Зачем сайту политика обработки персональных данных

Сразу оговорка: это разбор устройства документа, а не юридическая консультация. Состав политики зависит от того, что бизнес делает с данными, и типовой текст такой работы не заменяет.

Чем политика отличается от согласия и от пользовательского соглашения

Три документа путают постоянно, хотя обязанности у них разные.

• Политика — односторонний акт оператора. Он адресован всем сразу, не требует ничьего ответа и описывает обработку целиком. Что именно оператор в нём определяет, перечислено в пункте 2 части 1 статьи 18.1.
• Согласие — действие конкретного человека в конкретный момент, с признаками из части 1 статьи 9. Устройство галочки и текста рядом с ней разобрано отдельно: Согласие на обработку данных.
• Пользовательское соглашение — договор об условиях пользования сайтом. К персональным данным он прямого отношения не имеет, и ни политику, ни согласие не заменяет.

Отдельно про название. «Политика конфиденциальности» — перевод с англоязычных сайтов; такого документа в 152-ФЗ нет. Закон говорит о документе, определяющем политику в отношении обработки персональных данных, и ответственность в части 3 статьи 13.11 КоАП привязана именно к нему. Файл можно назвать как угодно, но заголовок внутри документа лучше держать в формулировке закона — меньше поводов для спора.

Что закон требует написать внутри

Пункт 2 части 1 статьи 18.1 называет состав прямо. Оператор определяет в политике и локальных актах цели обработки, категории персональных данных, категории субъектов, сроки обработки и хранения, порядок уничтожения данных, а также процедуры, направленные на предотвращение и выявление нарушений и на устранение их последствий. Та же норма ставит ограничение: эти документы не могут ограничивать права субъектов.

Второй ориентир полезнее первого. Часть 7 статьи 14 перечисляет сведения, которые человек вправе получить от оператора по запросу, — одиннадцать пунктов. Среди них правовые основания и цели обработки, применяемые способы, наименование и место нахождения оператора, лица, имеющие доступ к данным, обрабатываемые данные и их источник, сроки обработки и хранения, порядок осуществления прав, сведения о трансграничной передаче и данные о том, кто обрабатывает сведения по поручению оператора. Политика, в которой на эти вопросы уже есть ответ, экономит работу: на запрос отвечают ссылкой на раздел, а не сочиняют текст заново.

Роскомнадзор публиковал рекомендации по составлению такого документа — они появились в 2017 году и лежат на сайте ведомства. Нормативным актом они не являются, но структура разделов из них перешла почти во все приличные политики, и читают документ потом по этой структуре. Там же сказана вещь, о которую спотыкаются чаще всего: сам 152-ФЗ правовым основанием обработки не служит. Основание — согласие, договор, закон, устанавливающий обязанность. Строка «обрабатываем на основании 152-ФЗ» распространена и пуста.

Про срок хранения: единого числа в законе нет

Это место, где типовые политики ошибаются чаще всего. В них пишут «три года» или «пять лет», не объясняя, откуда число взялось.

Общего срока хранения в 152-ФЗ нет. Часть 7 статьи 5 формулирует принцип:

хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных, если срок хранения не установлен федеральным законом или договором

По достижении цели или при утрате необходимости в ней данные подлежат уничтожению либо обезличиванию — если иное не предусмотрено федеральным законом. Срок на само уничтожение даёт часть 4 статьи 21: не позднее тридцати дней со дня достижения цели, если иное не предусмотрено договором с субъектом или законом.

Практически из этого следует, что в политике пишут не круглое число, а цель и привязку к ней: «до достижения цели обработки». Число появляется только там, где его устанавливает норма или договор, — и тогда норму называют. Срок, записанный «с запасом», создаёт обязанность, которой никто не просил: он становится тем, что оператор сам себе обещал.

