Представьте барбершоп, у которого на сайте висит аккуратная политика на шесть страниц: с разделом о передаче данных банку-эквайеру и о хранении сведений о кредитной истории. При этом стрижку оплачивают на месте, онлайн-оплаты на сайте нет. Текст взяли у микрофинансовой организации и заменили название.
Сценарий очень типичный. Политика воспринимается как формальность, которую надо «повесить», и берётся откуда угодно. А это описание того, что конкретно ваш бизнес делает с данными людей. Если описание не совпадает с реальностью, документ не защищает, а подставляет.
Что это за документ и кому он нужен
Политика обработки персональных данных обязательна для любого оператора, то есть для любой компании или ИП, которые собирают и используют сведения о людях. Если данные приходят через сайт, политику нужно опубликовать на этом сайте (ст. 18.1 ч. 2 152-ФЗ). Её часто называют «политикой конфиденциальности», суть от названия не меняется.
Важное уточнение после 1 сентября 2025 года: политика и согласие теперь разные документы. Согласие нельзя вшить в политику последним разделом или прописать фразой «пользуясь сайтом, вы соглашаетесь». Как оформить согласие правильно, мы разобрали в соседней статье про согласие отдельным документом. Здесь только про политику.
Разделы политики на двух примерах
Возьмём два непохожих бизнеса. Барбершоп: сайт с онлайн-записью через внешний виджет, Метрика, кнопка Telegram. Digital-агентство: форма брифа, где клиент оставляет имя, должность, email, телефон и описание проекта, плюс подписка на блог.
| Раздел | Что в нём писать | Барбершоп | Digital-агентство |
|---|---|---|---|
| Оператор | полное наименование, ИНН, ОГРН или ОГРНИП, адрес, email для обращений | ИП, его ИНН и почта | ООО, реквизиты, отдельный ящик для запросов по данным |
| Категории людей | чьи данные вы обрабатываете | клиенты, записавшиеся онлайн | потенциальные клиенты, подписчики блога |
| Перечень данных | только то, что реально приходит | имя, телефон, cookie и IP от Метрики | имя, должность, email, телефон, название компании |
| Цели | каждая отдельно и по делу | запись на услугу, напоминание о визите, аналитика сайта | ответ на бриф, подготовка коммерческого предложения, рассылка статей |
| Основания | на чём держится каждая цель | согласие, исполнение договора на услугу | согласие, отдельное согласие на рассылку |
| Получатели | сервисы и компании, куда уходят данные | сервис онлайн-записи, Метрика | CRM, сервис рассылок |
| Сроки | привязка к цели, а не «бессрочно» | пока клиент пользуется записью, затем удаление | до ответа на бриф и разумный срок после, для рассылки до отписки |
| Права человека | доступ, исправление, удаление, отзыв согласия и куда писать | email ИП | выделенный email |
| Защита | организационные и технические меры в общих словах | доступ к записи только у администратора | разграничение доступа в CRM |
| Локализация | где хранятся базы | серверы сервиса записи в РФ | CRM с хранением в РФ |
Обратите внимание на строку про локализацию. Данные граждан РФ записываются и хранятся в базах на территории России, а с 1 июля 2025 года и первичный сбор должен идти именно туда. Если агентство собирает брифы в зарубежную форму или CRM, политику написать честно не получится: сначала придётся менять инструмент.
Где чужой текст ломается
Скопированная политика выдаёт себя в нескольких местах. Мы проверяем их первыми:
- Перечень данных. В тексте паспорт, СНИЛС и адрес регистрации, а форма на сайте спрашивает только телефон. Или наоборот: сайт собирает адрес доставки, а в политике его нет.
- Цели. «Для трудоустройства» на сайте цветочного магазина, «для оказания медицинских услуг» у агентства. Размытое «для улучшения качества сервиса» тоже не цель.
- Получатели. Чужая CRM, чужой сервис рассылок, иностранная аналитика, которой у вас нет. Или пусто, хотя на сайте стоят три внешних виджета.
- Реквизиты. Забытое старое название, чужой ИНН в одном из абзацев, email, который никто не читает.
- Ссылки на нормы. Отсылки к редакциям закона, которые давно поменялись.
Нейросеть, кстати, ошибается в тех же местах: она пишет гладко, но про ваш сайт ничего не знает. Подробнее в статье о документах через нейросеть.
Где разместить
Здесь требования простые, но их часто нарушают из-за вёрстки.
- Отдельная страница с постоянным адресом, открывается без регистрации и входа.
- Ссылка в подвале каждой страницы сайта, включая лендинги и страницы акций, которые собраны отдельно.
- Ссылка рядом с каждой формой, где человек оставляет данные. В той же строке, что и чекбокс согласия, обычно ставят обе ссылки: на согласие и на политику.
- Документ читается с телефона: не картинка, не скан, не PDF на сорок мегабайт.
За неопубликованную политику или закрытый к ней доступ штраф по ч. 3 ст. 13.11 КоАП: для юрлица от 30 до 60 тыс. рублей, для ИП от 10 до 20 тыс. С 2025 года РКН проверяет сайты автоматически, и отсутствие ссылки в подвале робот видит сразу. Как устроен такой мониторинг, читайте в материале про робота РКН.
Когда политику переписывать
Политика устаревает не по календарю, а по событиям. Вот сигналы, после которых её нужно открыть и сверить:
- на сайте появилась новая форма или новое поле в старой;
- подключили CRM, сервис рассылок, виджет чата, онлайн-запись;
- сменили хостинг или сервис аналитики;
- начали принимать оплату на сайте или запустили личный кабинет;
- поменялись реквизиты: новое юрлицо, адрес, переход с ИП на ООО;
- вышли изменения в 152-ФЗ, касающиеся ваших процессов.
Если агентство раз в квартал пробует новый инструмент, политика будет отставать постоянно. Таким компаниям проще закрыть вопрос годовой поддержкой, чем каждый раз вспоминать про документ.
Политика не работает в одиночку
Даже идеальная политика на сайте не закрывает всё. Рядом с ней должны быть отдельное согласие, на которое ведёт чекбокс в форме, уведомление о cookie, если стоит аналитика, и уведомление в РКН. Полный список под конкретный сайт мы собрали в статье о документах по формам и счётчикам.