Политика обработки персональных данных: что требует закон и как её составить
Что такое политика обработки персональных данных, кто обязан её публиковать и что на самом деле требует закон. Рекомендуемая структура документа, отличие от согласия и уведомления, политика для ИП и медорганизации.
Коротко: политика обработки персональных данных — это документ, в котором оператор открыто объясняет, какие данные он собирает, зачем, на каком основании и как их защищает. Закон называет его «документом, определяющим политику оператора в отношении обработки персональных данных». Опубликовать его должен любой оператор: если данные собирают через сайт, документ размещают на страницах, где идёт сбор (ч. 2 ст. 18.1 ФЗ-152). Структуру по пунктам закон не задаёт, поэтому состав документа ниже — наша рекомендация.
Главное о политике
- Обязанность: опубликовать документ или иным образом обеспечить к нему неограниченный доступ (ч. 2 ст. 18.1).
- Где: при сборе данных через интернет — на страницах сайта, с помощью которых идёт сбор.
- Состав: закон его по пунктам не называет. Разделы из таблицы ниже — наша рекомендация.
- Чего нельзя: ограничивать права людей и возлагать на оператора лишние обязанности (п. 2 ч. 1 ст. 18.1).
- Согласие отдельно: в политику его не вшивают (ч. 1 ст. 9).
- Штраф за неопубликованную политику: ч. 3 ст. 13.11 КоАП, для организаций 30–60 тыс. ₽, для ИП 10–20 тыс. ₽.
Что такое политика и что требует закон
Слова «политика конфиденциальности» в сверенных нами статьях закона не встречаются. Закон говорит о «документе, определяющем политику оператора в отношении обработки персональных данных». Основные нормы о нём собраны в одной статье — 18.1.
- Часть 1, пункт 2. Оператор-юридическое лицо издаёт документы, определяющие политику, и локальные акты по вопросам обработки. Локальные акты определяют для каждой цели категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения. Такие документы не могут ограничивать права субъектов и возлагать на операторов не предусмотренные законом обязанности.
- Часть 2. Оператор обязан опубликовать политику и сведения о реализуемых требованиях к защите данных. При сборе через интернет — на страницах сайта, с использованием которых собирают данные, и обеспечить доступ к документу средствами сети.
- Часть 4. По запросу Роскомнадзора оператор обязан представить эти документы и локальные акты.
Что из этого следует на практике. Политика — публичный документ для людей и для проверяющего. Внутренние правила для работников лежат в локальных актах. По нашему прочтению, политика собирает те сведения, которые оператор всё равно обязан дать человеку по его запросу (ч. 7 ст. 14) и регулятору в уведомлении (ч. 3 и 3.1 ст. 22).
Кто обязан публиковать политику
| Оператор | Издать документы (п. 2 ч. 1 ст. 18.1) | Опубликовать (ч. 2 ст. 18.1) | Штраф за неопубликование (ч. 3 ст. 13.11) |
|---|---|---|---|
| Организация (ООО, АО) | Да: пункт говорит об операторе-юридическом лице | Да | 30–60 тыс. ₽; должностное лицо 6–12 тыс. ₽ |
| Индивидуальный предприниматель | Пункт 2 написан про юридическое лицо | Да, по нашему прочтению: часть 2 говорит об «операторе» без такой оговорки | 10–20 тыс. ₽ (в части 3 у ИП своя строка) |
Размер бизнеса значения не имеет. Если у организации или предпринимателя есть форма, чат или онлайн-запись, он оператор (п. 2 ст. 3). Подробнее о сайтах — в статье о персональных данных на сайте.
Что закон требует от самого документа — в таблице.
| Требование | Норма |
|---|---|
| Опубликовать или иным образом обеспечить неограниченный доступ | Ч. 2 ст. 18.1 |
| При сборе через интернет — на страницах сайта, где идёт сбор | Ч. 2 ст. 18.1 |
| Дать возможность открыть документ средствами сети | Ч. 2 ст. 18.1 |
| Опубликовать и сведения о реализуемых требованиях к защите | Ч. 2 ст. 18.1 |
| Не ограничивать права людей, не возлагать на оператора лишнего | П. 2 ч. 1 ст. 18.1 |
| Представить по запросу Роскомнадзора | Ч. 4 ст. 18.1 |
Всё остальное — практика: порядок разделов, объём, язык, формат файла. Где размещать ссылки, разобрано в статье о размещении политики на сайте.