Какие сроки реакции документ обязан выдерживать

Политика описывает процедуры, а у процедур есть сроки. Они в законе, и перечислить их стоит в самом документе:

1. Ответ на запрос человека о его данных — десять рабочих дней со дня обращения, с продлением не более чем на пять рабочих дней по мотивированному уведомлению (часть 3 статьи 14 и часть 1 статьи 20).
2. Уточнение неточных данных — семь рабочих дней со дня представления подтверждающих сведений (часть 2 статьи 21).
3. Прекращение неправомерной обработки — не позднее трёх рабочих дней с момента её выявления; если обеспечить правомерность нельзя, уничтожение — не позднее десяти рабочих дней (часть 3 статьи 21).
4. Прекращение обработки по требованию субъекта — не позднее десяти рабочих дней, с продлением не более чем на пять (часть 5.1 статьи 21).
5. Уничтожение по достижении цели и после отзыва согласия — не позднее тридцати дней (части 4 и 5 статьи 21).

Из этого списка следует вывод, относящийся уже не к тексту, а к работе: адрес почты, указанный в политике, кто-то должен читать каждый рабочий день. Трёхдневный срок течёт с выявления нарушения, а не с того дня, когда письмо наконец открыли.

Где политика должна лежать

«Неограниченный доступ» из части 2 статьи 18.1 означает: без регистрации, без запроса, по прямой ссылке. Отсюда проверяемые требования.

• Постоянный адрес вида /privacy.html, который не меняется при переделке сайта. Ссылка на политику стоит в согласии и в договорах, и переезд документа обрывает её везде сразу.
• Ссылка в подвале каждой страницы и рядом с каждой формой — не только на главной.
• Текстом в разметке страницы. Картинка, файл на скачивание или документ за логином «неограниченному доступу» не отвечают.
• Дата редакции, а предыдущие версии сохраняются. Заявка, пришедшая год назад, подчинялась тогдашней редакции, и доказывать придётся ею.

Наша политика опубликована по адресу /privacy.html, и такой же документ входит в любой наш тариф.

Что бывает, если политики нет

Ответственность за неопубликованную политику предусмотрена частью 3 статьи 13.11 КоАП. Размеры санкций в этой статье менялись, последний раз заметно с 30 мая 2025 года, поэтому сумму нужно смотреть в действующей редакции, а не в статьях годичной давности.

Важнее другое, и об этом говорят реже. Опубликованный документ, который расходится с практикой, хуже, чем кажется: он становится описанием собственного нарушения, сделанным добровольно. Если в политике названа цель, а данные используются для другой, работает часть 1 статьи 13.11 — обработка в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора. Поэтому короткая честная политика надёжнее длинной красивой.

И прямо: наличие политики претензий не снимает. Она закрывает обязанность по части 2 статьи 18.1 — и только её. Вопросы о целях, о сроках, о месте базы данных, об уведомлении в Роскомнадзор остаются каждый на своём месте; общий их перечень разобран в статье 152-ФЗ простыми словами.

Что делаем мы и где граница

Политику мы пишем под то, что реально происходит на сделанном нами сайте: какие поля в форме, куда уходит заявка, что стоит из статистики, на каком хостинге лежит база. Это тот случай, когда документ можно свести с практикой до буквы, потому что практику настраивали мы.

Дальше начинается чужая работа. Типовая политика закрывает один сценарий — обращение с сайта. Кадровый учёт, медицинские сведения, биометрия, видеонаблюдение, передача данных партнёрам требуют описания под конкретные процессы, и это работа юриста, а не подрядчика на сайт. Уведомление в Роскомнадзор мы за заказчика тоже не подаём: оператором становится он.

Самое полезное правило здесь — порядок. Политика пишется последней: сначала выписывается, какие данные собираются и зачем, потом под это формулируются цели и основания, и только потом появляется текст. А перечитывать документ надо не раз в год, а каждый раз, когда на сайте меняется форма или в работу приходит новый сервис. Разошлось не потому, что политику плохо написали, — разошлось потому, что сайт жил дальше, а документ остался прежним.