Политика конфиденциальности для сайта: где взять и как адаптировать

Политика конфиденциальности для сайта с одной формой заявки пишется за 3-5 часов. В ней должны быть реквизиты оператора, перечень собираемых данных, цели обработки, сроки хранения, порядок отзыва согласия и способ связи. Шаблон из интернета без правки реквизитов и перечня данных не защищает.

Политика конфиденциальности на сайте малого бизнеса в 2026 году не роскошь и не формальность для галочки. Это документ, на который ссылается чекбокс согласия, на который смотрит Роскомнадзор при проверке и который суд изучит, если до суда дойдёт. И ровно поэтому шаблон, скачанный с первого попавшегося сайта, чаще всего не работает: его писали под другой бизнес, под другие данные, иногда под другой год законодательства. Разберём, какие пункты должны быть точно, что обычно идёт лишним, куда положить файл и как он должен выводиться.

Я не юрист, но за шесть лет работы с малым бизнесом видел десятки политик: написанных шаблонно, сделанных дорого юристом, скопированных у конкурента, и три раза — реально проверенных Роскомнадзором. Расскажу про то, что в работе по факту срабатывает и не срабатывает.

Зачем политика нужна с точки зрения 152-ФЗ и Роскомнадзора

Есть закон 152-ФЗ «О персональных данных» и есть надзорный орган Роскомнадзор, который следит за его исполнением. Если на сайте есть форма, в которой пользователь оставляет имя, телефон, email или любые другие персональные данные, владелец сайта автоматически становится оператором персональных данных со всеми вытекающими.

Что это значит конкретно:

Должна быть подана нотификация в РКН (через сайт pd.rkn.gov.ru).
Должно быть согласие на обработку (явное действие пользователя, обычно чекбокс).
Должна быть опубликована политика обработки персональных данных в открытом доступе.
Должна быть возможность отозвать согласие (статья 9 закона).
ПДн граждан РФ должны храниться на серверах в России (статья 18, часть 5).

Политика — это и есть ответ на четвертое требование плюс публичная декларация того, что и как оператор делает. Без политики все остальные пункты висят в воздухе: согласие непонятно на что, нотификация формальна, права пользователей нигде не описаны.

В 2026 году штраф за отсутствие политики или её несоответствие требованиям для юрлица может доходить до 700 000 рублей по части 1 статьи 13.11 КоАП, для ИП до 30 000 (свежие поправки в КоАП после 2025 года ужесточили эти суммы). Для малого бизнеса даже 30 000 это месячный бюджет на маркетинг, плюс факт штрафа попадает в открытый реестр и негативно влияет на репутацию.

Структура политики: что должно быть точно

Обязательный набор разделов следует из части 1 статьи 18.1 закона. Это не моя выдумка, это требования регулятора. Привожу с пояснениями, что писать в каждом разделе.

1. Общие положения

Кто оператор. Здесь даются полные реквизиты:

наименование (для юрлица), ФИО (для ИП), полностью без сокращений,
ОГРН/ОГРНИП, ИНН,
юридический адрес,
контактный email и телефон,
ссылка на сайт.

Если ИП без логотипа на сайте называется просто «Иван Иванов сделает вам сайт», в политике всё равно должно быть «Индивидуальный предприниматель Иванов Иван Иванович, ОГРНИП …, ИНН …». Без этого Роскомнадзор имеет право засчитать политику недействительной.

2. Основные понятия

Расшифровка терминов: персональные данные, обработка, согласие, оператор, субъект ПДн, обезличивание, блокирование. Это можно скопировать из самой статьи 3 закона, тексты разрешено цитировать дословно.

3. Цели обработки

Конкретный список целей, для чего вы собираете данные. Не «для повышения качества обслуживания» (это размыто и не считается), а конкретно. Например:

обработка обратной заявки и направление коммерческого предложения,
заключение и исполнение договора оказания услуг,
информирование о новых услугах и акциях (только если получено согласие на рассылку),
учёт обращений в техподдержку,
выполнение требований законодательства (уплата налогов, бухучёт).

Каждой цели должен соответствовать минимально необходимый перечень данных. Если для отправки коммерческого предложения вам достаточно email, не пишите туда «паспортные данные». Принцип «сколько надо, столько и беру».

