Политика конфиденциальности на сайте: что в ней должно быть и почему шаблон из интернета не спасёт

Политика конфиденциальности на сайте стоит владельцу от 30 до 60 тысяч рублей, если её там нет: именно такой штраф для юридических лиц предусматривает часть 3 статьи 13.11 КоАП РФ в редакции, действующей на сентябрь 2026 года. Для индивидуальных предпринимателей сумма меньше — от 10 до 20 тысяч, для должностных лиц от 6 до 12 тысяч. Сумма не разорительная, и именно поэтому документ годами висит на сайтах в виде чужого файла, скачанного с первого попавшегося ресурса, с чужим ИНН внутри и упоминанием форм, которых на сайте никогда не было.

Проблема в том, что штраф за отсутствие документа — самая мягкая из возможных неприятностей. Чужой шаблон опасен не потому, что он чужой, а потому что он описывает не ваш сайт: не те данные, не те цели, не тех получателей. Когда к вам приходит запрос субъекта или проверка, расхождение между тем, что написано в документе, и тем, что реально делают ваши формы и счётчики, превращается из формальности в доказательство. Ниже — что по закону обязано быть в этом документе, как он связан с формой заявки и как за полчаса проверить свой текст, не будучи юристом. Если сайт заодно нужно привести в порядок целиком, есть продвижение сайта компании, где юридическая обвязка страниц входит в технический минимум.

Что именно требует закон и откуда берётся обязанность

Базовая норма — часть 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Формулировка там такая: оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите персональных данных.

Дальше в той же части есть уточнение, ради которого норма и попала в интернет-практику: оператор, который собирает персональные данные с использованием информационно-телекоммуникационных сетей, обязан опубликовать этот документ в соответствующей сети и обеспечить к нему доступ средствами этой сети. Проще говоря, если данные собирает сайт — документ должен лежать на сайте и открываться без регистрации, без пароля, без «напишите нам, и мы пришлём».

Кто считается оператором и почему им становится обычный сайт с формой

Определение оператора дано в статье 3 закона 152-ФЗ: это государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав обрабатываемых данных и действия, совершаемые с ними.

Ключевое слово здесь — «определяет цели». Как только вы решили, что на сайте будет форма «Оставьте телефон, перезвоним», вы определили цель (связаться с потенциальным клиентом), состав данных (имя и телефон) и действия с ними (получить, записать, хранить, использовать для звонка). С этого момента вы оператор со всеми обязанностями, которые из этого следуют. Размер бизнеса, форма собственности и количество заявок в месяц на это никак не влияют: ИП с одной формой и банк с миллионом клиентов подпадают под одно и то же определение, различается только масштаб последствий.

Что обязательно должно быть внутри документа

Закон не даёт готового оглавления политики. Но он даёт перечень сведений, которые оператор обязан сообщать субъекту: часть 1 статьи 18 отсылает к части 7 статьи 14 закона 152-ФЗ, где перечислено, что субъект вправе получить — подтверждение факта обработки, правовые основания и цели, применяемые способы обработки, наименование и место нахождения оператора, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, порядок реализации прав субъекта, сведения о трансграничной передаче и о лицах, которые обрабатывают данные по поручению оператора. Именно из этого перечня и собирается нормальная структура документа.

