Персональные данные

Политика обработки персональных данных в 2026 году: что проверить

Редактор ФТИ 7 октября 2026 8 мин чтения

Коротко

Единой формы политики 2026 года нет. Разбираем, какие смежные нормы менялись: отдельное согласие, базы в России, трансграничная передача, цели по уведомлению. Список проверки с нормой по каждому пункту.

Коротко: единой «политики 2026» не существует. Закон не утверждает форму документа, а текст статьи 18.1, где о политике сказано, после 2022 года не менялся. Менялись соседние нормы: согласие оформляют отдельно (с 1 сентября 2025 года), базы граждан России хранят в России, трансграничная передача требует отдельного уведомления, сведения в уведомлении указывают по каждой цели. Политику стоит сверить именно с ними. Ниже список проверки с нормой по каждому пункту, состояние на октябрь 2026 года.

Отчёт с нормой и приоритетом по каждому пункту за 3 рабочих дня · если нарушений нет, так и напишем

Аудит сайта на 152-ФЗ — 4 900 ₽: сверим политику, формы и сервисы с уведомлением

Проверить мой сайт →

Что проверить в политике в 2026 году

Согласие отдельно: в политике нет фраз «используя сайт, вы соглашаетесь» (ч. 1 ст. 9).
Цели: каждая отдельно; в уведомлении цели указывают по ч. 3.1 ст. 22, держать их согласованными с политикой — наша рекомендация.
Место базы: граждане России, база в России (ч. 5 ст. 18).
Зарубежные сервисы: если есть, нужна отдельная процедура (ст. 12).
Права и сроки: раздел о правах совпадает со ст. 14 и 21.
Версия и дата: видно, какая редакция действует.

Что не изменилось: обязанность и её содержание

Обязанность опубликовать политику закреплена в части 2 статьи 18.1. В тексте, который мы сверяли на consultant.ru, последние изменения пунктов 2 и 5 части 1 и части 2 отмечены ФЗ № 266 от 14.07.2022. Отдельного требования к разделам политики закон не добавлял: перечня разделов по пунктам в статье 18.1 нет. Поэтому слова «политика по новой форме 2026» — маркетинг, а не норма.

Размер штрафа за отсутствие политики тоже прежний: часть 3 статьи 13.11 КоАП в редакции ФЗ № 19 от 24.02.2021. Организации 30–60 тыс. ₽, ИП 10–20 тыс. ₽, должностные лица 6–12 тыс. ₽, граждане 1,5–3 тыс. ₽.

Что изменилось в соседних нормах

Норма	Чем изменена	Что проверить в политике
Ч. 1 ст. 9: согласие	ФЗ № 156 от 24.06.2025; согласие оформляется отдельно от иных документов (с 1 сентября 2025 года)	Нет «согласия по умолчанию» внутри политики; согласие дано отдельным текстом
Ч. 5 ст. 18: базы данных в России	ФЗ № 23 от 28.02.2025; исключения названы в пунктах 2, 3, 4 и 8 части 1 статьи 6	Раздел о месте хранения верен, совпадает с уведомлением (п. 10.1 ч. 3 ст. 22)
Ст. 12: трансграничная передача	ФЗ № 265 от 26.07.2026 изменил части 2, 5, 10 и 11	Если сервис за рубежом, это указано в политике и в уведомлении
Ч. 3.1 ст. 22: сведения по каждой цели	ФЗ № 266 от 14.07.2022	Цели в политике и в уведомлении одинаковы по числу и смыслу
П. 9.1 ч. 7 ст. 14: способы исполнения ст. 18.1	ФЗ № 266 от 14.07.2022	Раздел о правах: человек вправе узнать, как оператор выполняет статью 18.1
Ч. 3.1 ст. 21: инцидент	ФЗ № 266 от 14.07.2022; 24 часа и 72 часа	В политике не обязателен, но поручения обработчикам должны требовать уведомления об инциденте (ч. 3 ст. 6)
П. 5 ч. 1 ст. 18.1: оценка вреда	ФЗ № 266 от 14.07.2022; требования устанавливает Роскомнадзор	Закон не требует публиковать саму оценку в политике; не обещайте в ней мер, которых нет

Прежние редакции доступны на consultant.ru по ссылкам «см. текст в предыдущей редакции». Мы их не пересказываем и опираемся на действующий текст.

