Что должно быть в политике конфиденциальности сайта в 2026 году

Короткий ответ: политика должна объяснять, кто является оператором, какие персональные данные он обрабатывает, для каких целей и на каких основаниях, какие действия выполняет с данными, кому их передает, как долго хранит и как человек может реализовать свои права. Документ должен соответствовать реальным формам, сервисам и процессам сайта.

В 152-ФЗ используется название «политика оператора в отношении обработки персональных данных». На сайтах документ часто называют политикой конфиденциальности. Название вторично: важнее содержание, доступность и соответствие фактической обработке.

Какие разделы включить в политику

Статья 18.1 152-ФЗ требует определить политику оператора и обеспечить доступ к ней. Роскомнадзор рекомендует структуру, которая помогает раскрыть основные процессы без размытых формулировок.

Раздел	Что указать	Типичная ошибка
Оператор и контакты	Наименование или ФИО оператора, адрес и канал для обращений по персональным данным.	Нельзя понять, кто отвечает за сайт и куда направлять запрос.
Цели обработки	Отдельные цели: ответ на заявку, заказ, доставка, регистрация, поддержка, рассылка, подбор персонала.	Одна фраза «для оказания услуг» закрывает несвязанные процессы.
Основания	Согласие, договор, обязанность по закону или другое применимое основание для каждой цели.	В качестве единственного основания указан сам 152-ФЗ.
Данные и категории людей	Какие сведения относятся к клиентам, посетителям, подписчикам, соискателям и другим группам.	Перечень не совпадает с полями форм и загружаемыми файлами.
Операции и способы	Сбор, запись, хранение, использование, передача, удаление; автоматизированная или смешанная обработка.	Описан только сбор, хотя данные хранятся и передаются подрядчикам.
Получатели и подрядчики	Условия передачи, поручение обработки, доставка, платежи, CRM, почта и иные фактические получатели.	Написано «третьим лицам не передаем», хотя заявки уходят во внешние системы.
Хранение и уничтожение	Срок или понятное условие окончания обработки и порядок удаления или обезличивания.	Указано бессрочное хранение без связи с целью или обязанностью.
Права и обращения	Как запросить сведения, исправление, блокирование, удаление или отозвать согласие.	Нет рабочего канала и порядка ответа на обращение.
Меры защиты	Общие организационные и технические меры без публикации чувствительных настроек безопасности.	Либо меры не упомянуты, либо раскрыты детали, которые не должны быть публичными.

Цели, данные и основания должны совпадать

Хорошая политика строится не от шаблона, а от карты процессов. Для каждой цели нужно связать категории людей, перечень данных, основание, действия, получателей и срок хранения. Нельзя собирать лишние поля только потому, что они перечислены в документе.

Процесс сайта	Что отражает политика	Что проверить на странице
Форма обратного звонка	Имя и телефон, цель ответа, основание, срок и канал обращения.	Поля, отдельное согласие и ссылка на политику.
Интернет-магазин	Заказ, оплата, доставка, уведомления, подрядчики и история покупки.	Оферта, согласия и политика выполняют разные задачи.
Рассылка	Контакт, цель рекламных сообщений, отдельный выбор и прекращение рассылки.	Подписка не включена в обязательное условие обычной заявки.
Личный кабинет	Регистрация, профиль, действия пользователя, срок хранения и удаление аккаунта.	Понятны обязательные поля и способ закрыть учетную запись.
Файлы и резюме	Цель загрузки, состав сведений, доступы и срок удаления.	Пользователя не просят передавать лишние документы заранее.

Подробный сценарий для веб-форм разобран в разделе «Согласия и формы». Если сайт принимает заказы, отдельно проверьте опорный материал: оферта и политика конфиденциальности должны быть разделены.

Политика, согласие и оферта — разные документы

• Политика публично описывает правила и процессы обработки данных оператора.
• Согласие фиксирует отдельный выбор человека для конкретных целей, когда обработка опирается на это основание.
• Оферта регулирует условия продажи товара или оказания услуги.
• Cookie-документ раскрывает категории файлов cookie, назначение счетчиков и управление выбором пользователя.

С 1 сентября 2025 года согласие должно оформляться отдельно от других подтверждаемых документов. Поэтому нельзя прятать его внутри политики или считать, что простое чтение страницы автоматически подтверждает согласие. Практические варианты разобраны в статье когда обязательно согласие на обработку данных.

Иностранные сервисы и место хранения

Политика должна совпадать с фактическим маршрутом заявок. Если сайт использует CRM, почту, чат, доставку, платежный модуль или подрядчика, нельзя ограничиваться общей фразой об обработке только владельцем сайта. Нужно проверить условия передачи и поручения обработки.

Для иностранных систем отдельно оценивают локализацию баз и трансграничную передачу. Начните со статьи о локализации и иностранных сервисах, затем проверьте специальную процедуру трансграничной передачи данных.

Где разместить политику

Статья 18.1 требует опубликовать политику на страницах сайта, с использованием которых собираются персональные данные, и обеспечить возможность доступа к документу. Сквозная ссылка в подвале — практичный способ сохранить доступ на большинстве страниц, но для форм полезна также заметная ссылка рядом с полями и согласием.

Проверьте форму заявки, заказ, регистрацию, подписку, комментарии, чат и загрузку файлов. Пользователь должен иметь возможность открыть актуальную политику до отправки данных, а ссылка не должна вести на пустую страницу или старую редакцию.

Когда обновлять документ

• Добавилась новая форма, цель или категория данных.
• Подключены CRM, чат, счетчик, рассылка, доставка или платежный сервис.
• Изменились хостинг, место базы, резервные копии или иностранные получатели.
• Появился личный кабинет, публикация отзывов, файловая загрузка или подбор персонала.
• Изменились сроки хранения, порядок удаления или канал обращений.

Полезно указывать дату актуализации и хранить предыдущие редакции, чтобы можно было установить, какой документ действовал в конкретный момент.

Что проверяет RKN Shield

RKN Shield проводит алгоритмический аудит видимых признаков: ищет политику, проверяет доступность ссылок, сопоставляет документ с формами, cookie-блоками, счетчиками и публичными интеграциями. Проверка не видит закрытые базы и внутренние договоры, поэтому отчет разделяет обнаруженные факты и рекомендации для внутренней сверки.

Посмотрите пример структурированного отчета RKN Shield, пройдите хаб 152-ФЗ для сайта или запустите бесплатную проверку на главной странице.

Частые вопросы

Можно ли взять готовый шаблон политики?

Шаблон можно использовать как структуру, но его нужно сверить с реальными формами, целями, данными, подрядчиками и сроками. Публикация чужого перечня процессов создает новые противоречия вместо исправления сайта.

Достаточно ли ссылки в подвале?

Если ссылка доступна на всех страницах сбора, подвал помогает выполнить задачу доступа. Рядом с формой все равно полезно поставить прямую ссылку, чтобы человек видел документ до отправки данных.

Нужно ли перечислять в политике все сервисы?

Документ должен честно описывать фактических получателей и условия передачи в объеме, необходимом для понимания обработки. Нельзя заявлять об отсутствии передачи, если данные уходят подрядчикам или внешним системам.

Нужна ли дата актуализации?

Прямая обязанность ставить дату именно в заголовке политики не установлена, но дата помогает управлять редакциями и подтверждать, какой текст действовал в момент сбора данных.