Почему ошибки в тексте опасны
Политика — публичное заявление оператора о том, как он обращается с персональными данными (ПДн). Если в ней написано одно, а сайт делает другое, документ работает против владельца: он показывает, что оператор знал о требованиях, но описал обработку неверно. По ч. 4 ст. 18.1 152‑ФЗ Роскомнадзор (РКН) вправе запросить политику и локальные акты, а при мониторинге сайтов сверяет документ с тем, что видно на страницах.
Типичный пример из практики: студия получила требование РКН после проверки лендинга. В политике не была описана Яндекс Метрика, срок хранения «10 лет» ничем не обоснован, а галочка согласия в форме стояла заранее. Все три нарушения нашлись без выезда к оператору — по сайту и тексту документа.
Большинство ошибок появляются по одной причине: политику скопировали при запуске сайта и больше не открывали, хотя появились новые формы, счётчики и подрядчики. Если вы нашли у себя больше трёх-четырёх пунктов из списка ниже, быстрее переписать документ целиком.
Ошибки в реквизитах и происхождении текста
Чужой шаблон без адаптации
В тексте упоминаются сервисы, которых у вас нет, и не упоминаются те, что есть. Иногда остаются чужое название компании, телефон, домен или дата утверждения. Проверка простая: найдите в документе название своего сайта и каждого подключённого сервиса.
Неизвестный оператор
«Администрация сайта» — не оператор. Нужны полное наименование юрлица или ФИО ИП, ИНН или ОГРН, адрес и email для обращений. Ещё одна версия ошибки — в политике указана веб-студия, которая делала сайт, или физлицо, на которое зарегистрирован домен. Оператор — тот, кто решает, зачем собирать данные, и чьи реквизиты указаны в договорах с клиентами.
Устаревшие нормы
Шаблоны, написанные несколько лет назад, содержат срок ответа на запрос 30 дней (сейчас 10 рабочих дней по ст. 14 и ст. 20 152‑ФЗ), не учитывают уведомление о трансграничной передаче с 1 марта 2023 года и включают согласие в текст политики, что с 1 сентября 2025 года противоречит ст. 9. Ещё один признак — права пользователя описаны по европейскому регламенту (GDPR) без ссылок на российский закон.
Ошибки в целях, данных и основаниях
Размытые цели
«Улучшение качества обслуживания», «маркетинговые цели», «исполнение обязательств» не объясняют, что происходит с данными. Цель привязывают к процессу: обработка заявки, оформление и доставка заказа, регистрация в личном кабинете, отправка рекламной рассылки.
Открытый перечень данных
Перечень заканчивается словами «и иные данные, предоставленные пользователем». Оговорка делает список бессмысленным. Перечислите поля форм, а для аналитики — технические данные, которые получают счётчики.
Лишние данные
Политика или форма предусматривает сбор паспортных данных, даты рождения или должности там, где для цели хватит имени и телефона. Объём данных должен соответствовать цели, поэтому лишние поля лучше убрать из формы, а потом и из документа.
Одно основание для всего
Согласие указано единственным основанием для всех целей. Статья 6 152‑ФЗ предусматривает и другие: исполнение договора, обязанность по закону, законный интерес. Когда всё завязано на согласие, его отзыв формально требует прекратить даже обработку, которую вы обязаны вести. Встречается и обратная ошибка — основанием указан сам 152‑ФЗ. Роскомнадзор в рекомендациях по составлению политики прямо отмечает, что закон о персональных данных основанием не является.
Согласие внутри политики
Фраза «Используя сайт, пользователь даёт согласие на обработку персональных данных на условиях настоящей Политики» не создаёт согласия. С 1 сентября 2025 года согласие оформляют отдельно от иных документов, которые подтверждает человек. Текст согласия выносят в отдельный документ, который можно собрать в генераторе согласия, и запрашивают через отдельный чекбокс.
