Что говорит закон о названии
Часть 2 ст. 18.1 152‑ФЗ обязывает оператора опубликовать документ, определяющий его политику в отношении обработки персональных данных (ПДн), и сведения о мерах защиты. Конкретного заголовка закон не требует. Слова «политика конфиденциальности» в нём нет, но и запрета на такое название тоже.
Отдельных требований оформлять политику конфиденциальности и политику ПДн раздельно или вместе нет. Поэтому Роскомнадзор (РКН) при проверке смотрит на содержание: опубликован ли документ, открывается ли он со страниц с формами и отвечает ли на вопросы, которые ставит закон. Кто оператор, какие данные он собирает, зачем, на каком основании, сколько хранит и кому передаёт.
Слово «конфиденциальность» в 152‑ФЗ всё же есть — в ст. 7. Оно обозначает обязанность оператора и всех, кто получил доступ к данным, не раскрывать их третьим лицам и не распространять без согласия человека, если закон не разрешает иное. Обязанность действует независимо от названия документа, и в политике ей обычно посвящают раздел о защите данных.
Откуда на сайтах «политика конфиденциальности»
Название пришло из англоязычной практики, где документ называется privacy policy. Его по умолчанию предлагают системы управления сайтом и конструкторы. Например, в WordPress в разделе «Настройки → Приватность» можно одной кнопкой создать страницу политики по встроенному шаблону. Шаблон написан с оглядкой на европейский регламент о защите данных (GDPR) и рассказывает о комментариях, медиафайлах и встроенном контенте.
Вместе с названием переносится и содержание: общие обещания «не передавать данные третьим лицам», права по иностранному праву, никаких сроков и реквизитов. Такой текст выглядит солидно, но не отвечает на вопросы российского закона.
Чем шаблонная политика конфиденциальности отличается от политики по 152‑ФЗ
Сравним типичный шаблон из конструктора или переведённый зарубежный текст с документом, составленным под российский закон.
| Что проверить | Шаблонная «политика конфиденциальности» | Политика по 152‑ФЗ |
|---|---|---|
| Оператор | «Администрация сайта» без реквизитов | Наименование или ФИО ИП, ИНН или ОГРН, адрес, email для обращений |
| Данные | «Информация, которую вы предоставляете» | Перечень полей форм и технических данных счётчиков |
| Цели | «Улучшение сервиса», «маркетинг» | Конкретные процессы: обработка заявки, доставка заказа, рассылка |
| Основания | Не указаны или «согласие на всё» | Пункт ст. 6 152‑ФЗ, договор или закон для каждой цели |
| Сроки | Не указаны | Период или событие для каждой цели, порядок уничтожения |
| Получатели | «Данные не передаются третьим лицам» | Категории получателей: хостинг, CRM, доставка, платежи |
| Зарубежные сервисы | Не упоминаются | Страны и цели трансграничной передачи, если она есть |
| Права и срок ответа | Права по GDPR или без сроков | Права по 152‑ФЗ, ответ в течение 10 рабочих дней |
| Cookie | Общая фраза или отдельный англоязычный документ | Какие счётчики работают, зачем и как отказаться |
Если в вашем документе левая колонка встречается чаще правой, переименование не поможет — текст нужно переписать. Быстрее всего собрать новый в генераторе политики и сверить с тем, что реально происходит на сайте.
Один документ или несколько: варианты
Закон оставляет структуру на усмотрение оператора. На практике встречаются четыре схемы.
| Схема | Когда подходит | На что обратить внимание |
|---|---|---|
| Одна политика с двойным названием: «Политика обработки персональных данных (политика конфиденциальности)» | Большинство сайтов | Ссылки в подвале и у форм ведут на один адрес |
| Политика ПДн и отдельная политика cookie | Много счётчиков и рекламных пикселей, cookie-баннер с настройками | Политика ПДн ссылается на документ о cookie, описания целей совпадают |
| Политика ПДн и перевод для иностранных посетителей | Сайт работает и на зарубежную аудиторию | Русская редакция основная; требования других стран могут потребовать своего документа |
| Две самостоятельные политики с пересекающимся текстом | Не рекомендуется | Расхождения в целях и сроках трактуются против оператора |
Если на сайте остались и старая «политика конфиденциальности», и новая политика ПДн, оставьте одну актуальную, а со старого адреса настройте переадресацию.