Раздел документа	Что писать	Типичная ошибка
Кто оператор	Полное наименование или ФИО ИП, ОГРН/ОГРНИП, ИНН, юридический и фактический адрес, адрес электронной почты для обращений	Остались реквизиты компании, у которой скачали шаблон, или указан только e-mail без названия и адреса
Какие данные собираются	Точный перечень по каждой форме: имя, телефон, e-mail, город, текст сообщения; отдельно — данные, которые собирают счётчики и сервисы	Формулировка «любые данные, которые вы нам предоставите» — она не конкретна и не проверяема
Цели обработки	По каждой цели отдельно: обработка заявки, заключение договора, доставка, рассылка новостей, ответ на обращение	Одна общая цель «улучшение качества обслуживания», под которую можно подвести что угодно
Сроки обработки и хранения	Срок по каждой цели и условие прекращения: достижение цели, отзыв согласия, истечение срока хранения документов	«Бессрочно» или «до момента удаления» — формулировка, которая не даёт субъекту понять, когда данные исчезнут
Передача третьим лицам	Категории получателей: хостинг, CRM, служба доставки, платёжный сервис, колл-центр; указание на поручение обработки	Написано «мы не передаём данные третьим лицам», хотя заявки уходят в облачную CRM и в сервис рассылок
Меры защиты	Общее описание принятых мер: ограничение доступа, назначение ответственного, шифрование канала, резервное копирование	Раздел отсутствует, хотя часть 2 статьи 18.1 прямо требует сведений о реализуемых требованиях к защите
Контакты для обращений	Адрес электронной почты и почтовый адрес, куда субъект направляет запрос и отзыв согласия	Указан общий адрес вида info@, который никто не читает, — запрос теряется, а срок ответа идёт

Почему чужой шаблон опаснее, чем кажется

Скачанный документ ломается в трёх местах сразу. Первое — реквизиты. Файл, который лежит на сайте и называется вашей политикой, содержит чужой ИНН и чужой адрес. Это не просто небрежность: документ перестаёт идентифицировать оператора, а значит, не выполняет свою функцию.

Второе — состав данных и цели. Шаблон писался под другой бизнес. В нём есть разделы про обработку данных при регистрации личного кабинета, которого у вас нет, и нет ни слова про форму записи на замер, через которую к вам приходит девяносто процентов заявок. Когда субъект или проверяющий сравнивает документ с фактическим поведением сайта, расхождение работает против вас.

Третье — основания. В большинстве шаблонов всё сведено к согласию. Между тем статья 9 закона 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным и оформлялось отдельно от иных информации и документов, которые подписывает субъект. Если по документу выходит, что вы обрабатываете всё «на основании согласия», а реального согласия с нужным содержанием нет, вы рискуете попасть уже не под часть 3, а под часть 2 статьи 13.11 КоАП — обработку без согласия в письменной форме, где для юридических лиц предусмотрено от 300 до 700 тысяч рублей, для должностных лиц от 100 до 300 тысяч. Как оформить согласие у формы, чтобы оно соответствовало требованиям статьи 9, подробно разобрано в материале про согласие на обработку персональных данных у формы заявки — здесь я на нём останавливаться не буду.

Счётчики, чаты и пиксели: обработка, про которую забывают

Форма заявки — очевидный источник данных. Менее очевидный — всё, что грузится на страницу вместе с ней. Системы веб-аналитики, виджеты обратного звонка, онлайн-консультанты, карты, формы подписки и сервисы сбора отзывов собирают идентификаторы посетителя и сведения о его поведении. Часть этих сведений в конкретных обстоятельствах позволяет определить человека, и тогда она подпадает под режим персональных данных.

Практический вывод простой: откройте исходный код главной страницы и страницы контактов и выпишите все сторонние скрипты, которые там подключены. Для каждого ответьте на три вопроса — что он собирает, куда это уходит и зачем это вам. После этого раздел «передача третьим лицам» в документе перестанет быть отпиской. Сюда же относится и баннер о файлах cookie: это отдельная механика со своими требованиями и своим влиянием на скорость сайта, она разобрана в материале про баннер cookie и скорость загрузки.

Ещё одна норма, о которой стоит знать владельцу сайта: часть 5 статьи 18 закона 152-ФЗ требует, чтобы запись, систематизация, накопление, хранение и уточнение персональных данных граждан России велись с использованием баз данных, находящихся на территории Российской Федерации. Если заявки с сайта падают напрямую в зарубежный сервис, это отдельный риск, и решать его нужно до того, как о нём спросят.

Где размещать документ и как связать его с формой

Требование части 2 статьи 18.1 закрывается одной страницей, доступной с любого места сайта. Практика, которая не вызывает вопросов: отдельная страница по постоянному адресу, ссылка на неё в подвале каждой страницы, плюс ссылка рядом с каждой формой — в той же строке, где стоит галочка согласия.

