Принцип прозрачности - один из ключевых в 152-ФЗ: пользователь должен понимать, кто, зачем и как обрабатывает его персональные данные. На практике это означает конкретные требования к политике конфиденциальности, формам согласия и раскрытию информации об операторе. Разберём, что именно требует закон и как проверить это на своём сайте.
Коротко
- Прозрачность обработки закреплена в ст. 18.1 152-ФЗ как один из механизмов подтверждения соответствия закону.
- Оператор обязан раскрыть сведения о себе, целях обработки и правовых основаниях - ст. 18 ч. 5, ст. 14 152-ФЗ.
- Политика обработки персональных данных должна быть общедоступной - ст. 18.1 и ст. 22.1 152-ФЗ.
- За непредоставление сведений субъекту данных предусмотрена ответственность по ч. 1 ст. 13.11 КоАП.
- С 30 мая 2025 года за ряд нарушений действуют оборотные штрафы, привязанные к выручке компании.
Что такое принцип прозрачности по 152-ФЗ
Прозрачность обработки персональных данных не выделена в отдельную статью закона как самостоятельный принцип с таким названием, но фактически складывается из нескольких требований: обязанности сообщать субъекту данных информацию об операторе (ст. 18 ч. 5), обязанности публиковать документ, определяющий политику обработки персональных данных (ст. 18.1), а также права субъекта на доступ к сведениям о себе (ст. 14). Вместе эти нормы формируют требование к сайту - пользователь должен без труда узнать, кто именно собирает его данные и с какой целью.
Для владельца сайта это означает, что недостаточно просто разместить форму сбора данных. Нужно, чтобы рядом с формой была ссылка на политику обработки, а сама политика содержала понятные и проверяемые сведения.
Кто обязан обеспечивать прозрачность
Обязанность распространяется на любого оператора, который обрабатывает персональные данные с использованием сайта: интернет-магазины, сервисы с формами обратной связи, сайты с онлайн-записью, подпиской на рассылку и другими формами взаимодействия с посетителями.
| Элемент сайта | Что требует закон | Норма |
|---|---|---|
| Политика обработки ПДн | Публикация в свободном доступе | ст. 18.1 152-ФЗ |
| Форма сбора данных | Согласие и сведения о цели обработки | ст. 9 152-ФЗ |
| Раздел о компании | Сведения об операторе (наименование, адрес) | ст. 18 ч. 5 152-ФЗ |
| Cookie-баннер | Информирование о сборе технических данных | ст. 18.1 152-ФЗ |
Обязательные сведения о цели и об операторе
Статья 18 ч. 5 152-ФЗ обязывает оператора при сборе персональных данных, в том числе через сайт, предоставить субъекту данных сведения о наименовании и адресе оператора, о цели обработки и о правовых основаниях. На практике это реализуется через связку: краткое уведомление рядом с формой ("нажимая кнопку, вы соглашаетесь с политикой обработки") и полный текст политики, доступный по ссылке.
Отдельно стоит обратить внимание на ст. 22 152-ФЗ, которая описывает случаи, когда оператор обязан уведомить уполномоченный орган о своей деятельности по обработке персональных данных. Хотя это не элемент самого сайта, отсутствие уведомления часто выявляется вместе с проверкой прозрачности при аудите.
Согласие как часть прозрачности
Ст. 9 152-ФЗ требует, чтобы согласие субъекта данных было конкретным, информированным и сознательным. Формально это значит, что пользователь до отправки формы должен видеть, на что именно он соглашается - без общих фраз вроде "согласен с условиями" без ссылки на документ, который эти условия раскрывает.
Политика обработки персональных данных: что должно быть внутри
Документ, о котором говорит ст. 18.1 152-ФЗ, должен отвечать на базовые вопросы: кто оператор, какие данные собираются, с какой целью, на каком основании, кому передаются, как долго хранятся и как субъект может реализовать свои права. Подробный разбор структуры такого документа и типовые формулировки можно посмотреть в разделе с документами.
| Раздел политики | Зачем нужен |
|---|---|
| Сведения об операторе | Идентификация ответственного лица |
| Перечень обрабатываемых данных | Конкретизация объёма сбора |
| Цели и сроки обработки | Обоснование законности сбора |
| Права субъекта данных | Механизм реализации ст. 14 152-ФЗ |
| Порядок отзыва согласия | Соблюдение ст. 9 и ст. 21 152-ФЗ |
Важно, чтобы политика была не декларативной, а действительно отражала реальные процессы на сайте: если используются сторонние сервисы аналитики или рекламы, они должны быть упомянуты, а не скрыты.
