Политика обработки персональных данных для сайта: что должно быть в документе и как его составить

Кому нужна политика

Политику должен издать каждый оператор персональных данных (ПДн) — компания или ИП, которые сами решают, зачем и как обрабатывать сведения о людях. Если данные собираются через интернет, документ нужно опубликовать в сети и дать к нему доступ на страницах, где идёт сбор. Это требование ч. 2 ст. 18.1 152‑ФЗ «О персональных данных».

Сайт делает владельца оператором, если на нём есть хотя бы одно из перечисленного:

• форма заявки, обратного звонка, расчёта стоимости или записи;
• регистрация, личный кабинет, корзина и оформление заказа;
• подписка на рассылку;
• онлайн-чат или виджет обратной связи;
• счётчики аналитики и рекламные пиксели: они получают IP-адрес и cookie-идентификатор браузера.

Размер бизнеса и посещаемость значения не имеют: лендинг ИП с одной формой «имя и телефон» подпадает под требование так же, как крупный интернет-магазин. Если на сайте нет ни форм, ни счётчиков, ни виджетов и клиенты только звонят, публиковать политику на сайте закон формально не требует. Но сам документ всё равно нужен: по ч. 1 ст. 18.1 его издаёт любой оператор, а данные клиентов вы получаете по телефону и в офисе.

Что закон требует указать в документе

Обязательного шаблона нет. Минимальное содержание задаёт п. 2 ч. 1 ст. 18.1 152‑ФЗ: для каждой цели обработки документы оператора определяют категории и перечень данных, категории субъектов (людей, чьи данные обрабатываются), способы и сроки обработки и хранения, порядок уничтожения данных. Там же сказано, что такие документы не могут ограничивать права субъектов. Ч. 2 той же статьи добавляет сведения о том, как оператор защищает данные.

Порядок разделов удобно взять из рекомендаций Роскомнадзора (РКН) по составлению политики, опубликованных в 2017 году. В них шесть блоков: общие положения, цели сбора, правовые основания, объём и категории данных и субъектов, порядок и условия обработки, актуализация и уничтожение данных с ответами на запросы. Для сайта к ним добавляют раздел о cookie и аналитике.

Цели обработки: как описать на примере

Цель — центральная часть документа, от неё зависят все остальные разделы. Описывайте её через конкретный процесс: «обработка заявок на расчёт стоимости ремонта», «исполнение договора купли-продажи и доставка заказа», «отправка новостей о скидках подписчикам». Формулировки «улучшение качества услуг» и «маркетинговые цели» не говорят, что именно происходит с данными, и при проверке их считают недостаточными.

Сроки в таблице — пример: вы устанавливаете их сами и объясняете, почему выбран такой период. Перечень данных берите из реальных полей форм. Закон запрещает собирать данные сверх цели, поэтому для заявки на консультацию не нужны паспорт и дата рождения: такие поля проще убрать из формы, чем обосновывать в политике.

Правовые основания: не только согласие

Статья 6 152‑ФЗ перечисляет случаи, когда обработка законна. Для сайта чаще всего подходят четыре:

• согласие субъекта (п. 1 ч. 1 ст. 6) — заявки, рассылки, аналитика, отклики на вакансии;
• обязанность по закону (п. 2) — например, хранение бухгалтерских документов о продаже;
• заключение и исполнение договора с субъектом (п. 5) — оформление и доставка заказа, личный кабинет по пользовательскому соглашению;
• законные интересы оператора (п. 7), если права человека не нарушаются, — например, защита сайта от мошенничества.

Сам 152‑ФЗ основанием обработки не считается: Роскомнадзор указывает на это в рекомендациях. Ссылайтесь на конкретный пункт ст. 6, договор или закон, который обязывает вас обрабатывать данные.

Формулировка «все данные обрабатываются на основании согласия» выглядит безопасной, но создаёт проблему. Если покупатель отзовёт согласие, по тексту политики вам придётся прекратить и ту обработку, которую вы обязаны вести по налоговому законодательству. Когда основание выбрано правильно, отзыв согласия касается только целей, для которых согласие действительно нужно.

Действия, сроки и уничтожение

Перечень действий берут из определения обработки в ст. 3 152‑ФЗ: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Оставьте только то, что происходит на самом деле. Способ обработки — автоматизированный, без средств автоматизации или смешанный: у большинства сайтов он смешанный, потому что заявки распечатывают или переносят в договоры.

«До достижения целей обработки» — допустимая формулировка, но её лучше дополнить периодом или событием: «через год после последнего обращения», «до отписки от рассылки», «в течение срока хранения первичных учётных документов». Срок «бессрочно» и цифра без привязки к цели вызывают вопросы у проверяющих.

Опишите порядок уничтожения: кто принимает решение, как удаляются записи из CRM, почты, таблиц и резервных копий, как фиксируется факт уничтожения. Достаточно нескольких предложений — подробности остаются во внутреннем положении об обработке ПДн.

