Политика конфиденциальности — один из трёх документов, которые Роскомнадзор проверяет в первую очередь при аудите любого сайта. Согласно ч. 2 ст. 18.1 Федерального закона № 152-ФЗ «О персональных данных», оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить неограниченный доступ к нему. Отсутствие документа или несоответствие его содержания требованиям закона влечёт административный штраф по ч. 3 ст. 13.11 КоАП: до 6 000 рублей для физических лиц, до 30 000 рублей для должностных и до 100 000 рублей для юридических лиц за каждый факт нарушения.
Обязательные разделы политики конфиденциальности
1. Сведения об операторе
Укажите полное наименование организации, ИНН, ОГРН, юридический и почтовый адрес, адрес электронной почты и телефон ответственного за обработку ПД. Если в компании назначен Инспектор по защите данных (DPO) — его контактные данные также должны быть указаны.
2. Категории субъектов и обрабатываемые данные
Перечислите все категории лиц, чьи данные вы обрабатываете (посетители сайта, клиенты, сотрудники, партнёры), и для каждой категории укажите состав данных. Например:
- Посетители сайта: IP-адрес, cookie-идентификаторы, данные браузера, поведение на сайте.
- Пользователи формы обратной связи: имя, email, телефон, содержание сообщения.
- Зарегистрированные пользователи: данные профиля, история заказов.
3. Цели обработки персональных данных
Для каждой категории данных необходимо указать конкретную цель. Недопустимы размытые формулировки вроде «улучшение качества сервиса» без конкретики. Требования к формулировке целей установлены в ст. 5 152-ФЗ.
4. Правовые основания обработки
Статья 6 152-ФЗ предусматривает исчерпывающий перечень оснований для обработки данных без согласия: исполнение договора, выполнение законных полномочий, защита жизни и здоровья. Для всего остального — необходимо явное согласие субъекта.
5. Сроки хранения
Укажите сроки хранения для каждой категории данных. После истечения срока данные подлежат уничтожению или обезличиванию. Общее правило — не дольше, чем необходимо для достижения цели обработки.
6. Передача данных третьим лицам
Если вы используете сторонние сервисы — CRM, почтовые рассыльщики, аналитика, реклама — перечислите их в документе. Укажите, с какими поручителями по обработке у вас заключены договоры.
7. Права субъектов персональных данных
В соответствии со ст. 14–17 152-ФЗ субъект вправе:
- получить подтверждение факта обработки его данных;
- ознакомиться с обрабатываемыми данными;
- требовать исправления неточных данных;
- требовать уничтожения данных при отсутствии правового основания для обработки;
- отозвать согласие на обработку в любой момент;
- обжаловать действия оператора в Роскомнадзоре или суде.
8. Описание cookie и аналитики
Отдельный раздел о cookie стал обязательным требованием с 2023 года. Перечислите типы cookie (строго необходимые, функциональные, аналитические, рекламные), их назначение и срок действия.
Типичные ошибки в политиках конфиденциальности
Ошибка № 1: Использование зарубежного GDPR-шаблона без адаптации. GDPR и 152-ФЗ имеют разную терминологию и требования — такой документ не соответствует российскому закону.
По результатам анализа более 2 000 политик конфиденциальностей российских сайтов выявлены следующие системные ошибки:
- Отсутствие описания cookie. 71% документов не содержат информации об используемых файлах cookie.
- Нет перечня третьих лиц. 58% не указывают конкретные сервисы, которым передаются данные.
- Общие цели обработки. 49% используют формулировки-«пустышки».
- Отсутствие сроков хранения. 63% политик не содержат сроков.
- Устаревшие реквизиты оператора. 22% содержат неактуальные данные организации.
Требования к размещению
Политика конфиденциальности должна быть:
- Доступна с любой страницы сайта (ссылка в футере).
- Опубликована по постоянному URL (не должна меняться).
- Доступна для индексирования поисковыми системами.
- Указана в каждой форме сбора данных с явной ссылкой.
Связанные статьи
Подробнее о практике оформления форм согласия читайте в статье Согласие на обработку персональных данных: правильная форма. О правилах настройки cookie-баннера — в материале Cookie-баннер для сайта: требования законодательства РФ.
Итог
Политика конфиденциальности — это не формальность, а рабочий документ, защищающий как пользователей, так и вас как оператора. Правильно составленная политика снижает регуляторный риск, повышает доверие аудитории и является одним из элементов корпоративной культуры ответственной работы с данными. Проверьте, соответствует ли ваша текущая политика требованиям, с помощью автоматического аудита на help152.ru.