Политика обработки персональных данных — первый документ, который смотрят при любой проверке сайта. И самый простой пункт чек-листа, который при этом массово провален: у кого-то документа нет вовсе, у кого-то он скачан с чужого сайта вместе с чужим ООО. Разбираем, что обязано быть в политике по статье 18.1 ФЗ-152, куда её вешать и на чём чаще всего попадаются.
Что требует закон: политика обработки персональных данных для сайта
Статья 18.1 ФЗ № 152-ФЗ «О персональных данных» обязывает оператора опубликовать документ, чётко описывающий, как он обращается с данными пользователей. Оператор — это вы, как только на сайте появилась первая форма: заявка, обратный звонок, комментарий, подписка. Не важно, интернет-магазин это или визитка сантехника — механика одна.
Нарушения по персональным данным наказываются по ст. 13.11 КоАП — для юрлиц счёт идёт на десятки и сотни тысяч рублей, и «мы маленькие, нас не тронут» здесь не работает: жалобу в Роскомнадзор может подать любой посетитель сайта.
Пять вопросов, на которые обязана отвечать политика
| Вопрос | Что писать на практике |
|---|---|
| Какие данные собираете | Перечислить честно по вашим формам: имя, телефон, e-mail, адрес доставки — только то, что реально собираете |
| С какой целью | Обработка заявки, доставка заказа, ответ на вопрос. Цель должна совпадать с реальностью, а не «на всякий случай» |
| Как долго храните | Конкретный срок или условие: «до отзыва согласия», «до исполнения заказа плюс срок по закону» |
| Как защищаете | SSL, ограничение доступа сотрудников, защита базы — реальные меры, а не переписанный ГОСТ |
| Кому передаёте | Службы доставки, CRM, сервисы аналитики и рассылок — все третьи руки, через которые проходят данные |
Проверим, как это сделано у вас
Пришлите ссылку на сайт — прогоним его по полному чек-листу юридических требований и отдадим отчёт с приоритетами. Подробности — на странице юридического аудита.
Заметьте: все пять вопросов — про ваш реальный сайт. Именно поэтому чужой шаблон без адаптации не работает: он отвечает на эти вопросы про чужой бизнес.
Куда вешать
Смысл статьи 18.1 — в доступности документа. Рабочая схема из нашего чек-листа:
1. Подвал сайта. Ссылка «Политика обработки персональных данных» на каждой странице — стандарт, который ожидают и пользователи, и проверяющие.
2. У каждой формы. Рядом с чек-боксом согласия — ссылка на политику, чтобы пользователь мог прочитать, на что соглашается, в один клик.
3. Отдельной страницей, а не PDF на скачивание. Обычная страница сайта индексируется, открывается на телефоне и не требует лишних действий.
Три ошибки, которые находим чаще всего
Чужой шаблон с чужими реквизитами. Классика проверок: в политике упоминается ООО из другого города и сервисы, которых на сайте нет. Такой документ хуже его отсутствия — он прямо показывает формальный подход.
Политика «есть», но не опубликована. Документ лежит в Word на диске у директора или «в папке у юриста». Статья 18.1 требует публикации: не опубликовано — считай, нет.
Политика есть, а согласия нет. Документ висит в подвале, но формы отправляются без чек-бокса. Это уже нарушение другой статьи — ст. 9 о явном согласии, и о нём мы рассказываем отдельно. Спойлер: предотмеченная галочка тоже не считается.
Как это связано с остальным чек-листом
Политика — первый элемент «триады» персональных данных: политика + согласия у форм + уведомление Роскомнадзора. Проверяются они обычно вместе, поэтому и чинить их стоит одним заходом. Полная карта требований к сайтам — со всеми шестью областями и штрафами — в нашем обзоре «Законы для сайтов в 2026: чек-лист владельца», остальные разборы серии — в разделе «Законы для сайтов».
Частые вопросы
Можно взять шаблон политики из интернета?
Как основу — можно, как готовый документ — нет. Шаблон придётся адаптировать: вписать свои реквизиты, перечислить реальные данные, которые собирают именно ваши формы, реальные цели и сроки. Самый частый провал на проверках чужих сайтов — скачанная политика, в которой осталось чужое ООО и чужие сервисы аналитики.
Куда именно вешать ссылку на политику?
Документ должен легко находиться. Рабочий стандарт — ссылка в подвале каждой страницы плюс ссылка прямо у чек-бокса согласия в каждой форме. Прятать политику в личный кабинет или отдавать по запросу — не вариант: смысл статьи 18.1 именно в опубликованности.
У меня только форма обратного звонка — мне тоже нужна политика?
Нужна. Имя и телефон — уже персональные данные, а значит, вы их оператор со всеми обязанностями по ФЗ-152. Объём документа при этом будет скромный: одна форма — одна цель обработки, описать её несложно.
Политика и согласие на обработку — это одно и то же?
Нет, это два разных требования. Политика — опубликованный документ о том, как вы обращаетесь с данными (ст. 18.1). Согласие — действие пользователя, который явно разрешает вам обработку своих данных, обычно через чек-бокс у формы (ст. 9). Нужно и то и другое: политика без согласий не закрывает вопрос, и наоборот.
Материал носит информационный характер и не является юридической консультацией: мы — веб-студия и описываем требования так, как проверяем их в работе над сайтами.
Кондитерская, приём заказов через форму на сайте. Скачала в своё время политику с какого-то сайта — сейчас открыла, а там ООО из Новосибирска и упоминание сервисов, о которых первый раз слышу. Это прямо совсем плохо или сойдёт, пока не проверили?
Ирина, это ровно та «классика», о которой статья: формально документ висит, фактически он про чужой бизнес — при проверке такой документ работает против вас. Хорошая новость: у вас одна форма и понятная цель обработки, адаптировать политику под себя — вопрос пары часов. Начните с реквизитов и честного перечня: что собираете, зачем и кому передаёте.
B2B-услуги, заявок с сайта немного, в основном по звонкам. Юрист когда-то готовил политику, она лежит у нас в документах. На сайт так и не выложили. Считается?
Павел, не считается: статья 18.1 требует именно опубликованного документа. У вас лучшая стартовая позиция из возможных — документ уже есть и написан юристом под ваш бизнес. Осталось выложить его отдельной страницей, дать ссылку в подвале и у формы — час работы для вашего подрядчика по сайту.