Большинство владельцев сайтов малого и среднего бизнеса считают вопрос персональных данных закрытым, как только в подвале сайта появляется ссылка «Политика конфиденциальности», скопированная с чужого лендинга или сгенерированная бесплатным конструктором пятилетней давности. На практике именно такие шаблонные тексты становятся главной уликой при автоматическом мониторинге Роскомнадзора: в них нет ни конкретных целей обработки, ни перечня передаваемых третьим лицам данных (Яндекс Метрика, CRM, хостинг, сервис рассылок), ни сведений о локализации баз данных на территории РФ, а само название «Политика конфиденциальности» не соответствует терминологии Федерального закона № 152-ФЗ «О персональных данных».
С учётом кратного роста штрафов по ст. 13.11 КоАП РФ и вступления в силу правил об отдельном оформлении согласий с 1 сентября 2025 года документ на сайте и внутренние локальные акты компании должны совпадать между собой до запятой. Ниже разбираем все 18 обязательных блоков политики для сайта, которые проверяет наш бесплатный аудитор 152-ФЗ, правила привязки документа к формам обратной связи и полный перечень внутренних документов оператора для прохождения самопроверки к контролю Роскомнадзора.
Кто обязан публиковать политику обработки персональных данных на сайте и где её размещать
Опубликовать политику обработки персональных данных обязан любой владелец сайта (юридическое лицо, индивидуальный предприниматель, самозанятый или физическое лицо), если сайт собирает хотя бы один вид данных о посетителях: через форму заявки, корзину заказа, виджет обратного звонка, онлайн-чат или систему веб-аналитики вроде Яндекс Метрики1.
По ч. 2 ст. 18.1 152-ФЗ оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных. При этом закон формулирует жёсткое техническое требование: доступ к документу должен быть обеспечен на всех страницах сайта, на которых ведётся сбор данных.
На практике это означает три обязательных правила вёрстки, нарушение которых фиксируют и роботы Роскомнадзора, и наш автоматический сканер:
- Сквозная ссылка в подвале (footer) каждой страницы сайта. Поскольку счётчик веб-аналитики (например, Яндекс Метрика) работает на всех публичных страницах и собирает cookie, IP-адрес и параметры устройства с первой секунды визита, ссылка на политику должна присутствовать в подвале абсолютно каждой страницы, включая лендинги акций, страницы квизов и 404.
- Прямая ссылка рядом с чекбоксом каждой формы. Внутри каждой формы заявки, попапа заказа звонка, окна подписки или калькулятора стоимости под полями ввода должен стоять непредзаполненный чекбокс со ссылками одновременно на текст согласия на обработку персональных данных и на страницу политики обработки персональных данных.
- Отдельный индексируемый HTML-адрес без закрытия паролем или скачивания архива. Политика должна открываться прямо в браузере по постоянному адресу (обычно
/privacy/или/policy/) с кодом ответа200 OK. Размещение документа в виде тяжеловесного скачиваемого.docx-файла или картинки скана с печатью затрудняет автоматическую проверку текста регулятором и неудобно пользователям на смартфонах.
Какие 18 разделов и реквизитов обязательно должны быть в политике по ст. 18.1 152-ФЗ
Полноценная политика обработки персональных данных на сайте должна содержать точные реквизиты оператора (наименование, ИНН, ОГРН/ОГРНИП, адреса), конкретные цели обработки, под каждую цель — закрытый список категорий данных и категорий субъектов, правовые основания, перечень действий, сроки хранения, порядок уничтожения, список третьих лиц и сведения о локализации баз в РФ2.
Главная проблема типовых документов «из интернета» — абстрактные формулировки вида «Оператор обрабатывает данные в целях улучшения качества сервиса и оказания услуг». С 2022–2025 годов Роскомнадзор требует структурной связки: для каждой конкретной цели обработки должны быть явно перечислены категории обрабатываемых данных, категории субъектов (посетители сайта, клиенты, соискатели), способы и сроки обработки, а также порядок уничтожения данных по достижении цели.
