Пересматривайте текст при каждом изменении форм, сервисов доставки, аналитики или рассылки.
Пример: политика для интернет-магазина
Интернет-магазин товаров для дома при оформлении заказа просит имя, телефон, адрес доставки и электронную почту, а в подвале предлагает подписку на скидки. Кроме того, на сайте стоит счётчик посещаемости. У магазина три цели, и политика должна описать каждую отдельно.
| Цель | Данные | Основание | Срок хранения (пример) |
|---|---|---|---|
| Оформление и доставка заказа | Имя, телефон, адрес, почта | Исполнение договора купли-продажи | Срок исполнения договора и гарантийных обязательств |
| Рассылка о скидках | Электронная почта | Согласие подписчика | До отзыва согласия или отписки |
| Аналитика посещаемости | Файлы cookie, IP-адрес | Согласие посетителя | По настройкам сервиса аналитики |
В разделе о передаче данных магазин называет службу доставки и платёжный сервис: без них заказ не исполнить. Ссылка на политику стоит в футере, под кнопкой «Оформить заказ» и рядом с полем подписки. У поля подписки есть отдельная неотмеченная галочка согласия на рассылку, потому что это другая цель, чем доставка. Для отзыва указан адрес электронной почты и срок уничтожения - не более тридцати дней.
Если магазин позже подключит обратный звонок с записью разговоров или начнёт передавать данные в сервис рассылок за рубежом, политику нужно дополнить до запуска, а в Роскомнадзор подать уведомление об изменении сведений.
Продавец или исполнитель публикует на сайте условия договора, и любой, кто оплатил заказ или нажал кнопку согласия, принимает их без отдельной подписи. Такой текст нужен интернет-магазину, онлайн-школе, сервису по подписке. По ст. 437 ГК РФ публичная оферта предлагает заключить договор на указанных условиях с любым, кто отзовётся. Условия, ухудшающие права покупателя по сравнению с законом о защите прав потребителей, не действуют.
Типичные ошибки владельцев сайтов
Большинство претензий к политикам возникает не из-за отсутствия документа, а из-за его расхождения с реальностью. Чаще всего встречаются четыре ошибки.
- Текст скопирован с чужого сайта. В нём указан чужой оператор, упомянуты данные, которые сайт не собирает, и не упомянуты те, что собирает. Такая политика формально опубликована, но не описывает обработку - это нарушение пункта 2 части 1 статьи 18.1 и повод для вопросов Роскомнадзора.
- Нет ссылки в местах сбора. Политика лежит только в подвале, а форма заказа и подписка ведут в никуда. Закон требует публикации на страницах, через которые идёт сбор.
- Размытые цели. Формулировка «для любых целей, не противоречащих закону» не определяет ни перечень данных, ни сроки и фактически делает документ бесполезным.
- Условия против прав посетителя. Фразы вроде «отзыв согласия невозможен» или «оператор вправе передавать данные любым третьим лицам» закон прямо запрещает включать в документы о политике.
Отдельная ошибка - считать, что политика заменяет согласие, или наоборот. Если без письменного согласия обрабатываются данные, для которых оно обязательно, наступает ответственность по части 2 статьи 13.11 КоАП, и опубликованная политика от неё не спасает. Если сайт ведёт и кадровую работу, проверьте ещё и документы по персональным данным работников: для них действуют свои правила.
Штрафы за отсутствие политики и уведомления
Отсутствие опубликованной политики наказывается по части 3 статьи 13.11 КоАП РФ, а неподанное уведомление - по части 10 той же статьи. Суммы в редакции кодекса от 26.07.2026:
| Нарушение | Граждане | ИП | Юрлица |
|---|---|---|---|
| Не опубликована политика или сведения о защите (ч. 3) | 1 500 - 3 000 ₽ | 10 000 - 20 000 ₽ | 30 000 - 60 000 ₽ |
| Не подано или подано с опозданием уведомление Роскомнадзору (ч. 10) | 5 000 - 10 000 ₽ | 100 000 - 300 000 ₽ | 100 000 - 300 000 ₽ |
По части 3 должностное лицо дополнительно отвечает штрафом от 6 000 до 12 000 рублей. По части 10 предприниматель отвечает как юридическое лицо - так установлено примечанием 1 к статье 13.11. Штраф за саму политику невелик, но проверка обычно выявляет и другие нарушения: обработку без согласия, неподанное уведомление, данные, не упомянутые в документе. Там суммы идут на сотни тысяч рублей.
Частые вопросы
Кто обязан публиковать политику конфиденциальности на сайте?
Любой оператор персональных данных, который собирает их через интернет: организация, индивидуальный предприниматель или физическое лицо, определяющее цели обработки. Сайт почти всегда собирает персональные данные: имя и телефон в форме обратной связи, электронную почту для рассылки, данные для заказа. Часть 2 ст. 18.1 закона № 152-ФЗ требует опубликовать документ о политике и обеспечить к нему неограниченный доступ. Шаблон: политика конфиденциальности сайта.
Что должно быть в политике конфиденциальности?
Кто оператор (наименование или ФИО, ИНН, ОГРН, адрес, электронная почта), цели обработки конкретно, перечень данных по каждой цели, правовые основания (согласие, договор, закон), действия с данными, кому передаются данные, сроки хранения и порядок уничтожения, права посетителя и как их реализовать, меры защиты, а также файлы cookie и сервисы аналитики. Цели и перечни должны совпадать с реальными полями форм на сайте.
Чем отличаются политика, согласие и оферта?
Это три разных документа, и один не заменяет другой. Политика конфиденциальности — одностороннее изложение оператором правил обработки на отдельной странице, ссылка в футере и у каждой формы (ст. 18.1 закона № 152-ФЗ). Согласие на обработку данных выражает волю посетителя по конкретной цели (ст. 9 закона № 152-ФЗ). Оферта регулирует условия договора с клиентом. Форма согласия: согласие на обработку персональных данных.
Что делать оператору после отзыва согласия?
Человек вправе отозвать согласие (ч. 2 ст. 9 закона № 152-ФЗ), и оператор после отзыва прекращает обработку (ч. 5 ст. 21). Порядок отзыва лучше описать в политике подробно: куда писать и в какие сроки оператор отвечает.
Нужно ли уведомлять Роскомнадзор?
Да, до начала обработки персональных данных оператор обязан уведомить Роскомнадзор о намерении их обрабатывать (ст. 22 закона № 152-ФЗ). Кроме того, по ч. 4 ст. 18.1 оператор обязан представить документы о политике по запросу Роскомнадзора, поэтому политика на сайте должна совпадать с реальной практикой обработки.
Коротко о главном
- Политику конфиденциальности обязан опубликовать каждый, кто собирает персональные данные через сайт, - это часть 2 статьи 18.1 закона № 152-ФЗ.
- Для каждой цели в ней указывают перечень данных, категории людей, способы, сроки хранения и порядок уничтожения; ограничивать права посетителей документ не может.
- Ссылка на политику нужна в футере и рядом с каждой формой сбора данных, а не только на одной странице.
- Политика не заменяет согласие на обработку данных и оферту: это три разных документа.
- До начала обработки почти всем владельцам сайтов нужно уведомить Роскомнадзор; без уведомления можно работать только в трёх узких случаях.
- После отзыва согласия данные, которые больше не нужны, уничтожают в течение тридцати дней.
- За отсутствие политики юрлицу грозит до 60 000 рублей, за неподанное уведомление - до 300 000 рублей.