Из чего состоит политика: рекомендуемая структура
Закон не говорит: «политика состоит из таких-то разделов». В части 1 и 2 статьи 18.1 такого перечня нет. Ниже — наша рекомендация. В колонке «Опора» указано, из какой нормы взято содержание: это сведения, которые оператор и так сообщает человеку или регулятору.
| Раздел | Что написать | Опора |
|---|---|---|
| 1. Общие положения | Кто оператор, на что распространяется документ, дата редакции | Практика |
| 2. Оператор и контакты | Наименование, адрес, e-mail для обращений, ответственный | П. 4 ч. 7 ст. 14; ч. 3 ст. 22 |
| 3. Цели | Каждая цель отдельно и конкретно: «ответ на заявку», а не «ведение деятельности» | Ч. 2 ст. 5; ч. 3.1 ст. 22 |
| 4. Основания | На каком основании из статьи 6 обрабатываете по каждой цели | Ст. 6; п. 2 ч. 7 ст. 14 |
| 5. Данные и субъекты | Какие данные и чьи, по каждой цели | П. 2 ч. 1 ст. 18.1; ч. 3.1 ст. 22 |
| 6. Действия и способы | Сбор, хранение, передача; с автоматизацией или без | Ч. 3.1 ст. 22; п. 3 ч. 7 ст. 14 |
| 7. Сроки и уничтожение | Сколько хранятся данные и как их уничтожают | П. 2 ч. 1 ст. 18.1; ч. 7 ст. 5; ст. 21 |
| 8. Передача | Кому передаёте и кто обрабатывает по поручению | Ч. 3 ст. 6; п. 4 и 9 ч. 7 ст. 14 |
| 9. Трансграничная передача | Есть или нет; если есть, в какие страны | Ст. 12; п. 8 ч. 7 ст. 14 |
| 10. Место хранения базы | Базы граждан России на территории России | Ч. 5 ст. 18; п. 10.1 ч. 3 ст. 22 |
| 11. Меры защиты | Общими словами, без технических подробностей | Ч. 2 ст. 18.1; ст. 19 |
| 12. Права и обращения | Какие права у человека, куда писать, в какие сроки отвечаете | Ст. 14, 17, 20, 21 |
| 13. Изменения | Где публикуется новая редакция, как узнать дату | Практика |
Полный текст такой политики для сайта с вымышленными данными — в статье об образце политики для сайта. Фразы вроде «пользователь отказывается от права требовать удаления» в политику не пишут: они ограничивают права человека, а пункт 2 части 1 статьи 18.1 это запрещает. Для работников есть и отдельная гарантия: они не должны отказываться от своих прав на сохранение и защиту тайны (п. 9 ст. 86 ТК).
Политика, согласие, уведомление и положение: в чём разница
| Документ | Кому адресован | Что говорит закон |
|---|---|---|
| Политика | Всем: людям и проверяющему | Публикуется (ч. 2 ст. 18.1) |
| Согласие | Конкретному человеку | Оформляется отдельно от иных документов; доказывает получение оператор (ч. 1 и 3 ст. 9) |
| Уведомление | Роскомнадзору | Подаётся до начала обработки, сведения по каждой цели (ч. 1, 3 и 3.1 ст. 22) |
| Положение об обработке | Работникам оператора | Локальный акт (п. 2 ч. 1 ст. 18.1); работников знакомят с документами под роспись (п. 8 ст. 86 ТК) |
Политика не заменяет согласие. Строка «пользуясь сайтом, вы соглашаетесь с политикой» делает согласие частью другого документа. С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов (ч. 1 ст. 9 в редакции ФЗ № 156 от 24.06.2025). Как оформить, разобрано в хабе о согласии на обработку и в статье о согласии на сайте. Чем «политика конфиденциальности» отличается от «политики обработки» по названию, объясняет статья о двух названиях одного документа.
Сверка с уведомлением и цена ошибки
Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: сведения из уведомлений (об обработке и о трансграничной передаче) сравнивают со сведениями на сайте оператора по части 2 статьи 18.1, то есть с политикой и сведениями о защите. Индикатор риска срабатывает при трёх и более фактах несоответствия. Перечня того, что считается расхождением, в приказе нет.
Поэтому наша рекомендация: перед публикацией сверить пять вещей.
- Цели. Те же формулировки и то же число целей, что в уведомлении.
- Категории данных и субъектов. Нет данных, которые в политике есть, а в уведомлении нет.
- Место базы и трансграничная передача. Если аналитика или рассылка за рубежом, это видно в обоих документах.