Права субъекта данных и реакция оператора
Ст. 14 152-ФЗ закрепляет право субъекта на получение сведений об обработке своих данных, а ст. 20 и ст. 21 описывают обязанности оператора по предоставлению информации и по уничтожению или блокированию данных по запросу. Прозрачность на сайте предполагает, что у пользователя есть понятный способ обратиться с таким запросом - контактный адрес, форма или иной канал, указанный в политике.
Отдельно стоит учитывать ст. 19 152-ФЗ, которая устанавливает обязанность оператора принимать меры по защите данных, и ст. 23, определяющую полномочия уполномоченного органа по контролю за соблюдением закона, в том числе за принципом прозрачности.
Особый случай - трансграничная передача данных
Если сайт использует зарубежные сервисы (аналитика, реклама, хостинг форм), это относится к трансграничной передаче персональных данных, регулируемой отдельными нормами закона. Такие передачи также должны быть отражены в политике - иначе принцип прозрачности нарушается, даже если формально согласие на обработку получено.
Ответственность за нарушение прозрачности
Нарушение требований к раскрытию информации об операторе и целях обработки может квалифицироваться по ч. 1 ст. 13.11 КоАП - за обработку персональных данных без согласия либо с нарушением требований к содержанию согласия. Также применяются иные части статьи: ч. 2 - за непредоставление субъекту данных сведений об обработке его данных, ч. 2.1 - за невыполнение требований об обезличивании или уточнении данных, ч. 3.2 - за нарушение порядка обработки специальных категорий данных, ч. 8 и ч. 9 - за повторные нарушения с повышенными санкциями.
| Норма КоАП | Суть нарушения |
|---|---|
| ч. 1 ст. 13.11 | Обработка без надлежащего согласия |
| ч. 2 ст. 13.11 | Непредоставление сведений субъекту данных |
| ч. 2.1 ст. 13.11 | Нарушение требований к уточнению и обезличиванию данных |
| ч. 3.2 ст. 13.11 | Нарушение порядка обработки специальных категорий |
| ч. 8, ч. 9 ст. 13.11 | Повторные нарушения |
С 30 мая 2025 года за ряд нарушений, связанных с утечками и грубыми несоответствиями закону, введены оборотные штрафы, размер которых зависит от выручки компании. Это существенно повышает цену ошибки для организаций с заметным оборотом, поэтому базовая прозрачность обработки - недорогой и относительно простой способ снизить риски.
Прозрачность обработки - это не разовая публикация документа, а поддержание соответствия между тем, что написано в политике, и тем, что реально происходит на сайте.
Что проверить у себя на сайте
- Есть ли отдельная страница с политикой обработки персональных данных и доступна ли она из футера или другого видимого места.
- Указаны ли в политике полное наименование и адрес оператора.
- Перечислены ли реальные цели обработки, соответствующие фактическому использованию данных.
- Стоит ли рядом с формой сбора данных чекбокс согласия со ссылкой на политику, а не общая фраза без ссылки.
- Упомянуты ли в политике сторонние сервисы (аналитика, реклама, трансграничная передача), если они используются.
- Есть ли способ связаться с оператором для запроса о своих данных или их удалении.
- Соответствует ли cookie-баннер фактическому набору используемых технологий отслеживания.
- Обновлялась ли политика при изменении состава используемых сервисов или целей обработки.
Если самостоятельная проверка занимает много времени, можно пройти форму аудита сайта, чтобы получить структурированный список несоответствий.
Частые вопросы
Нужна ли отдельная страница политики, если сайт небольшой?
Да, требование ст. 18.1 152-ФЗ не зависит от размера сайта или объёма трафика - важен сам факт обработки персональных данных.
Достаточно ли просто скопировать чужую политику конфиденциальности?
Нет, документ должен отражать реальные процессы конкретного сайта: цели, состав данных, используемые сервисы. Скопированный текст часто не соответствует действительности и создаёт риск при проверке.
Что делать, если на сайте используются зарубежные хостинги или сервисы?
Это нужно отразить в политике. Подробнее об оценке хостинг-провайдеров - в разделе про хостеров.
Как часто нужно обновлять политику обработки данных?
При каждом изменении состава обрабатываемых данных, целей обработки или используемых сторонних сервисов - без этого документ перестаёт быть достоверным.
Проверяют ли принцип прозрачности при жалобах пользователей?
Да, отсутствие доступной политики или недостоверные сведения об операторе - частый повод для обращения субъекта данных с жалобой, которая может привести к проверке по ст. 23 152-ФЗ.
Если хотите разобраться, насколько ваш сайт соответствует принципу прозрачности обработки, начните с проверки политики конфиденциальности и форм согласия - это не займёт много времени, но снимает значительную часть рисков.