Ниже приведена полная сводная таблица из 18 обязательных смысловых блоков политики, по которым наш аудитор 152-ФЗ проверяет сайты в 2026 году:
| № | Обязательный раздел / реквизит политики | Норма 152-ФЗ | Типичная ошибка на сайтах бизнеса |
|---|---|---|---|
| 1 | Полное наименование оператора (ООО / ИП / ФИО) | ст. 18.1, ст. 14 | Указано только коммерческое название бренда («Студия мебели») без юрлица и ИП |
| 2 | ИНН и ОГРН / ОГРНИП оператора | ст. 18.1, ст. 22 | Реквизиты пропущены, из-за чего невозможно сверить запись в реестре РКН |
| 3 | Почтовый адрес оператора и email для обращений субъектов | ст. 14, ст. 20, ст. 21 | Стоит шаблонная заглушка info@example.com или нет физического адреса для писем |
| 4 | Конкретные цели обработки персональных данных | ч. 1 ст. 5, ч. 1 ст. 18.1 | Размытые фразы «для обратной связи и маркетинга» вместо чёткого реестра целей |
| 5 | Перечень категорий персональных данных под каждую цель | ч. 5 ст. 5, ч. 1 ст. 18.1 | Один общий список «ФИО, паспорт, СНИЛС, ИНН» для простой формы с именем и телефоном |
| 6 | Категории субъектов персональных данных | ч. 1 ст. 18.1 | Не разделены посетители сайта, заказчики по договору, представители юрлиц и соискатели |
| 7 | Правовые основания обработки (согласие, договор, закон) | ст. 6, ст. 9 | Ссылки на недействующие редакции закона или отсутствие ссылки на договор / оферту |
| 8 | Перечень действий с данными и способы обработки | п. 3 ст. 3, ст. 18.1 | Не указаны сбор, запись, систематизация, накопление, хранение, уточнение, удаление и уничтожение |
| 9 | Сроки обработки и хранения данных (конкретные, не «бессрочно») | ч. 7 ст. 5, ч. 4 ст. 9 | Написано «согласие действует бессрочно» — прямое нарушение требования об определимом сроке |
| 10 | Порядок и способы отзыва согласия субъектом | ч. 2 ст. 9, ст. 21 | Требование прислать только нотариально заверенное письмо без возможности отзыва по email |
| 11 | Порядок уничтожения данных при достижении цели или отзыве | ст. 21, Приказ РКН № 179 | Отсутствует описание процедуры стирания из БД и составления акта об уничтожении |
| 12 | Сведения о реализуемых мерах защиты (ст. 18.1 и ст. 19) | ч. 2 ст. 18.1, ст. 19 | Полностью пропущен раздел о правовых, организационных и технических мерах защиты |
| 13 | Локализация баз данных на территории РФ | ч. 5 ст. 18 | Нет указания на то, что первичная запись и хранение ПДн граждан РФ ведутся на серверах в России |
| 14 | Передача третьим лицам и поручение обработки (хостинг, CRM) | ч. 3 ст. 6 | Не упомянуты провайдер хостинга (ЦОД), оператор CRM-системы, сервис телефонии или рассылок |
| 15 | Использование файлов cookie и сервисов веб-аналитики | ст. 6, ст. 18.1 | На сайте стоит Яндекс Метрика, но в политике нет ни слова про cookie и ООО «Яндекс» |
| 16 | Условия трансграничной передачи данных (или запрет на неё) | ст. 12 | Устаревшая формулировка «трансграничная передача разрешена в любые страны» без учёта ст. 12 |
| 17 | Права субъекта ПДн и сроки ответа оператора (10 рабочих дней) | ст. 14, ч. 1 ст. 20 | Указан старый срок ответа «30 дней» вместо действующих 10 рабочих дней (с продлением до 5 дней) |
| 18 | Дата публикации / актуальной редакции документа | ст. 18.1 | Документ датирован 2019–2021 годом или не имеет даты утверждения вообще |
Чем политика отличается от согласия на обработку персональных данных с 1 сентября 2025 года
Политика обработки персональных данных — это публичный регламент компании, описывающий общие правила и процессы работы с данными, тогда как согласие — это волеизъявление конкретного посетителя на обработку его данных, которое с 1 сентября 2025 года по Федеральному закону № 156-ФЗ обязано оформляться отдельно от любых иных документов и договоров3.