Ошибки в сроках и уничтожении
- «Данные хранятся бессрочно» или о сроках ни слова. Для каждой цели нужен период или событие, после которого данные уничтожают.
- Срок есть, но не связан с целью: «10 лет» для заявок на обратный звонок. Если срок взят из требований бухгалтерского или налогового законодательства, укажите это; если нет — сократите его до разумного.
- Нет порядка уничтожения: непонятно, кто принимает решение и как данные удаляются из CRM, почты, таблиц и резервных копий.
- Обещание «удаляем данные сразу после обработки заявки», хотя заявки годами лежат в почте и CRM. Обещание, которое вы не выполняете, хуже честного срока.
Ошибки в разделе о передаче данных
«Данные не передаются третьим лицам»
Почти любой сайт передаёт данные хостингу, CRM, сервису рассылок, телефонии, службе доставки или платёжному сервису. Передача подрядчику по поручению по ч. 3 ст. 6 152‑ФЗ — нормальная практика, но её нужно описать: категории получателей и цели. С подрядчиками заключают договор с условиями обработки ПДн.
Незаявленная передача за рубеж
Иностранная аналитика, капча, шрифты, чат-виджет или сервис рассылок передают данные за границу. Это трансграничная передача по ст. 12 152‑ФЗ: о ней уведомляют Роскомнадзор заранее и пишут в политике. Подробнее — в статье о Google Analytics, reCAPTCHA и Google Fonts.
Противоречие с локализацией
Политика сообщает, что данные хранятся на серверах в другой стране или у зарубежного провайдера. По ч. 5 ст. 18 152‑ФЗ запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России ведут в базах на территории России. Такая фраза в политике указывает проверяющему на возможное нарушение локализации, за которое юрлицу грозит от 1 до 6 млн рублей.
Условия, которые ограничивают права посетителя
По п. 2 ч. 1 ст. 18.1 152‑ФЗ документы оператора не могут содержать положения, ограничивающие права субъектов персональных данных. В шаблонах встречаются такие формулировки:
- «Отзыв согласия принимается только в письменной форме с нотариально заверенной подписью»;
- «Пользователь не вправе требовать удаления данных, переданных партнёрам»;
- «Оператор рассматривает обращения в течение 30 дней» — дольше срока, установленного законом;
- «Оператор не несёт ответственности за сохранность данных, переданных подрядчикам».
Такие условия не действуют и показывают проверяющему, что документ составлен без учёта закона. Уберите их и опишите простой способ обращения: email или адрес и срок ответа.
Документ недоступен или устарел
- Ссылка есть только на странице «О компании» или в разделе «Документы», а у форм её нет.
- Страница отдаёт ошибку, открывается только после входа или требует скачать файл.
- PDF-скан, текст которого нельзя выделить и прочитать на телефоне.
- Нет даты редакции: невозможно понять, какой текст действовал в момент отправки заявки.
- На сайте две политики с разными сроками и целями.
Как разместить документ правильно — в инструкции по размещению политики.
Как исправить формулировки: было и стало
| Было | Стало |
|---|---|
| Администрация сайта example.ru | ООО «Ромашка», ИНН…, ОГРН…, адрес…, email для обращений: pd@example.ru |
| Цель: улучшение качества обслуживания | Цель: обработка заявок на расчёт стоимости ремонта, поступивших через форму на сайте |
| ФИО, телефон, email и иные данные | Имя, номер телефона, email, текст сообщения |
| Все данные обрабатываются на основании согласия | Заявки — на основании согласия; заказы — для исполнения договора (п. 5 ч. 1 ст. 6 152‑ФЗ) |
| Данные хранятся бессрочно | Данные заявок, не перешедших в договор, удаляются через год после последнего обращения |
| Данные не передаются третьим лицам | Данные передаются по поручению оператора хостинг-провайдеру, CRM-сервису и службе доставки для исполнения заказа |
| Сайт может использовать cookie | Сайт использует Яндекс Метрику для статистики посещений; посетитель может отказаться в настройках cookie-баннера |
| Ответ на обращение — в течение 30 дней | Ответ — в течение 10 рабочих дней, срок может быть продлён на 5 рабочих дней с уведомлением |
Порядок исправления
- Выпишите все формы, виджеты, счётчики и подрядчиков, которые работают на сайте сейчас.
