Политика обработки персональных данных: как составить и что включить в 2026 году
Политика обработки персональных данных — документ, который бизнес чаще всего скачивает готовым, меняет название компании и забывает. На проверке выясняется, что политика описывает не ту обработку, что идёт на самом деле, либо её вовсе нет в открытом доступе — а это самостоятельное нарушение со своим штрафом. Ниже — обязательна ли политика, чем она отличается от согласия, какие разделы должны быть в тексте, как составить документ за пять шагов и где именно опубликовать его на сайте.
Быстрый ответ. Если вы собираете персональные данные (особенно через сайт), вы оператор — и обязаны иметь политику обработки персональных данных и опубликовать её в открытом доступе (ст. 18.1 152-ФЗ). Политика — публичный документ обо всей вашей обработке; согласие — персональное основание под конкретную цель, это разное. Главное правило: политика должна описывать реальную обработку, а не быть скачанным шаблоном с чужими реквизитами.
Что такое политика и обязательна ли она
Политика обработки персональных данных — это публичный документ оператора, в котором он честно описывает, как и зачем обрабатывает персональные данные людей: какие данные собирает, для каких целей, на каком основании, сколько хранит, как защищает и как человек может реализовать свои права. По 152-ФЗ иметь такой документ и обеспечить к нему открытый доступ — отдельная обязанность оператора (часть 2 статьи 18.1), а не «хорошая практика на будущее».
Важный момент: обязанность иметь политику не зависит от того, подали ли вы уведомление в Роскомнадзор. Это два разных требования: уведомление регистрирует вас как оператора в реестре, а политика — публично объясняет вашу обработку. Можно быть в реестре без опубликованной политики (нарушение) и наоборот. Кто вообще считается оператором и обязан всё это оформлять — разобрано в гайде о том, кто подаёт уведомление в Роскомнадзор и кто освобождён.
Политика, согласие и положение: в чём разница
Три документа, которые постоянно путают. Ошибка «сделали согласие и думаем, что закрыли политику» стоит дорого: это разные документы с разным назначением. Ниже — чем они отличаются.
| Документ | Назначение | Кому адресован | Где находится |
|---|---|---|---|
| Политика обработки ПДн | Публично описывает всю обработку оператора | Всем (неограниченному кругу лиц) | В открытом доступе на сайте |
| Согласие на обработку | Основание обработки конкретного человека под конкретную цель | Одному субъекту | У формы/бланка; хранится у оператора |
| Положение (локальный акт) | Внутренние правила обработки для сотрудников оператора | Внутрь компании | Во внутренних документах, не публикуется |
Проще всего запомнить так: политика — наружу и для всех, согласие — персонально под цель, положение — внутрь для сотрудников. Как правильно оформить именно согласие — в гайде о согласии на обработку персональных данных.
Обязательные разделы политики
Закон не диктует политику «слово в слово», но и Роскомнадзор в своих рекомендациях, и сложившаяся практика ждут вполне конкретный набор разделов. Проверьте свою политику обработки персональных данных по таблице ниже — и помните: каждый раздел должен описывать вашу реальную обработку.
| Раздел | Что включить | Зачем нужен |
|---|---|---|
| Реквизиты оператора | Наименование/ФИО, адрес, ИНН, контакты | Субъект должен знать, кто обрабатывает данные |
| Цели обработки | Конкретные цели: заказ, доставка, рассылка и т. д. | «Любые цели» — недопустимая формулировка |
| Правовые основания | Согласие, договор, требование закона и др. | Обработка без основания незаконна |
| Категории субъектов и данных | Чьи и какие именно данные обрабатываются | Показывает объём обработки |
| Порядок и условия обработки | Действия с данными, с автоматизацией или без, передача | Определяет, что вы делаете с данными |
| Сроки хранения | Сколько и до какого события хранятся данные | Хранить «навсегда» нельзя |
| Права субъектов и обращения | Как получить сведения, уточнить, удалить, отозвать согласие; канал и срок ответа | Право должно быть исполнимым |
| Меры защиты | Организационные и технические меры | Требование закона к безопасности |
| Трансграничная передача | Есть ли, куда и на каком основании | Указывается, только если передача есть |
Требование иметь и опубликовать политику задаёт статья 18.1 152-ФЗ, а состав разделов сложился из рекомендаций Роскомнадзора — и то, и другое корректировалось. Перед тем как утверждать документ, сверьтесь с действующей редакцией закона или проконсультируйтесь с юристом.
Как составить политику: 5 шагов
Соберём всё вместе. Этот порядок одинаково работает и для интернет-магазина, и для сайта услуг, и для ИП с одной формой заявки: он гарантирует, что политика будет и юридически корректной, и совпадающей с тем, что вы реально делаете с данными.
- Проведите инвентаризацию данных. Начните не с текста, а с фактов: какие персональные данные вы реально собираете (имена, телефоны, e-mail, адреса, данные сотрудников), откуда они приходят (форма на сайте, договор, анкета), зачем и где хранятся. Политика обработки персональных данных описывает вашу реальную обработку, а не абстрактную «правильную» — поэтому чужой шаблон без инвентаризации почти всегда расходится с тем, что происходит на самом деле.