4. Состав обрабатываемых данных

Перечислите явно, какие данные собираете через какие каналы:

Канал	Какие данные
Форма обратной связи	имя, телефон, email, текст сообщения
Заявка на услугу	имя, телефон, email, краткое описание задачи
Подписка на рассылку	email
Заказ в магазине	имя, телефон, email, адрес доставки
Личный кабинет	имя, email, история заказов

Если есть Метрика, укажите отдельно, что собираются обезличенные данные о посещениях (cookies, IP, user agent). Если стоит виджет онлайн-консультанта (JivoChat, LiveTex), укажите, что данные передаются третьему лицу для обработки.

5. Правовые основания

Чаще всего это:

согласие субъекта (пункт 1 части 1 статьи 6 закона),
исполнение договора (пункт 5 той же части),
исполнение обязанностей по закону (пункт 2).

Для бизнеса малого формата хватает первых двух оснований.

6. Порядок обработки

Как, где и сколько данные хранятся. Здесь:

срок хранения по каждой категории целей (например, «данные из формы заявки хранятся 3 года с момента последнего обращения, после чего удаляются»),
меры безопасности (использование SSL, ограничение доступа, хранение бэкапов в зашифрованном виде),
передача третьим лицам (если передаются — указать кому и зачем; если не передаются — явно написать, что не передаются).

7. Права субъекта ПДн

Что пользователь вправе делать:

запросить, какие данные о нём обрабатываются,
потребовать уточнения, блокирования или удаления,
отозвать согласие на обработку,
обжаловать действия оператора в РКН и в суд.

И обязательно укажите, как именно эти права реализовать. Адрес или email, на который отправить запрос. Срок ответа (по закону — 30 дней, на практике стоит обозначить 10-15 рабочих дней).

8. Реквизиты для обращений

Куда писать с запросами. Минимум: email и почтовый адрес. Хорошо, если ещё и форма на сайте.

9. Заключительные положения

Дата принятия, порядок изменения, дата последней редакции. Обязательно проставьте конкретную дату, а не «редакция от 2026 года».

Какие шаблоны опасно брать не глядя

В интернете полно генераторов и готовых текстов. Половина из них устарела на 2-3 года, четверть писалась под Беларусь или Украину (это видно по терминологии), оставшиеся плохо адаптируются под конкретный бизнес.

Признаки опасного шаблона

Нет конкретных реквизитов оператора, висят плейсхолдеры типа <НАЗВАНИЕ ОРГАНИЗАЦИИ>. Если вы такое опубликовали, это автоматический штраф при первой же проверке.
Указаны цели, которых на сайте нет (например, «обработка платежей через эквайринг», а у вас только форма заявки). Лишние цели не страшны для штрафа, но при запросе субъекта вы должны будете объяснять, на каком основании собираете данные для несуществующей цели.
Не указаны цели, которые на сайте есть (например, у вас стоит Метрика, а в политике про неё ни слова). Это уже нарушение.
Сроки хранения «до достижения целей» без конкретики. Звучит юридически верно, но на практике РКН требует обозначения конкретного срока в годах.
Нет блока про cookies. Если на сайте Метрика, виджеты, ретаргет — обязательно нужно описать, что собирается через куки.
Отсылки к зарубежному законодательству (GDPR, CCPA). Это не вредно, но и не нужно для российского сайта малого бизнеса. Лишние отсылки заставляют думать, что текст копировали с европейского шаблона и не разбирали.

Как адаптировать шаблон правильно

Если вы взяли готовый текст (это нормальная практика), пройдитесь по такому чек-листу адаптации:

[ ] Подставлены реальные реквизиты оператора (ИП или юрлицо)
[ ] Цели соответствуют реальным формам и сервисам на сайте
[ ] Список собираемых данных полностью соответствует тому,
    что реально собирается каждой формой
[ ] Третьи лица перечислены поимённо (Метрика, JivoChat, CRM)
[ ] Сроки хранения проставлены конкретно в годах
[ ] Блок про cookies есть, если есть аналитика
[ ] Указан email/адрес для запросов от субъектов
[ ] Дата редакции стоит реальная
[ ] Текст прочитан целиком вслух и понятен без юридического образования

Последний пункт важный. Если вы сами не понимаете, что написано в политике, как объяснять её Роскомнадзору при проверке.