Дальше есть нюанс, который стоит денег. Галочка «Я согласен с политикой конфиденциальности» и согласие на обработку персональных данных — не одно и то же. Политика информирует, согласие — даёт основание. Статья 9 требует, чтобы согласие было оформлено отдельно от иных информации и документов. Поэтому корректная конструкция у формы выглядит так: текст согласия со ссылкой на его полный вариант, отдельно ссылка на политику, отметка, которая не проставлена заранее, и фиксация факта отправки на стороне сайта. Заранее проставленная галочка превращает «однозначное» согласие в спорное.

Техническая часть тоже имеет значение. Если страница политики отдаёт код 404 после переезда, закрыта в robots.txt от индексации или открывается только с мобильной версии, формально документ не опубликован. Это ровно та категория ошибок, которую ловит обычный бесплатный аудит сайта: битые ссылки в подвале и страницы, выпавшие из доступа, видны в первом же отчёте.

Как проверить свой документ за полчаса

Ниже — порядок, в котором я прохожу чужой сайт, когда владелец просит посмотреть юридическую обвязку. Ничего специального не нужно: браузер и доступ к сайту.

Шаг	Что делаете	Признак проблемы
1	Открываете сайт в режиме инкогнито и ищете ссылку на документ в подвале	Ссылки нет, она ведёт на 404 или открывает файл, который скачивается вместо открытия
2	Находите в тексте наименование, ОГРН и ИНН оператора	Реквизитов нет либо они принадлежат другой организации
3	Выписываете все формы на сайте и сверяете их с перечнем данных в документе	В документе нет полей, которые реально собираются, или наоборот
4	Смотрите исходный код страницы и выписываете сторонние скрипты	В разделе про передачу данных не упомянут ни один из найденных сервисов
6	Проверяете раздел о мерах защиты	Раздела нет совсем — прямое расхождение с частью 2 статьи 18.1
7	Отправляете тестовый запрос на указанный адрес для обращений	Письмо не доходит, адрес не существует или на него никто не отвечает
8	Проверяете форму: есть ли отдельная ссылка на согласие и не проставлена ли галочка заранее	Одна общая галочка «согласен со всем» и предустановленная отметка

Если после этих восьми шагов набралось три и более расхождения, документ нужно не править, а переписывать под ваш сайт. Обычно это работа на один-два дня вместе с приведением форм в порядок — и она относится к категории задач, которые закрываются в рамках доработки сайта, а не отдельного большого проекта.

Когда это не сработает и когда нужен юрист

Всё описанное выше — про типовой сайт малого бизнеса: услуги, каталог, формы заявок, аналитика. Есть ситуации, где самостоятельной работы по чеклисту недостаточно, и тянуть с обращением к специалисту не стоит.

Первое — специальные категории персональных данных. Медицина, психологическая помощь, лаборатории, всё, что касается здоровья, а также данные о судимости и подобные сведения имеют отдельный режим по статье 10 закона 152-ФЗ, и ответственность за их утечку по части 16 статьи 13.11 КоАП начинается для юридических лиц от 10 миллионов рублей. Второе — биометрия: фотографии и записи, которые используются для установления личности. Третье — работа с зарубежными сервисами и трансграничная передача. Четвёртое — данные детей и всё, что связано с образовательными платформами.

Отдельно: этот материал не заменяет консультацию юриста. Я специалист по продвижению сайтов, а не по праву, и разбираю тему с той стороны, с которой её вижу в работе, — что должно быть на странице, как это связано с формами и почему за это цепляются проверки. Формулировки под конкретный бизнес, спорные случаи и любая ситуация, где уже есть претензия или запрос, решаются индивидуально и с юристом. Законы меняются: проверяйте действующую редакцию 152-ФЗ и КоАП на момент, когда читаете.

Частые вопросы

Нужен ли документ, если на сайте нет ни одной формы?