Подрядчики и иностранные сервисы

Сайт почти никогда не обрабатывает данные в одиночку. Хостинг, CRM, сервис рассылок, IP-телефония, служба доставки, платёжный сервис и бухгалтер на аутсорсе получают доступ к данным. Если подрядчик обрабатывает их по вашему поручению, это поручение по ч. 3 ст. 6 152‑ФЗ. В договоре с ним указывают перечень данных и действий, цели, обязанность соблюдать конфиденциальность и защищать данные. В политике перечислите категории получателей и цели передачи.

Называть конкретные сервисы не обязательно, но для небольшого сайта это удобно: посетитель сразу видит, кто получает его данные. Минус — при смене подрядчика придётся обновлять документ.

Если данные уходят за рубеж через иностранную аналитику, капчу, шрифты, чат-виджет или сервис рассылок, это трансграничная передача по ст. 12 152‑ФЗ. С 1 марта 2023 года о ней уведомляют Роскомнадзор до начала передачи, а в политике указывают страны и цели. Отдельное правило — локализация по ч. 5 ст. 18: запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России ведут в базах на территории России. Подробнее — в статьях о трансграничной передаче и локализации.

Раздел о cookie и веб-аналитике

Отдельного закона о cookie в России нет, но cookie вместе с IP-адресом и данными о поведении на сайте могут признать персональными данными. Поэтому счётчики описывают в политике отдельной целью. В разделе указывают:

• какие cookie использует сайт: технические (корзина, авторизация), аналитические, рекламные;
• какие сервисы ставят свои cookie: Яндекс Метрика, рекламные пиксели, чат-виджеты, встроенные карты и видео;
• какие данные получают эти сервисы и зачем;
• как посетитель может отказаться: через настройки cookie-баннера или браузера.

Если включён Вебвизор, упомяните запись действий на страницах и скройте поля форм от записи. Баннер для выбора cookie можно собрать в генераторе cookie-баннера, подробности об аналитике — в статье про Яндекс Метрику и 152‑ФЗ.

Защита данных и права посетителей

Раздел о защите показывает, что меры приняты: назначен ответственный за организацию обработки, утверждены локальные акты, доступ сотрудников ограничен, соединение с сайтом шифруется, ведётся резервное копирование. Названия средств защиты, версии ПО и схемы сети в публичный документ не включают.

В разделе о правах перечислите, что может сделать человек:

• получить сведения об обработке своих данных;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие или обрабатываются незаконно;
• отозвать согласие;
• обжаловать действия оператора в Роскомнадзоре или в суде.

Укажите адрес для обращений и срок ответа. По ст. 14 и ст. 20 152‑ФЗ он составляет 10 рабочих дней с возможностью продления на 5 рабочих дней, если оператор направил мотивированное уведомление. В старых шаблонах встречается срок 30 дней — его нужно исправить.

Как подготовить и утвердить политику

1. Составьте список точек сбора: формы, всплывающие окна, квизы, корзина, регистрация, чат, подписка, счётчики и сторонние скрипты.
2. Для каждой точки определите цель, перечень данных, основание и срок — удобно сразу в таблице, как в примере выше.
3. Выпишите подрядчиков, которые получают данные, и проверьте, есть ли среди них иностранные.
4. Соберите текст в генераторе политики: отметьте цели и сервисы, проверьте реквизиты и сроки.
5. Сверьте политику с уведомлением в Роскомнадзор: цели, категории данных и сведения о трансграничной передаче должны совпадать. Если уведомление не подано, подайте его — порядок описан в статье об уведомлении РКН.
6. Утвердите политику: компания — приказом руководителя, ИП — своим решением. В тексте укажите дату редакции.
7. Опубликуйте документ отдельной страницей и поставьте ссылки в подвале и рядом с каждой формой — по инструкции о размещении.

Политика не заменяет согласие на обработку. Если цель требует согласия, его оформляют отдельным документом: с 1 сентября 2025 года по ст. 9 152‑ФЗ согласие отделяют от иных документов, которые подписывает или подтверждает человек. Текст согласия можно собрать в генераторе согласия.

Когда обновлять документ

Строгой периодичности закон не устанавливает. Новая редакция нужна при каждом изменении обработки:

• появилась новая форма, квиз или личный кабинет;
• подключили счётчик, пиксель, чат или сервис рассылок;
• сменили хостинг, CRM, службу доставки;
• начали передавать данные за рубеж или прекратили;
• изменились реквизиты оператора.

Старые редакции сохраняйте с датами: они понадобятся, если придётся показать, какой текст действовал в момент отправки заявки. Типичные расхождения между документом и сайтом собраны в статье об ошибках в политике. Если вы обрабатываете сведения о здоровье, данные детей или биометрию, покажите документ специалисту по персональным данным: в этих случаях требования строже.