Куда положить файл и как выводить ссылку

Это техническая часть, но именно здесь чаще всего встречаются ошибки, которые превращают существующую политику в «формально нет».

Где разместить

Политика должна быть на сайте оператора, в открытом доступе, без авторизации. Не на стороннем хостинге документов, не в Google Docs, не в облачном хранилище. У себя на сайте, по постоянному URL.

Стандартный путь, к которому привыкли РКН и пользователи:

/privacy/,
/privacy-policy/,
/personal-data/,
/politika-konfidencialnosti/.

Любой из этих вариантов нормален. Главное чтобы URL не менялся со временем. Если когда-нибудь измените, поставьте 301-редирект со старого на новый.

Технически это либо отдельная страница в CMS (в WordPress — обычная Page, в Битриксе — страница в структуре, в Tilda — публикация со своим URL), либо статический HTML/PDF, отдаваемый по постоянному адресу. Я предпочитаю именно страницу в CMS, потому что её удобнее редактировать без редеплоя.

Как ссылаться

Минимум:

ссылка в подвале сайта на каждой странице (включая страницы оформления заказа, а не только на главной),
ссылка рядом с чекбоксом согласия в каждой форме (иначе согласие недействительно),
ссылка в футере писем рассылки, если рассылка есть.

Пример блока чекбокса в форме:

<label class="form-consent">
  <input type="checkbox" name="consent" value="1" required>
  Я согласен(а) с
  <a href="/privacy/" target="_blank">политикой обработки
  персональных данных</a>
</label>

Чекбокс по умолчанию не отмечен (это требование — предустановленный отмеченный чекбокс по 152-ФЗ не считается согласием). Ссылка открывается в новой вкладке, чтобы пользователь мог почитать без потери введённых в форму данных.

Какие технические ошибки убивают политику

Файл загружен через wp-content/uploads/policy.pdf и ссылка в подвале ведёт сразу на PDF. Это работает, но РКН в проверках предпочитает HTML-страницы. Плюс PDF не индексируется поисковиком в полном тексте.
Страница есть, но в robots.txt стоит Disallow: /privacy/. Тогда поисковик не видит, что у вас политика опубликована, и судебные эксперты могут сослаться на это как на скрытое размещение.
Страница доступна только с авторизацией. Это нарушает требование открытого доступа.
Ссылка из формы ведёт на /privacy.html, а реально политика лежит на /privacy-policy/. 404 в момент клика — формально согласие недействительно.
Политика опубликована, но в чекбоксе ссылки нет, написано просто «Я согласен с обработкой ПДн». Это не согласие в смысле закона. Должна быть ссылка на конкретный документ.

Что добавить, если используете Метрику, виджеты, ретаргет, рассылки, CRM

Большинство шаблонов упускают этот блок. А именно он чаще всего вызывает вопросы у РКН и судебных экспертов.

Яндекс Метрика

Метрика собирает обезличенные данные о посещениях через cookies. С точки зрения закона это всё равно ПДн (ИП считает их таковыми), и нужно явно описать в политике:

На сайте используется сервис аналитики Яндекс.Метрика
от ООО "Яндекс". Метрика собирает обезличенные данные
о посещениях (IP-адрес, информация о браузере и устройстве,
страницы посещения, время и источник перехода) с помощью
файлов cookies.
Цель использования: анализ статистики посещаемости и
улучшение работы сайта. Передача третьему лицу: ООО "Яндекс"
в обезличенном виде. Подробнее: https://yandex.ru/legal/metrica_agreement/

Виджеты онлайн-консультанта

JivoChat, LiveTex, Talk-Me и другие. Они собирают переписку, имена, контакты прямо в свои базы. В политике нужно указать, что данные передаются третьему лицу-обработчику, и ссылку на политику этого сервиса.

Ретаргет и пиксели

Метрика-Целевой пиксель, рекламные пиксели VK, MyTarget, Top.Mail.Ru. Каждый из них упомянуть с целью использования.

Рассылки

Если есть форма подписки на рассылку, нужно отдельное согласие на получение рекламной информации (статья 18 ФЗ «О рекламе»). Это должен быть отдельный чекбокс, не зашитый в общее согласие на обработку ПДн.

