Спокуха!Спокуха! › Блог › Политика обработки персональных данных для сайта: что в ней должно быть по 152-ФЗ
Политика обработки персональных данных для сайта: что в ней должно быть по 152-ФЗ
Политика обработки персональных данных — документ, который обязан опубликовать любой сайт, собирающий данные посетителей: через форму заявки, подписку, заказ, личный кабинет или счётчик посещаемости. Это самое частое нарушение, которое находит Роскомнадзор при автоматических проверках сайтов, и самое дешёвое в исправлении.
Кто обязан публиковать политику
Статья 18.1 часть 2 Федерального закона № 152‑ФЗ «О персональных данных»: оператор, который собирает персональные данные через сайт, обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ — на тех страницах, с использованием которых осуществляется сбор.
Оператором становится любой владелец сайта, где есть хотя бы одно из этого:
- форма обратной связи, заявки, заказа, записи — где посетитель вводит имя, телефон, e‑mail;
- подписка на рассылку;
- регистрация и личный кабинет;
- счётчики посещаемости и рекламные пиксели (Яндекс Метрика, VK Пиксель, Top.Mail.Ru): Роскомнадзор и суды считают идентификаторы cookie и данные о поведении посетителя персональными данными.
Сайт-визитка без форм и без счётчиков персональные данные не собирает — политика ему станет нужна с первым же счётчиком или формой.
Где размещать
Закон говорит «на страницах, с использованием которых осуществляется сбор». На практике это значит:
- ссылка на политику рядом с каждой формой — в тексте галочки согласия или под кнопкой;
- ссылка в подвале на всех страницах — так политика окажется и на страницах с формами, и там, где работают счётчики.
Сама политика может быть страницей сайта или PDF — главное, чтобы она открывалась без регистрации и содержала текст (сканы картинками и пустые страницы не считаются).
Что должно быть внутри
Статья 18.1 часть 1 пункт 2 требует не просто «документ с названием», а документ, определяющий политику. Практика Роскомнадзора и суды ожидают в нём:
| Раздел | Что написать |
|---|---|
| Оператор | наименование (ООО/ИП), контакт для обращений по персональным данным |
| Цели обработки | реальные для вашего сайта: обратная связь, заказ, доставка, рассылка, аналитика |
| Правовые основания | согласие субъекта, исполнение договора, законный интерес — по ст. 6 152‑ФЗ, для каждой цели |
| Категории данных и субъектов | что собираете (имя, телефон, e‑mail, cookie) и чьи это данные (посетители, клиенты) |
| Сроки хранения и уничтожение | сколько храните и когда удаляете: достижение цели, отзыв согласия |
| Права субъекта | как узнать о своих данных, уточнить, удалить, отозвать согласие; срок ответа |
| Передача третьим лицам | хостинг, CRM, сервис рассылок, платёжный сервис; трансграничная передача, если есть |
| Cookie и счётчики | какие сервисы аналитики работают на сайте и зачем — если они есть |
| Меры защиты | HTTPS, ограничение доступа, резервные копии — общими словами |
| Дата редакции | чтобы было видно, что документ актуален |
Главные ошибки
- Шаблон с чужими данными. В политике остаётся название другой компании, чужой сайт или подсказки вроде «[укажите наименование]». Такой документ формально есть, но требование закона не выполняет.
- Политика есть, но не там. Ссылка спрятана на странице «О компании», а рядом с формой заявки её нет.
- Нет ни слова про счётчики. На сайте работают Метрика и пиксели, а политика описывает только формы. Роскомнадзор формулирует это как «сбор метрических данных без информирования».
- Согласие вместо политики. Текст «Даю согласие на обработку…» — отдельный документ, он политику не заменяет.
Чем грозит отсутствие
Статья 13.11 часть 3 КоАП РФ — невыполнение обязанности опубликовать политику: штраф для юридических лиц от 30 000 до 60 000 рублей, для ИП от 10 000 до 20 000 рублей. Если при этом данные собираются без согласия, добавляется часть 1 той же статьи — до 300 000 рублей для юрлица. С 2026 года Роскомнадзор проверяет сайты в зонах .ru и .рф автоматически и выдаёт предписания с 10‑дневным сроком на устранение.
Как проверить свою политику
Запустите бесплатную проверку на «Спокухе!» — бот найдёт политику на сайте, проверит, есть ли ссылка у каждой формы, а модель прочитает текст по пунктам: оператор, цели, сроки, права, третьи лица, cookie. Каждый пункт в отчёте привязан к норме закона, текст статьи открывается по кнопке §.
Вопросы и ответы
Нужна ли политика, если на сайте только форма обратного звонка?
Да. Телефон — персональные данные, форма его собирает, значит, вы оператор и обязаны опубликовать политику (ст. 18.1 ч. 2 152‑ФЗ) и получить согласие (ст. 9).
Можно ли взять типовую политику из интернета?
Можно взять за основу, но заменить всё: наименование, контакты, цели, перечень сервисов, сроки. Незаполненные поля и чужие названия — самый частый повод для предписания.
Политика и согласие — это одно и то же?
Нет. Политика описывает, как оператор в целом работает с данными. Согласие — то, что посетитель даёт по конкретной форме: галочка и текст, на который она ведёт. Нужны оба.
Обязательно ли размещать политику в подвале сайта?
Закон требует её на страницах, где собираются данные. Подвал — самый простой способ выполнить это для всех страниц сразу, поэтому мы рекомендуем его, но нарушением отсутствие ссылки в подвале не является, если она есть у форм.
Пункты протокола по теме
- 1.1Опубликована ли на сайте политика обработки персональных данных?требование закона
- 1.2Есть ли ссылка на политику на страницах с формами?требование закона
- 1.4Политика написана для этого сайта, а не скопирована с чужого?требование закона
- 1.5Назван ли в политике оператор и указан ли контакт для обращений?требование закона
- 1.6Перечислены ли цели обработки, и настоящие ли они для этого сайта?требование закона
- 1.7Указано ли, какие данные собираются и чьи они?требование закона
- 1.9Указаны ли сроки хранения и когда данные уничтожаются?требование закона
- 1.10Описаны ли права посетителя и порядок отзыва согласия?требование закона
- 1.11Описана ли передача данных третьим лицам и за рубеж?требование закона
- 1.12Описаны ли в политике cookie и сервисы аналитики?требование закона
Читайте также
- Уведомление о cookie на сайте: что требует закон, а что — нет
Обязателен ли cookie-баннер по 152-ФЗ, нужна ли кнопка «Отклонить», можно ли запускать Яндекс Метрику до согласия, и что на самом деле проверяет Роскомнадзор. Разбор по нормам, без запугивания.
- Штрафы по 152-ФЗ для сайтов в 2026 году: за что и сколько
Таблица штрафов по ст. 13.11 КоАП за нарушения при обработке персональных данных на сайте: нет политики, нет согласия, иностранная аналитика, сервер за рубежом, нет уведомления в Роскомнадзор. Суммы для юрлиц и ИП, реальная практика.
- Какие реквизиты владелец обязан указать на сайте: наименование, ИНН, ОГРН, адрес, контакты
Что требует 149-ФЗ ст. 10 и закон о защите прав потребителей от любого сайта и от интернет-магазина: наименование, ИНН и ОГРН, адрес, e-mail и телефон, лицензия. Где размещать и что грозит за отсутствие.