До осени 2025 года на многих сайтах встречалась схема, когда текст согласия прятали внутрь договора-оферты (например, пункт 8.4 «Оформляя заказ, Покупатель даёт согласие на обработку персональных данных и получение рекламных рассылок») или подменяли одной ссылкой на политику. С 1 сентября 2025 года такая конструкция незаконна по трём причинам:
- Запрет на включение согласия в текст оферты или пользовательского соглашения. Посетитель должен подтверждать согласие на обработку персональных данных как самостоятельный документ (отдельная страница
/soglasie/или отдельное модальное окно с полным перечнем реквизитов по ч. 4 ст. 9 152-ФЗ). - Разделение базового согласия на обработку заявки и согласия на рекламную рассылку. По ст. 15 152-ФЗ и ст. 18 Федерального закона № 38-ФЗ «О рекламе» продвижение товаров и услуг путём прямых контактов (email-рассылки, SMS, мессенджеры) требует отдельного предварительного согласия. Включить рассылку «по умолчанию» в общую галочку отправки формы нельзя — для маркетинга нужен второй, необязательный чекбокс.
- Запрет на предзаполненные галочки (
checked). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 152-ФЗ). Если в HTML-коде формы у элемента<input type="checkbox">изначально стоит атрибутchecked, такое согласие не признаётся сознательным действием пользователя.
Подробный разбор вёрстки чекбоксов, настройки cookie-баннера и отложенной инициализации счётчика мы вынесли в отдельную статью «Cookie-баннер, Яндекс Метрика и формы на сайте по 152-ФЗ».
Как правильно описать в политике Яндекс Метрику, CRM-систему и хостинг
Все сторонние сервисы, которые получают доступ к персональным данным посетителей сайта — провайдер российского VPS или хостинга, разработчик облачной CRM-системы, сервис веб-аналитики Яндекс Метрика и провайдер корпоративной почты, — должны быть прямо указаны в политике как лица, обрабатывающие данные по поручению оператора (ч. 3 ст. 6 152-ФЗ).
Когда посетитель заполняет форму на сайте или просто переходит по страницам с включённым счётчиком, его данные физически проходят через инфраструктуру нескольких юридических лиц. Чтобы политика прошла проверку юриста и Роскомнадзора, проверьте наличие в ней трёх конкретных формулировок:
- Веб-аналитика (ООО «Яндекс»): укажите, что в рамках цели «Анализ пользовательской активности и улучшение работы сайта» оператор использует сервис Яндекс Метрика (ООО «Яндекс», ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16), который обрабатывает файлы cookie, обезличенные технические идентификаторы, IP-адрес, сведения о браузере и реферере только после согласия пользователя в cookie-баннере.
- Хостинг и локализация БД (ч. 5 ст. 18 152-ФЗ): явно зафиксируйте, что серверы, на которых размещён сайт и базы данных с заявками клиентов, физически расположены на территории Российской Федерации (укажите наименование и ИНН вашего российского хостинг-провайдера или дата-центра — например, АО «Рег.ру», ООО «Таймвэб.Клауд» или ООО «Селектел»).
- CRM, телефония и мессенджеры: если заявки с сайта автоматически передаются в облачную CRM (Битрикс24, amoCRM) или собственную CRM на вашем сервере, перечислите оператора этой системы и укажите, что передача осуществляется на основании договора поручения обработки персональных данных с соблюдением конфиденциальности и требований ст. 19 152-ФЗ.
Какие внутренние документы по 152-ФЗ должны быть в компании помимо текста на сайте
Политика на сайте — это лишь верхушка айсберга (1 из 9 обязательных контуров комплаенса): при документарной проверке или запросе Роскомнадзора компания или ИП обязаны за 10 рабочих дней представить внутренний пакет локальных нормативных актов, приказов, журналов и форм актов об уничтожении данных4.