CRM-интеграции

Если данные из формы автоматически уходят в Битрикс24, AmoCRM, Bitrix-CRM или другие системы (включая иностранные, если такие используются) — это передача третьему лицу-обработчику. Обязательно описать в политике с указанием, кому и зачем.

Платёжные шлюзы

Если есть оплата на сайте — укажите, что данные карты не хранятся на вашем сервере, а передаются напрямую в платёжную систему (Tinkoff, ЮKassa, Robokassa, СБП). Это успокаивает и пользователей, и проверяющих.

Как поддерживать политику в актуальном состоянии

Политика — это не «сделал и забыл», а живой документ. Когда что-то меняется на сайте, нужно править и её.

Триггеры для обновления политики

Подключили новый виджет или сторонний сервис.
Добавили новую форму с другим набором полей.
Сменили CRM или запустили рассылку.
Поменяли реквизиты (юр. адрес, ОГРН после реорганизации).
Изменилось законодательство (за 2024-2025 годы было несколько правок 152-ФЗ).

При каждом обновлении проставляйте новую дату редакции в самом низу документа. Удобно держать историю версий в отдельном файле или в CMS (если CMS поддерживает версионирование контента).

Чек-лист ежегодной проверки

Раз в год пробежитесь по политике с такими вопросами:

Все ли формы и сервисы, что есть на сайте сейчас, упомянуты в политике?
Не осталось ли в политике упоминаний сервисов, которые вы давно сняли?
Реквизиты актуальные?
Сроки хранения соответствуют тому, как реально работает CRM и бэкапы?
Email и адрес для запросов всё ещё действующие?

Если хоть в одном пункте «нет» — политику надо править. Это занимает 1-2 часа максимум, и закрывает риск штрафа на годы вперёд.

Что в итоге сделать

Минимальный план:

Скачайте 2-3 свежих шаблона (с сайтов крупных юристов или из конструкторов вроде «ПД-Эксперт»). Не первый попавшийся.
Сравните, перенесите в один документ всё, что относится к вашему типу сайта.
Подставьте реальные реквизиты оператора.
Перечислите все формы и сервисы, которые реально есть на сайте.
Опубликуйте по постоянному URL /privacy/ (или похожему).
Поставьте ссылку в подвал и в каждый чекбокс согласия.
Подайте нотификацию в РКН (если ещё не подано), это бесплатно через сайт pd.rkn.gov.ru.
Поставьте напоминание на год для проверки актуальности.

Если сайт не очень сложный (визитка плюс форма заявки), вся работа займёт 3-5 часов. Если магазин с CRM, рассылками и виджетами, лучше потратить день или взять юриста на разовую консультацию (10-20 тысяч рублей).

Если хотите, чтобы я посмотрел вашу текущую политику и форму, проверил, нет ли в них типичных ошибок (отсутствие чекбокса, недействующая ссылка, не указанные сервисы), напишите через форму. Аудит обычно занимает час и стоит дешевле штрафа. Если ищете подрядчика на постоянное обслуживание с включённым юридическим аудитом раз в полгода, посмотрите тарифы. Другие материалы про 152-ФЗ, согласия и интеграции — в рубрике legal-and-integrations.

Частые вопросы

Нужна ли политика конфиденциальности сайту

Нужна, если сайт собирает хоть какие-то данные посетителей: форма заявки, обратный звонок, подписка, даже счётчик аналитики. Требования к документу вытекают из 152-ФЗ.

Что должно быть в политике

Кто оператор и его реквизиты, какие данные собираются, зачем, сколько хранятся, кому передаются, как отозвать согласие и куда писать запрос. Пункт про передачу третьим лицам нужен всем, кто использует аналитику и виджеты.

Можно ли взять готовый шаблон

Как основу можно. Дальше шаблон приводят к своему сайту: подставляют реквизиты оператора, перечисляют реальные формы и сервисы, из которых уходят данные, вычёркивают пункты про то, чего у вас нет. Самая частая находка при проверке чужого шаблона это упоминание сервисов, которыми владелец никогда не пользовался, и отсутствие того единственного, который у него стоит. Чужая политика с чужими данными не защищает.

Как часто обновлять политику

Каждый раз, когда появляется новая форма, новый сервис аналитики или новый получатель данных. На запрос субъекта закон отводит 30 дней, и к этому моменту документ должен описывать реальность.