- Для каждой формы определите цель, данные, основание и срок хранения.
- Проверьте, есть ли иностранные сервисы, и подано ли уведомление о трансграничной передаче.
- Соберите новый текст в генераторе политики и дополните его тем, что генератор не знает о вашем бизнесе.
- Сверьте цели, категории данных и сведения о передаче с уведомлением в реестре операторов на pd.rkn.gov.ru. Если сведения изменились, внесите изменения в уведомление.
- Утвердите новую редакцию с датой, опубликуйте её по прежнему адресу и сохраните прошлую версию в архиве.
- Проверьте ссылки на документ в подвале и у каждой формы.
Чем грозят ошибки
За неопубликование политики или отсутствие доступа к ней по ч. 3 ст. 13.11 Кодекса об административных правонарушениях (КоАП) юрлицу грозит штраф от 30 до 60 тысяч рублей, ИП — от 10 до 20 тысяч. Ошибки в содержании обычно всплывают вместе с более серьёзными нарушениями, за которые предусмотрены свои штрафы для юрлиц:
| Что видно из политики и сайта | Нарушение | Штраф для юрлица |
|---|---|---|
| Обработка без надлежащего согласия, например согласие только «внутри» политики | ч. 2 ст. 13.11 КоАП | 300–700 тыс. ₽ (если закон требует письменного согласия), повторно 1–1,5 млн ₽ |
| Обработка, несовместимая с целями сбора данных | ч. 1 ст. 13.11 КоАП | 150–300 тыс. ₽, повторно 300–500 тыс. ₽ |
| Оператор не подал уведомление в РКН | ст. 13.11 КоАП | 100–300 тыс. ₽ |
| Данные хранятся в иностранных базах | ч. 8 ст. 13.11 КоАП | 1–6 млн ₽, повторно 6–18 млн ₽ |
Часть ошибок видна снаружи: подключённые счётчики и иностранные скрипты, формы без ссылки на политику. Их можно найти бесплатной проверкой сайта. Остальное проверяется только по тексту документа. Если сомневаетесь в основаниях или сроках для своей ситуации, обсудите их со специалистом по персональным данным.
Частые вопросы
Нужно ли сообщать посетителям об изменении политики?
Закон не требует рассылать уведомления. Достаточно опубликовать новую редакцию с датой по прежнему адресу. Если изменились цели обработки на основании согласия, согласие придётся получить заново: прежнее давалось на другие цели.
Можно ли исправлять политику частями?
Можно, если ошибок немного: например, добавить забытый счётчик или подрядчика. Если документ скопирован с чужого сайта или не содержит целей и сроков, быстрее и надёжнее написать его заново.
Нужно ли указывать в политике конкретные названия сервисов?
Достаточно категорий получателей и целей передачи, а для трансграничной передачи — стран. Названия сервисов повышают прозрачность, но их придётся обновлять при каждой смене подрядчика.
Что будет, если ошибку в политике найдёт Роскомнадзор?
Обычно оператор получает требование устранить нарушения в установленный срок. Если выявлены и другие нарушения, например обработка без согласия или передача за рубеж без уведомления, возможны протокол и штраф по ст. 13.11 КоАП.
Как часто перепроверять документ?
При каждом изменении на сайте: новая форма, счётчик, чат или подрядчик. Если изменений не было, достаточно сверять политику с сайтом раз в год.
Материал носит информационный характер. Для оценки конкретной ситуации обратитесь к профильному специалисту.