Политика конфиденциальности для сайта: нужна ли вам и что грозит без неё

Сначала про путаницу в названии, потому что она сбивает с толку каждого второго. Люди ищут «политику конфиденциальности», а закон такого документа не знает. В 152-ФЗ он называется политикой в отношении обработки персональных данных. Это один и тот же документ, просто у него бытовое имя и юридическое. Дальше я буду звать его политикой — но в шапке самого файла на сайте пишите полное юридическое название, так правильнее.

Теперь по делу. Это не бумажка для галочки, а прямая обязанность из закона. Разберу, кому она нужна, что грозит без неё и что внутри должно быть, чтобы документ работал и не подставлял вас при проверке.

Кому обязательна политика конфиденциальности

Короткий ответ: почти всем. Обязанность опубликовать политику лежит на операторе персональных данных — а оператором вы становитесь в момент, когда начинаете собирать чьи-то данные. Не когда захотели, а автоматически. Это важно понять: оператор — не статус, который где-то присваивают, а роль, которая возникает по факту. Никто не приходит и не назначает вас оператором; вы становитесь им сами, поставив на сайт форму заявки или счётчик. А раз стали оператором, обязанность про политику включается вместе с этим.

Вот сайты, которым политика нужна, хотя владельцы часто думают иначе:

• Лендинг с одной формой заявки. Имя и телефон — уже персональные данные.
• Интернет-магазин. Корзина, доставка, личный кабинет — данных много.
• Сайт-визитка со счётчиком аналитики. Яндекс.Метрика собирает данные о посетителе, и это тоже обработка.
• Блог с формой подписки. Email в базе рассылки — персональные данные.

Фактически политика не нужна только сайту, который вообще ничего не собирает: ни форм, ни счётчиков, ни комментариев. Таких почти не бывает. Так что вопрос обычно не «нужна ли мне политика», а «есть ли она и не чужая ли она». С этого и начнём.

Что будет без неё — конкретные суммы

Отсутствие опубликованной политики — это отдельное правонарушение с собственным штрафом. Часть 3 статьи 13.11 КоАП:

• индивидуальный предприниматель — 10–20 тыс рублей;
• компания (юрлицо) — 30–60 тыс рублей;
• должностное лицо (например, директор) — 6–12 тыс рублей.

Суммы, прямо скажем, не разорительные. Но есть нюанс, из-за которого я советую не откладывать. Политика — это первое, что проверяющий видит на сайте, ещё до всякого запроса документов. Нет ссылки в подвале — сигнал, что с 152-ФЗ у вас, скорее всего, не в порядке и остальное. А дальше уже смотрят формы, согласия, уведомление в РКН, и там суммы совсем другие. Штраф за политику — не главная опасность, а маркер, который притягивает внимание к тому, что дороже.

На практике это выглядит так. Инспектор открывает сайт. Ищет ссылку внизу страницы. Нашёл, кликнул, прочитал — вопрос закрыт за минуту. Не нашёл — открывает список ваших форм и смотрит, что вы собираете вообще без документа. Дальше запрос, объяснения, проверка согласий и уведомления в РКН. Тридцать тысяч за политику на этом фоне — самая мелкая строка в счёте.

Что обязательно должно быть в документе

Политика — это не юридическая заумь на десять страниц. Это прямой ответ на простые вопросы посетителя: кто вы, что берёте и зачем. По статье 18.1 152-ФЗ в документе должно быть раскрыто как минимум:

• Кто оператор. Название компании или ИП, ИНН, контакты для обращений по поводу данных.
• Какие данные вы собираете. Имя, телефон, email, адрес, cookie — перечислите всё, что реально берёте.
• Зачем. Цели: обработать заявку, доставить заказ, вести рассылку. Данные без цели собирать нельзя.
• На каком основании. Обычно это согласие пользователя или исполнение договора.
• Сколько храните и где. Срок хранения и то, что данные лежат на серверах в России.
• Права пользователя. Как узнать, что у вас есть его данные, как их исправить и как отозвать согласие.

