Политика обработки персональных данных: что должно быть в документе

Оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ (ч. 2 ст. 18.1 152-ФЗ). Для сайта это отдельная страница по постоянной ссылке. Разберём, что в ней должно быть, где её разместить, чем опасен скачанный шаблон и как проверить полноту.

Зачем нужна политика и что это за документ

Политика — это публичное обещание оператора: как он собирает данные, зачем, на каком основании, сколько хранит, кому передаёт и как человек может на это повлиять. Она выполняет две функции: информирует субъекта (без доступа к политике согласие не считается информированным) и служит доказательством того, что у оператора выстроен процесс. Отсутствие политики — самый частый и самый легко фиксируемый состав: проверяющему достаточно открыть сайт и не найти ссылку.

Обязательные разделы

Закон и разъяснения Роскомнадзора требуют, чтобы политика для каждой цели обработки раскрывала:

• сведения об операторе — наименование или ФИО, ИНН/ОГРН, адрес, контакты, номер в реестре операторов;
• цели обработки персональных данных — конкретно, а не «для любых нужд компании»;
• правовые основания обработки (согласие, договор, закон, законный интерес);
• категории обрабатываемых данных и категории субъектов (посетители, клиенты, подписчики, кандидаты, сотрудники);
• порядок и способы обработки, в том числе с использованием и без использования средств автоматизации;
• передачу данных — обработчикам по поручению и третьим лицам, с указанием, кому и на каком основании; использование сторонних сервисов;
• сведения о трансграничной передаче, если она есть, — в какие страны и на каком основании;
• сроки обработки или условия их прекращения, порядок уничтожения данных;
• меры защиты — организационные и технические, без раскрытия деталей;
• права субъекта и порядок обращения к оператору — как запросить, изменить, удалить данные, отозвать согласие, куда писать;
• сведения об использовании файлов cookie, если сайт их применяет, и о том, как отказаться;
• дату последней редакции документа.

Где разместить на сайте

Ссылка на политику должна быть доступна с любой страницы, где собираются данные — обычно её ставят в подвал сайта и рядом с каждой формой (у чекбокса согласия). Адрес страницы не должен меняться: на него ссылаются согласия пользователей, и «переезд» политики на новый URL рвёт эту связь. Формат — обычная HTML-страница; PDF допустим, но хуже: его сложнее индексировать и обновлять, и он чаще оказывается недоступен.

Чем опасен скачанный шаблон

Готовый шаблон экономит время, но использовать его «как есть» нельзя. Типичные следы чужого документа, которые видны при проверке: реквизиты другой компании, цели и категории данных, которые вы не обрабатываете (или наоборот — нет тех, что реально собираете), ссылки на несуществующие у вас процессы, устаревшие нормы. Шаблон — это каркас: подставьте свои реквизиты, опишите реальные формы и сервисы, уберите лишнее, добавьте недостающее.

Внутренние документы, кроме политики на сайте

Публичная политика — вершина айсберга. Роскомнадзор при проверке запрашивает также внутренние документы: положение (регламент) об обработке и защите персональных данных, приказ о назначении ответственного за организацию обработки (ст. 22.1 152-ФЗ), перечень обрабатываемых данных и мест их хранения, акт определения уровня защищённости и перечень мер защиты (ПП РФ № 1119, Приказ ФСТЭК России № 21), правила рассмотрения обращений субъектов, журнал учёта. Для малого бизнеса это компактный пакет, но он должен существовать.

Частые проблемы

• Политики нет вообще. Самый распространённый штраф по ч. 3 ст. 13.11 КоАП (для юрлиц — 30 000–60 000 ₽).
• Документ скачан с чужого сайта. Чужие реквизиты и цели видны при проверке сразу.
• Ссылка ведёт на 404 или на PDF, который не открывается. Формально политика недоступна — то же, что её нет.
• Нет половины обязательных разделов — чаще всего отсутствуют сроки хранения, порядок обращения субъекта, сведения о передаче и трансграничной передаче.
• Политика не обновлялась после подключения новых сервисов (CRM, чат, аналитика, платёжный шлюз).
• Ссылка есть только на главной, а на страницах с формами — нет.

Как проверить свою политику

Пройдитесь по списку обязательных разделов выше и отметьте, что реально раскрыто в вашем тексте, а что только упомянуто одной строкой. Отдельно проверьте доступность: откройте ссылку из подвала и с каждой формы в режиме инкогнито. Бесплатная проверка ПДн.Риск не только ищет политику по типовым адресам, но и оценивает содержание — есть ли в тексте ключевые обязательные разделы; чего не хватает, вы увидите в отчёте.

Частые вопросы

Что ещё нужно

Публикация политики — одно из требований 152-ФЗ. Вместе с ней нужны согласие в формах, уведомление в Роскомнадзор и, при наличии аналитики, cookie-баннер. Полный обзор: 152-ФЗ простыми словами.

Материал носит информационный характер и не является юридической консультацией. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточники: ст. 18.1 152-ФЗ на pravo.gov.ru, портал персональных данных Роскомнадзора.