Политика, пользовательское соглашение и согласие
Политику часто путают с двумя соседними документами. У каждого своя задача.
| Документ | Зачем нужен | Как посетитель с ним взаимодействует |
|---|---|---|
| Политика обработки ПДн | Публично рассказывает, как оператор обрабатывает данные | Может прочитать по ссылке, действий не требуется |
| Пользовательское соглашение или оферта | Устанавливает правила пользования сервисом или условия покупки | Принимает условия при регистрации или заказе |
| Согласие на обработку ПДн | Фиксирует волю конкретного человека на обработку для конкретных целей | Ставит галочку или подписывает отдельный документ |
С 1 сентября 2025 года по ст. 9 152‑ФЗ согласие оформляют отдельно от иных документов, которые подписывает или подтверждает человек. Поэтому галочка «Я принимаю политику конфиденциальности» подтверждает только ознакомление с политикой. Если обработка идёт на основании согласия, нужен отдельный текст согласия и отдельный чекбокс — их можно собрать в генераторе согласия, а правила оформления формы описаны в статье о чекбоксе согласия.
Заполните реквизиты и отметьте цели — получите политику со всеми разделами за 2 минуты.
Как переименовать или заменить документ без потерь
- Выберите один постоянный адрес страницы, например /policy, и опубликуйте на нём актуальную редакцию с датой.
- Дайте документу понятный заголовок. Двойное название снимает вопросы у посетителей, которые ищут привычную «политику конфиденциальности».
- Настройте постоянную переадресацию (код 301) со старых адресов, чтобы не сломались ссылки в письмах, рекламе и сохранённых согласиях.
- Обновите ссылки в подвале, у всех форм, в cookie-баннере, в письмах-подтверждениях и в карточках мобильного приложения, если там указан адрес политики.
- Сохраните старую редакцию в архиве с датами действия.
Как проверить свой документ за 15 минут
Откройте текущую политику и ответьте на вопросы. Если ответа в тексте нет, документ нужно дорабатывать, как бы он ни назывался.
- Указаны ли наименование оператора, ИНН или ОГРН и контакт для обращений?
- Описаны ли все формы сайта и данные, которые они собирают?
- Есть ли для каждой цели основание и срок?
- Упомянуты ли счётчики аналитики, чаты и другие сторонние сервисы?
- Сказано ли, передаются ли данные за рубеж?
- Описаны ли права по 152‑ФЗ и срок ответа на обращение?
- Есть ли дата редакции?
Что грозит, если документ не соответствует
За неопубликование политики или отсутствие доступа к ней по ч. 3 ст. 13.11 Кодекса об административных правонарушениях (КоАП) юридическому лицу грозит штраф от 30 до 60 тысяч рублей, ИП — от 10 до 20 тысяч, должностному лицу — от 6 до 12 тысяч. Формально опубликованный, но пустой по содержанию шаблон тоже создаёт риск: при проверке он фиксирует расхождение между заявленной и реальной обработкой, а нарушения вроде обработки без согласия или незаявленной передачи за рубеж наказываются отдельно. Размеры штрафов собраны в статье о штрафах по ст. 13.11 КоАП.
Частые вопросы
Нужно ли переименовывать «политику конфиденциальности» в «политику обработки персональных данных»?
Не обязательно. Если содержание соответствует 152‑ФЗ, название можно оставить. Для ясности удобно двойное название и подпись ссылок «Политика обработки персональных данных».
Что делать с политикой, которую конструктор сайта создал автоматически?
Заменить текст своим. Автоматический шаблон не знает ваших реквизитов, форм, подрядчиков и сроков, а часто написан под европейский регламент. Страницу и её адрес можно оставить, поменяв содержимое.
Можно ли разместить политику только на английском языке?
Для сайта, который работает с российской аудиторией, это рискованно: документ должен быть понятен посетителям, а проверяет его российский регулятор. Опубликуйте русскую редакцию, а перевод добавьте отдельно.
Нужна ли отдельная политика использования cookie?
Нет, если cookie и счётчики описаны в основной политике. Отдельный документ удобен при большом числе рекламных и аналитических сервисов. Тогда cookie-баннер ссылается на него, а политика ПДн — на документ о cookie.
Если в политике упоминается GDPR, это ошибка?
Упоминание само по себе не нарушение. Проблема, если документ описывает только европейские правила и не содержит сведений, которые требует 152‑ФЗ: реквизитов, целей, оснований, сроков, получателей и прав по российскому закону.
Материал носит информационный характер. Для оценки конкретной ситуации обратитесь к профильному специалисту.