Даже если на сайте идеальный порядок с чекбоксами и политикой, отсутствие внутренних документов грозит штрафами за невыполнение обязанностей оператора и нарушение порядка уничтожения данных. В базовый комплект локальных актов для малого и среднего бизнеса входят 10 обязательных документов:
| № | Локальный акт / документ внутри компании | Зачем нужен и на какую норму опирается |
|---|---|---|
| 1 | Приказ о назначении ответственного за организацию обработки ПДн | Обязателен для всех юрлиц по ст. 22.1 152-ФЗ (обычно назначается директор, руководитель ИТ или юрист) |
| 2 | Положение об обработке и защите персональных данных работников и клиентов | Внутренний регламент по п. 2 ч. 1 ст. 18.1 152-ФЗ, под которым расписываются сотрудники, допущенные к CRM и базе |
| 3 | Перечень персональных данных и матрица ролевого доступа к ИСПДн | Определяет, кто из менеджеров имеет доступ к карточкам клиентов в CRM, почте и админке сайта |
| 4 | Обязательства сотрудников о неразглашении персональных данных | Индивидуальные подписки менеджеров отделов продаж, бухгалтерии и администраторов сайта (ст. 7 152-ФЗ) |
| 5 | Акт классификации информационных систем (ИСПДн) и модель угроз | Определяет уровень защищённости базы сайта и CRM по Постановлению Правительства РФ № 1119 (обычно 4-й уровень) |
| 6 | Инструкция по реагированию на инциденты и утечки ПДн (24 и 72 часа) | Пошаговый регламент уведомления Роскомнадзора в течение 24 часов о факте инцидента и 72 часов о расследовании (ч. 3.1 ст. 21) |
| 7 | Журнал учёта обращений субъектов персональных данных | Фиксирует дату поступления запроса об уточнении или отзыве согласия и дату ответа (срок — до 10 рабочих дней по ст. 20) |
| 8 | Приказ о создании комиссии (или назначении лица) по уничтожению ПДн | Регламентирует процедуру удаления данных из базы сайта, CRM и резервных копий по истечении срока хранения |
| 9 | Шаблоны Акта об уничтожении ПДн и Выгрузки из журнала событий ИСПДн | С 1 марта 2023 года по Приказу РКН № 179 уничтожение данных в электронной базе подтверждается парой документов: Актом + Выгрузкой из лога |
| 10 | Акт внутренней оценки вреда и периодического аудита соответствия 152-ФЗ | Подтверждает проведение внутреннего контроля соответствия обработки требованиям закона (Приказ РКН № 178) |
Особое внимание: как оформлять уничтожение данных по Приказу Роскомнадзора № 179
С 1 марта 2023 года просто нажать кнопку «Удалить контакт» в CRM или админке WordPress недостаточно: если клиент отозвал согласие или истёк срок хранения заявки, оператор обязан в течение 30 дней (а при незаконной обработке — в течение 7 рабочих дней) уничтожить данные и оформить два подтверждающих документа по Приказу Роскомнадзора № 179.
Когда разработка сайта или личного кабинета ведётся профессионально, процедура уничтожения закладывается прямо в архитектуру админки и CRM:
- Акт об уничтожении персональных данных — содержит наименование оператора, ФИО субъекта (или идентификатор), перечень уничтоженных категорий данных, причину уничтожения («достижение цели обработки» или «отзыв согласия субъектом»), способ уничтожения («стирание с перезаписью в СУБД PostgreSQL / MySQL») и дату.
- Выгрузка из журнала регистрации событий в информационной системе (лог-файл) — автоматически формируемая запись сервера с датой, временем, ID удалённой записи и учётной записью администратора, выполнившего операцию. Оба документа хранятся у оператора в течение 3 лет с момента уничтожения данных.
Чек-лист: что сделать за 1 вечер, чтобы привести политику и сайт в порядок
Чтобы не гадать, каких разделов не хватает в вашей текущей политике и какие внешние скрипты подставляют компанию под штрафы, пройдите проверку по пошаговому алгоритму из шести шагов:
- Прогоните домен через бесплатный аудитор сайта на 152-ФЗ. За 15 секунд робот обойдёт до 12 страниц вашего сайта, проверит наличие всех 18 разделов в политике, найдёт формы без чекбоксов, сверит ИНН с реестром Роскомнадзора и подсветит зарубежные скрипты (Google Fonts, reCAPTCHA, YouTube, CDN).
- Пройдите анкету самопроверки к проверке Роскомнадзора из 75 пунктов. Она покажет, каких внутренних приказов, журналов и инструкций не хватает внутри компании (ответы считаются локально в вашем браузере и никуда не отправляются).
- Разделите политику (
/privacy/) и согласие (/soglasie/) на два отдельных документа. Уберите из согласия формулировки «бессрочно» и вынесите согласие на рекламную рассылку во второй необязательный чекбокс. - Проверьте подвал и все всплывающие окна. Ссылка на политику должна стоять в футере каждой страницы, а под каждой формой — непредзаполненный чекбокс со ссылками на оба документа.
- Локализуйте внешние шрифты и отключите срабатывание аналитики до согласия. Перенесите файлы
.woff2на свой сервер и привяжите инициализацию счётчика к кнопке «Принять» в cookie-баннере. - Если править код и документы некому — поручите это нам. В рамках поддержки сайта или при редизайне и разработке корпоративного сайта мы приводим и код, и правовые страницы в полное соответствие 152-ФЗ с контрольной проверкой до зелёной зоны (95–100 баллов).