- Ответственный. Контакты в политике и в уведомлении одинаковы.
- Меры защиты. Описание в политике не шире и не уже того, что вы сообщили.
Если уведомление не подавали, начните с него: об уведомлении об обработке и страница услуги уведомление в Роскомнадзор под ключ за 4 900 ₽. Сайт перед проверкой готовят по статье о подготовке сайта к проверке.
Что будет, если политики нет.
За неопубликованную политику и неопубликованные сведения о защите данных статья 13.11 КоАП (часть 3) предусматривает штраф. Для граждан он составляет от 1 500 до 3 000 ₽, для должностных лиц — от 6 000 до 12 000 ₽, для индивидуальных предпринимателей — от 10 000 до 20 000 ₽, для организаций — от 30 000 до 60 000 ₽. Срок давности по делам о нарушении законодательства о персональных данных — один год (ст. 4.5 КоАП); по длящемуся нарушению срок считают со дня обнаружения (ч. 2 ст. 4.5).
Эти суммы не равны всему риску: если политики нет, нет и порядка, по которому оператор отвечает на запросы и уничтожает данные. Тогда по обстоятельствам дела возможны и другие части статьи 13.11, о них — в обзоре о штрафах за персональные данные. Паниковать не нужно: политику можно составить и опубликовать за несколько рабочих дней.
Политика для индивидуального предпринимателя
Предприниматель — оператор, если обрабатывает данные клиентов, работников или посетителей сайта (п. 2 ст. 3). Три вывода из текста закона.
- Политика нужна. Часть 2 статьи 18.1 обязывает оператора опубликовать документ. В части 3 статьи 13.11 КоАП для ИП предусмотрена своя строка штрафа: 10–20 тыс. ₽.
- Ответственный не обязателен. Статья 22.1 и пункт 1 части 1 статьи 18.1 говорят об операторе, являющемся юридическим лицом. Назначить такого человека предприниматель вправе по своему желанию, закон этого не требует.
- Локальные акты. Пункт 2 части 1 статьи 18.1 тоже адресован юридическому лицу. Отдельный набор локальных актов от ИП закон прямо не требует, но политика нужна, а согласия — там, где основанием служит согласие.
Предприниматель с наёмными работниками добавляет обычные кадровые документы: знакомит людей с правилами под роспись (п. 8 ст. 86 ТК). Об уведомлении для ИП — в статье об уведомлении для индивидуального предпринимателя.
Политика в медицинской организации
Здесь важен только стык с врачебной тайной. Сведения о состоянии здоровья относятся к специальным категориям (ч. 1 ст. 10). Обработка допустима, в частности, с письменного согласия (п. 1 ч. 2 ст. 10) и в медико-профилактических целях, для установления диагноза и оказания услуг, если данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну (п. 4 ч. 2 ст. 10).
Врачебную тайну составляют сведения о факте обращения за помощью, состоянии здоровья, диагнозе и иные сведения, полученные при обследовании и лечении (ч. 1 ст. 13 ФЗ-323). Разглашать их другим гражданам можно, как общее правило, с письменного согласия пациента (ч. 3 ст. 13 ФЗ-323). Что отразить в политике, наша рекомендация: цели («запись на приём», «ведение медицинской документации»), основание по каждой цели, кто имеет доступ, что данные охраняются как врачебная тайна. Согласие на обработку данных и информированное добровольное согласие на вмешательство — разные документы, их, по нашему прочтению ч. 1 ст. 9, не склеивают. Подробно — в статье о медицинском согласии и в разделе про медицинские организации в статье о политике школы.
Темы кластера: куда читать дальше
- Образец политики для сайта — полный текст с вымышленными данными и разбором.
- Политика конфиденциальности и политика обработки — один документ или два.
- Что проверить в политике в 2026 году — изменения закона.
- Где разместить политику на сайте — подвал, формы, регистрация.
- Политика интернет-магазина — заказ, доставка, платежи.
- Политика для ООО — ответственный и локальные акты.
- Пользовательское соглашение сайта — чем оно отличается от политики.
- Публичная оферта на сайте — стык договора и персональных данных.
- Ошибки в политике — что чаще всего не так.
- Политика школы и детского сада — дети и родители.
- Как обновить политику — когда и как менять редакцию.
- Документы по персональным данным — хаб комплекта: что обязательно, а что практика.
Как мы помогаем
ФТИ ведёт услуги по персональным данным по всей России, дистанционно. Что получите по каждой странице услуги.