Главный принцип: политика описывает именно ваш сайт. Если у вас юруслуги, а в тексте фигурирует «доставка товара» — это чужой документ, и видно это с первого взгляда.

Два пункта, про которые забывают чаще всего. Первый — счётчики аналитики. Если стоит Яндекс.Метрика, в политике должно быть сказано, что вы её используете и какие данные она собирает: без этого документ неполный. Второй — срок хранения. Данные нельзя держать вечно «на всякий случай»: в политике указывают, сколько вы храните данные и что происходит потом. Формулировка вроде «до достижения цели обработки или до отзыва согласия» закрывает вопрос.

Чего в политике быть не должно

Типичные ошибки, которые превращают документ в фикцию:

• Чужие данные. В скачанном шаблоне остались название и ИНН компании, у которой его взяли. Классика.
• Обработка, которой у вас нет. Политика обещает то, чего сайт не делает, или молчит про то, что делает (например, про Метрику).
• Только на английском или сплошным мелким шрифтом. Документ должен быть читаемым и на русском.
• Ссылка на политику, которая ведёт в никуда или требует регистрации. Недоступный документ приравнивается к его отсутствию.

Отдельно про образцы. «Политика конфиденциальности образец» — один из самых частых запросов, и это нормальная точка старта: посмотреть готовую структуру полезно. Опасность не в самом образце, а в соблазне вставить его как есть. Рабочий подход простой: берёте образец как каркас, а дальше вычищаете из него всё чужое и вписываете своё — оператора, данные, цели, сроки. На это уходит час, и он окупается: свой документ проверку проходит, чужой — притягивает вопросы.

Про то, как собрать нормальное согласие в форме, чтобы оно сочеталось с политикой, я разобрал в отдельной статье про согласие на обработку данных. Политика и согласие работают в паре.

Как разместить на сайте

Технически всё просто, и это работа на полчаса.

• Отдельная страница с полным текстом политики.
• Ссылка в подвале сайта — чтобы она была на каждой странице.
• Ссылка рядом с каждой формой, где пользователь оставляет данные, вместе с чекбоксом согласия.
• Доступ без регистрации и без плясок: кликнул — открылось.

Дата актуализации сверху тоже полезна: она показывает, что документ поддерживают. Меняли формы или ставили новый счётчик — обновите и политику.

И про частый вопрос: политика и cookie-баннер — разные вещи. Политика описывает всю обработку данных, баннер только уведомляет про cookie и просит согласие на аналитику. Баннер не заменяет политику, он на неё ссылается. Хотите закрыть тему аккуратно — нужны оба, они дополняют друг друга.

Что делать прямо сейчас

Пошагово, без юриста на аутсорсе:

• Проверьте, есть ли на сайте ссылка на политику в подвале. Нет — это задача номер один.
• Откройте текущую политику и прочитайте. Если видите чужую компанию или обработку, которой у вас нет, — документ надо переписывать.
• Сверьте политику с реальностью: все ли ваши формы и счётчики в ней описаны.
• Добавьте раздел про права пользователя и отзыв согласия, если его нет.
• Проверьте, что документ открывается с телефона и без регистрации.

Политика — это фундамент, но не весь дом. Следующий вопрос обычно: а вообще, что от меня как от оператора требует закон целиком. Полную самопроверку сайта собрал в чек-листе аудита на 152-ФЗ. А если утечёт то, что вы собрали, — цена вопроса уже другая, про неё в статье про штрафы за утечку.

Кстати, наличие политики на сайте — один из вопросов официального проверочного листа РКН. Что ещё в этом списке, разобрал в статье про проверки Роскомнадзора.

Короткий вывод

Политика конфиденциальности — самый дешёвый способ закрыть базовое требование 152-ФЗ. Штраф за её отсутствие невелик, но сам факт, что документа нет, притягивает к вам внимание проверяющего, где суммы уже серьёзные. Написать нормальную политику под свой сайт — работа на день, и бюджет она не съедает. Это та самая гигиена, которая экономит нервы: один точный документ, который описывает ровно то, что вы делаете с данными.

Свежие разборы 152-ФЗ на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы