Политика конфиденциальности для сайта: что в ней должно быть в 2026 году
Что требует 152-ФЗ, чем опасен скачанный образец и как проверить свой сайт по пяти пунктам. Документ работает, только если описывает ваш сайт, а не чужой.
Если на сайте есть форма заявки, корзина или обратный звонок, сайт собирает персональные данные. Закон в этом случае требует опубликовать на нём документ о том, как вы с этими данными обращаетесь. Счётчик Метрики тоже стоит учесть: он передаёт Яндексу сведения о посетителях, и об этом их нужно предупредить. В обиходе его называют политикой конфиденциальности, в законе — документом, определяющим политику оператора в отношении обработки персональных данных.
Название роли не играет. Значение имеет содержание: документ должен описывать то, что на самом деле происходит с данными на вашем сайте. Ниже — из чего он состоит, почему скачанный образец с этим не справляется, чем политика отличается от согласия и что грозит, если её нет. Это разбор закона для владельца сайта, не юридическая консультация: формулировки под свой бизнес стоит показать юристу.
Когда политика обязательна
Оператор персональных данных по статье 3 закона 152-ФЗ — это любой, кто сам решает, зачем и какие данные обрабатывать: компания, ИП и даже частное лицо. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому человеку. Имя и телефон из формы заявки уже подходят под это определение.
Главная норма — часть 2 статьи 18.1. Оператор, который собирает данные через интернет, обязан опубликовать политику «на страницах принадлежащего оператору сайта», с помощью которых идёт сбор, и обеспечить к ней доступ. В той же фразе есть второе требование, о котором часто забывают: опубликовать нужно и сведения о реализуемых требованиях к защите персональных данных.
Из этого следуют два практических вывода. Политика нужна не где-то на сайте, а там, где человек оставляет данные. И одного списка целей мало — нужен хотя бы короткий рассказ о том, как данные защищены.
Что должно быть в политике
Готового оглавления закон не даёт, но два места в нём подсказывают состав. Пункт 2 части 1 статьи 18.1 перечисляет, что оператор определяет для каждой цели обработки: категории и перечень данных, чьи это данные, способы и сроки обработки и хранения, порядок уничтожения. Часть 7 статьи 14 перечисляет, что человек вправе узнать у оператора о своих данных. Политика, которая заранее отвечает на эти вопросы, закрывает большую часть содержания.
| Раздел | Что в нём написать |
|---|---|
| Кто оператор | Название ИП или компании, ИНН или ОГРН, адрес, почта для обращений |
| Цели | Каждую отдельно: ответить на заявку, выполнить заказ, вести аналитику посещений |
| Состав данных | Для каждой цели свой: имя и телефон для заявки, адрес для доставки, cookie для аналитики |
| Правовые основания | Согласие человека или договор с ним (например, заказ в магазине) |
| Сроки | Сколько хранится заявка или заказ и что происходит потом |
| Кто ещё получает данные | Хостинг, CRM, служба доставки, платёжный сервис, Метрика |
| Права человека | Узнать, какие данные о нём есть, потребовать уточнить, заблокировать или уничтожить их, отозвать согласие |
| Как обратиться | Адрес или почта для запросов |
| Защита | Какие меры приняты: кто имеет доступ, где хранятся данные |
Основания перечислены в части 1 статьи 6. Для небольшого сайта обычно встречаются два: согласие (пункт 1) и договор, стороной которого становится человек или который заключается по его инициативе (пункт 5). Оформленный заказ — второй случай, подписка на новости — скорее первый.
На запрос человека о его данных оператор отвечает в течение десяти рабочих дней; срок можно продлить ещё на пять, если направить человеку уведомление с причиной продления. Это из части 3 статьи 14, и такой срок полезно прописать в политике, чтобы было понятно, чего ждать.
Про Метрику отдельно
Счётчик Метрики ставит посетителю cookie и передаёт Яндексу сведения о посещении. По условиям использования Метрики (опубликованы 07.08.2026) владелец сайта должен кратко и понятно рассказать посетителям об обработке их данных и сообщить, что сбор можно запретить. Точные формулировки лучше прочитать в самих условиях. Удобнее всего закрыть это абзацем в политике: что собирает Метрика, зачем, что данные обрабатывает Яндекс и как от этого отказаться. То же касается онлайн-чата, виджета обратного звонка и любого другого стороннего сервиса, который получает данные посетителей.
Почему скачанный шаблон опасен
По запросам вроде «политика конфиденциальности образец» находятся десятки готовых текстов, включая генераторы для конструкторов вроде Тильды. Проблема у них общая: шаблон описывает чужой сайт или никакой.
Типичные расхождения выглядят так:
- перечислены данные, которых вы не собираете, вроде паспортных, и пропущены те, что собираете: cookie Метрики, адрес доставки;
- цели размыты — «для улучшения качества обслуживания» вместо конкретного «перезвонить по заявке»;
- нет вашего названия и ИНН, а иногда остаётся заглушка «[НАЗВАНИЕ КОМПАНИИ]» или реквизиты автора образца;
- не упомянуты сервисы, через которые проходят заявки: CRM, почта, мессенджер менеджера, таблица;
- срок «до отзыва согласия» стоит для всего подряд, включая данные заказов.
Такая политика формально опубликована, но не соответствует реальной обработке. Если по документу данные нужны только для ответа на заявку, а на деле телефоны из заявок уходят в рекламную рассылку, это уже вопрос к самой обработке. Часть 1 статьи 13.11 КоАП называет такой случай прямо: обработка, несовместимая с целями сбора.
Шаблон полезен как список разделов. Содержание каждого раздела приходится собирать самому: пройти по сайту, выписать каждую форму, каждый счётчик и виджет и для каждого ответить, что он собирает, куда это уходит и сколько там хранится.
Политика и согласие — разные документы
Политика — публичный текст о том, как вы обращаетесь с данными всех посетителей. Согласие — решение конкретного человека разрешить обработку своих данных.
По части 1 статьи 9 согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года в ней появилось ещё одно предложение: согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект». Поправку внёс закон от 24.06.2025 № 156-ФЗ.
Для сайта из этого следует, что согласие нельзя прятать внутрь политики, оферты или пользовательского соглашения. Фраза под кнопкой «Отправляя форму, вы принимаете политику конфиденциальности» смешивает два документа в одно действие. Распространённое решение — отдельная галочка, которую человек ставит сам, со ссылкой на текст согласия, и рядом ссылка на политику.
Закон допускает согласие в любой форме, которая позволяет подтвердить факт его получения, а доказывать это по части 3 статьи 9 придётся оператору. Поэтому вместе с заявкой полезно сохранять время согласия и редакцию текста, на которую человек согласился.
Где разместить политику на сайте
- Отдельная страница с постоянным адресом. Открывается без входа и пароля, текстом, который можно прочитать и скопировать.
- Ссылка в подвале каждой страницы, чтобы документ находился с любого места сайта.
- Ссылка у каждой формы: заявка, обратный звонок, корзина, подписка, запись на приём. Закон говорит о страницах, через которые собираются данные, и форма — именно такое место.
- Дата редакции в самом документе. Подключили новую CRM, добавили чат или сменили службу доставки — политику стоит обновить, иначе она снова описывает не ваш сайт.
Политика — не единственная обязанность оператора. Отдельная история — уведомление Роскомнадзора об обработке персональных данных; о нём — в разборе уведомления в РКН.
Что грозит, если политики нет
Ответственность — в статье 13.11 КоАП (редакция от 04.08.2026). За саму неопубликованную политику отвечает часть 3, и штрафы по ней сравнительно небольшие:
| Кто | Часть 3: политика не опубликована |
|---|---|
| Гражданин | 1 500–3 000 ₽ |
| Должностное лицо | 6 000–12 000 ₽ |
| ИП | 10 000–20 000 ₽ |
| Юридическое лицо | 30 000–60 000 ₽ |
Заметно дороже часть 1 — обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора. После поправок от 30.11.2024 (№ 420-ФЗ) штраф по ней для должностных лиц составляет 50 000–100 000 ₽, для юридических лиц — 150 000–300 000 ₽. За повторное нарушение юридические лица и ИП платят 300 000–500 000 ₽. Отдельные, более крупные штрафы предусмотрены за утечки данных.
Поэтому политика «для галочки» снимает только самый дешёвый риск. Документ, который расходится с реальностью, сам по себе от части 1 не спасает.
Как проверить свой сайт
- Откройте сайт в приватном окне браузера и найдите в подвале ссылку на политику. Она должна открываться без входа.
- Прочитайте шапку документа: там ваше название и ИНН, а не чужие и не заглушка.
- Пройдите по всем формам. У каждой — ссылка на политику и отдельно оформленное согласие. Чаще всего это галочка, которая не стоит заранее.
- Выпишите сервисы, которые стоят на сайте и получают данные: Метрика, CRM, чат, доставка, оплата. Сверьте список с разделом о третьих лицах.
- Проверьте дату редакции: описывает ли документ сайт таким, какой он сейчас.
Первый и третий пункты видны в коде страниц, и их можно проверить автоматически: бесплатная проверка сайта на 152-ФЗ ищет ссылку на политику, отметки согласия у форм и уведомление о cookie. Текст документа она не читает — совпадает ли он с вашей реальной обработкой данных, решаете вы вместе с юристом.