Если сайт не собирает персональных данных вообще — ни форм, ни чата, ни подписки, ни аналитики, идентифицирующей посетителя, — обязанности по части 2 статьи 18.1 не возникает, потому что нет обработки. На практике таких сайтов почти не осталось: даже счётчик посещаемости и форма обратного звонка уже создают обработку. Проще исходить из того, что документ нужен.

Можно ли разместить документ файлом, а не страницей?

Формально условие о неограниченном доступе закрывается и файлом. Но обычная страница надёжнее: файл хуже открывается на телефоне, часть браузеров начинает скачивание вместо просмотра, а править его сложнее. При любом варианте проверьте, что адрес открывается без авторизации.

Что делать, если пришёл запрос от человека об удалении его данных?

Отвечать в установленные сроки и по существу. Права субъекта на доступ к своим данным закреплены статьёй 14 закона 152-ФЗ, обязанности оператора при обращении — статьёй 20. Игнорирование запроса и ответ «мы вас не находим в базе» без проверки — худший вариант: именно с таких обращений чаще всего начинаются жалобы. Порядок ответа стоит прописать в документе заранее и назначить того, кто читает указанный там адрес.

Документ на сайте — это ещё и про доверие

Есть сторона, которую владельцы почти не учитывают. Страницы с реквизитами, политикой, условиями и контактами — это то, что человек открывает перед тем, как оставить телефон. Особенно если сумма сделки заметная, а компания ему незнакома. Пустой подвал, документ с чужим ИНН и форма с единственной галочкой «согласен» читаются как признак несерьёзности, даже если бизнес отличный. Это напрямую бьёт по конверсии: трафик приходит, а заявок нет.

Здесь же работает и вторая логика. Реклама даёт трафик ровно до тех пор, пока вы платите: остановили открутку — поток закончился в тот же день. Позиции в поиске ведут себя иначе, это накопленный актив, который продолжает приводить людей и когда рекламный бюджет на паузе. Но поисковые системы оценивают сайт целиком, и юридическая обвязка страниц входит в набор сигналов, по которым оценивается надёжность ресурса. Получается, что аккуратно сделанные политика, согласие и реквизиты закрывают сразу два вопроса: снимают формальный риск и работают на собственный, не арендованный канал привлечения.

Коротко

Обязанность опубликовать документ, определяющий политику обработки персональных данных, установлена частью 2 статьи 18.1 закона 152-ФЗ. Для сайтов, которые собирают данные через интернет, документ должен лежать на самом сайте и открываться свободно.

Оператором по статье 3 того же закона становится любой, кто определяет цели обработки. Одной формы обратного звонка достаточно, чтобы обязанности возникли, — размер бизнеса значения не имеет.

Отсутствие документа — это от 30 до 60 тысяч рублей для юридических лиц и от 10 до 20 тысяч для ИП по части 3 статьи 13.11 КоАП в редакции на сентябрь 2026 года. Но основной риск не здесь, а в соседних составах: обработка без надлежащего согласия по части 2 той же статьи обойдётся юридическому лицу в 300–700 тысяч.

Чужой шаблон не закрывает требование, потому что описывает чужой сайт: чужие реквизиты, несуществующие формы, не упомянутые сервисы, куда реально уходят заявки. Документ собирается из перечня сведений части 7 статьи 14 и проверяется сверкой с тем, что делают ваши формы и скрипты.

Политика и согласие — разные вещи. Первая информирует, второе даёт основание и по статье 9 оформляется отдельно от прочих документов. Одна общая заранее проставленная галочка у формы не даёт ни того, ни другого.

Если хотите разобрать свой сайт предметно — формы, согласия, служебные страницы и то, как всё это влияет на заявки, — приходите на консультацию по продвижению сайта: посмотрим вместе, что на вашем сайте создаёт риск, а что тормозит поток обращений, и составим короткий список того, что имеет смысл починить в первую очередь. Тексты норм всегда стоит сверять по первоисточнику — статья 18.1 закона 152-ФЗ и статья 13.11 КоАП РФ.