- Соберите обязательные разделы. На основе инвентаризации соберите документ из блоков, которые ждёт регулятор: реквизиты оператора, цели и правовые основания обработки, категории субъектов и обрабатываемых данных, порядок и условия обработки, сроки хранения, права субъектов и порядок обращений, меры защиты, сведения о трансграничной передаче (если она есть). Пустой или «на всякий случай» раздел так же плох, как пропущенный: политика должна соответствовать фактической обработке.
- Пропишите права субъектов и порядок обращений. Отдельно и понятно опишите, как человек может реализовать свои права: получить сведения о том, как вы обрабатываете его данные, потребовать уточнения, блокировки или удаления, отозвать согласие. Укажите канал для обращений (адрес, e-mail) и срок ответа. Это не формальность: именно сюда смотрят и субъекты, и Роскомнадзор при жалобе.
- Опубликуйте политику в открытом доступе. Если данные собираются через сайт, политика обработки персональных данных должна быть опубликована в открытом доступе — доступна без регистрации, обычно отдельной страницей со ссылкой в подвале сайта и рядом с каждой формой, которая собирает данные. Ссылка на политику ставится там же, где пользователь ставит галочку согласия. «Документ есть, но лежит у юриста в столе» требованию об открытой публикации не удовлетворяет.
- Поддерживайте политику в актуальном состоянии. Политика — живой документ. Появилась новая форма, сервис аналитики, передача данных подрядчику или изменился закон — обновите текст и дату редакции. Расхождение между опубликованной политикой и фактической обработкой при проверке трактуется не в вашу пользу. Заведите привычку пересматривать документ хотя бы раз в год и при каждом изменении процессов.
Политика не живёт в вакууме: на неё ссылается согласие у каждой формы, а сама возможность собирать данные подразумевает, что вы как оператор подали уведомление и числитесь в реестре. Пример готового документа — на странице Политика обработки персональных данных, а полный набор требований к сайту-оператору — в гайде о приведении сайта в соответствие с 152-ФЗ.
Публикация политики на сайте: как сделать её доступной
Мало составить политику — её нужно опубликовать в открытом доступе, если данные собираются через сайт. «Документ есть, но лежит у юриста» требованию не удовлетворяет. Публикация считается корректной, если соблюдены несколько правил:
- Политика доступна без регистрации и авторизации — любому посетителю.
- Для неё выделена отдельная постоянная страница (например, /privacy) со стабильным адресом.
- Ссылка на политику стоит в подвале сайта — на каждой странице.
- Рядом с каждой формой, которая собирает данные, есть ссылка на политику — там же, где чекбокс согласия.
- Ссылка доступна до отправки формы, а текст открывается, а не ведёт на «404».
Если сайт собирает данные вообще без политики и согласия — это не «мелочь на потом», а прямой риск штрафа. Во сколько обходятся такие нарушения, разобрано в гайде о штрафах за персональные данные.
5 частых ошибок в политике
- «Скачали чужой шаблон» — в политике остались реквизиты и цели другой компании, не совпадающие с вашей реальной обработкой.
- «Документ в столе» — политика составлена, но не опубликована в открытом доступе или ведёт на несуществующую страницу.
- «Политика вместо согласия» — считают, что публичная политика заменяет персональные согласия у форм. Это разные документы, нужны оба.
- «Написали и забыли» — появились новые формы, аналитика или передача данных подрядчику, а политику не обновили; текст разошёлся с фактами.
- «Цели — любые» — размытые формулировки «для любых целей» и «навсегда» вместо конкретных целей и сроков хранения.
Читайте также
- Как привести сайт в соответствие с 152-ФЗ: требования к сайту — хаб: политика, согласия, cookie, уведомление и меры защиты в одном месте.
- Согласие на обработку персональных данных: как оформить — второй обязательный документ, на который ссылается политика.
- Новые требования к согласию с 1 сентября 2025 — согласие теперь отдельный документ, а не «галочка» в оферте.
- Кто должен подавать уведомление в Роскомнадзор и кто освобождён — понять, оператор ли вы и нужно ли всё это оформлять.
- Уведомление в Роскомнадзор об обработке персональных данных — обзорный гайд: оператор, реестр, уведомление.
- Как подать уведомление в Роскомнадзор: пошаговая инструкция — три способа подачи и поля формы для ИП и ООО.
- Реестр операторов персональных данных: как проверить по ИНН — узнать за минуту, числитесь ли вы оператором.
- Ответственный за организацию обработки персональных данных — кто в компании отвечает за политику и согласия.
- Штрафы за персональные данные — во сколько обходится отсутствие политики и обработка без основания.
- Как подать уведомление об утечке персональных данных в Роскомнадзор — что оператор обязан подать за 24 и 72 часа, если данные всё же утекли.
Частые вопросы
01Обязательна ли политика обработки персональных данных?
02Чем политика отличается от согласия на обработку данных?
03Что должно быть в политике обработки персональных данных?
04Нужно ли публиковать политику на сайте и где именно?
05Что грозит, если политики нет или она формальная?
Материал носит информационный характер и не является юридической консультацией. Требование об обязательной политике и её публикации в открытом доступе, состав разделов и ответственность за отсутствие документа приведены по действующей редакции 152-ФЗ и рекомендациям Роскомнадзора — эти нормы пересматривались, перед утверждением документа сверяйтесь с актуальной редакцией.