- Аудит сайта на 152-ФЗ — 4 900 ₽. Проверяем формы, политику, сторонние сервисы и сверяем сайт с вашим уведомлением. Отчёт за 3 рабочих дня.
- Документы для сайта — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie. На той же странице услуги.
- Документы по 152-ФЗ — 9 900 ₽. Разбор, политика для сайта и точек сбора, согласия, локальные акты, перечни, инструкции, журналы. Правки до вашего «принимаю».
- Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление, документы и документы для сайта одним договором.
Размещение на сайте делаете вы или ваш вебмастер. Если нужно сделать за вас, это входит в услугу устранения нарушений от 9 900 ₽ на странице аудита. Курс «Защита персональных данных» — повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО; на программу принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 ФЗ-273). Готовых документов курс не выдаёт и уведомление не подаёт.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, политика, публикация документа
- Федеральный закон № 152-ФЗ, статья 22.1 — ответственные за организацию обработки в организациях
- Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных
- Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта, отдельное оформление
- Федеральный закон № 152-ФЗ, статья 14 — право субъекта на доступ, состав сведений
- Федеральный закон № 152-ФЗ, статья 10 — специальные категории персональных данных
- Федеральный закон № 323-ФЗ, статья 13 — соблюдение врачебной тайны
- КоАП РФ, статья 13.11 — нарушение законодательства о персональных данных, часть 3
- КоАП РФ, статья 4.5 — давность привлечения к административной ответственности
- Трудовой кодекс РФ, статья 86 — общие требования при обработке персональных данных работника
Частые вопросы
Что такое политика обработки персональных данных?
Это публичный документ оператора: какие данные он собирает, с какой целью, на каком основании, как защищает и как человек может обратиться. В законе он назван документом, определяющим политику оператора в отношении обработки персональных данных (ст. 18.1 ФЗ-152).
Кто обязан иметь и публиковать политику?
Любой оператор обязан опубликовать документ или иным образом обеспечить неограниченный доступ к нему (ч. 2 ст. 18.1). Если данные собирают через сайт, документ размещают на страницах сайта, где идёт сбор. Для ИП в части 3 статьи 13.11 КоАП есть отдельная строка штрафа.
Есть ли обязательная форма или структура политики?
Нет. Закон не утверждает форму и не перечисляет разделы документа по пунктам. Структура из этой статьи — наша рекомендация, собранная из сведений, которые оператор и так сообщает человеку и Роскомнадзору.
Чем политика отличается от согласия на обработку?
Политика публикуется для всех, согласие даёт конкретный человек. С 1 сентября 2025 года согласие оформляется отдельно от иных документов, поэтому его не вшивают в политику (ч. 1 ст. 9).
Нужна ли политика индивидуальному предпринимателю?
Да, если он обрабатывает персональные данные: ч. 2 ст. 18.1 говорит об операторе, а в части 3 статьи 13.11 КоАП для ИП предусмотрен штраф 10–20 тыс. ₽. Ответственного за обработку ИП назначать не обязан: статья 22.1 адресована юридическому лицу.
Какой штраф за отсутствие политики на сайте?
По части 3 статьи 13.11 КоАП: граждане 1 500–3 000 ₽, должностные лица 6 000–12 000 ₽, ИП 10 000–20 000 ₽, организации 30 000–60 000 ₽. Срок давности — один год (ст. 4.5 КоАП), по длящемуся нарушению со дня обнаружения.
Должны ли политика и уведомление в Роскомнадзор совпадать?
Да, это важно. Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: сведения из уведомлений (об обработке и о трансграничной передаче) сравнивают со сведениями на сайте, три и более факта несоответствия — индикатор риска. Перечня расхождений в приказе нет, поэтому сверяйте цели, данные, место базы, ответственного и меры.
Что делать медицинской организации?
Те же правила плюс врачебная тайна. Сведения о здоровье — специальная категория (ст. 10 ФЗ-152), врачебную тайну охраняет статья 13 ФЗ-323. В политике укажите цели, основания и круг лиц с доступом, а согласие на обработку и информированное добровольное согласие оформляйте отдельными документами.
Сколько стоит подготовка политики для сайта?
Документы для сайта (политика, согласия для форм, уведомление об использовании cookie) — 3 900 ₽ на странице аудита сайта. Весь комплект под ваш бизнес — пакет документов по 152-ФЗ за 9 900 ₽ с правками до вашего «принимаю», пакет «Старт» — 14 900 ₽.