Список проверки политики: десять вопросов

Нет согласия внутри. Политика не заканчивается фразой, которая считается согласием. Согласие отдельно (ч. 1 ст. 9). См. о согласии с 1 сентября 2025 года.
Цели конкретны. «Ответ на заявку», «исполнение договора», «рассылка», а не «деятельность организации».
Цели совпадают с уведомлением. Для каждой цели в уведомлении свои категории данных, субъектов, основание, действия и способы (ч. 3.1 ст. 22).
Основание указано по каждой цели (ст. 6).
Сроки и уничтожение. Срок хранения по каждой цели и порядок уничтожения. Сроки статьи 21: 3 рабочих дня на прекращение неправомерной обработки, 10 рабочих дней на уничтожение, 30 дней после достижения цели или отзыва согласия, 10 рабочих дней по требованию о прекращении (ч. 3, 4, 5, 5.1).
Место базы. Базы граждан России в России (ч. 5 ст. 18).
Зарубежные сервисы. Аналитика, чат, рассылка, облако: есть ли передача за границу. Если есть, ст. 12 и отдельное уведомление.
Обработчики. Кто обрабатывает по поручению, названы ли категории или наименования (ст. 6, ч. 3).
Права и сроки ответа. Десять рабочих дней и продление до пяти (ч. 3 ст. 14).
Дата и версия. Видно, какая редакция действует. См. о том, как обновить политику.

Трансграничная передача: на что обратить внимание

Оператор обязан уведомить Роскомнадзор о трансграничной передаче до её начала, отдельно от уведомления по статье 22 (ч. 3 ст. 12). Перед подачей он получает от иностранного получателя сведения о мерах защиты и прекращении обработки, а для государств вне перечня ещё и сведения о правовом регулировании (ч. 5 ст. 12). Перечень государств, обеспечивающих адекватную защиту, утверждает Роскомнадзор (ч. 2 ст. 12).

На дату подготовки статьи мы исходим из следующего. Участие страны в Конвенции Совета Европы № 108 само по себе льготы не даёт, значение имеет перечень Роскомнадзора. Действует приказ № 128 от 05.08.2022, проект нового перечня от 31.07.2026 на 6 октября 2026 года не утверждён. Проверьте перечень на сайте Роскомнадзора до публикации политики: от него зависит, в какую сторону вы отвечаете на вопрос «куда уходят данные». Для государств вне перечня после подачи уведомления передавать данные до истечения срока рассмотрения нельзя, кроме защиты жизни и здоровья (ч. 11 ст. 12); срок решения — десять рабочих дней (ч. 9).

Подробнее — в статье об уведомлении о трансграничной передаче. Мы готовим такое уведомление и подаём вместе с вами за 6 900 ₽ (типовая передача): уведомление о трансграничной передаче под ключ.

Что не нужно делать

Переписывать политику «под 2026» без причины. Если цели, сервисы и база не менялись, достаточно сверки по списку выше.
Копировать чужую политику. Она описывает чужие цели и сервисы, и расхождение с вашим уведомлением будет видно.
Обещать лишнее. Фразы вроде «защита по высшему уровню» без реальных мер не нужны. Пишите меры общими словами и только те, что есть: описание в политике должно соответствовать действительности.
Забывать про уведомление. Изменились сведения (новый ответственный, цель, а также новый сервис, если он меняет трансграничную передачу, место базы или меры) — до 15-го числа месяца, следующего за месяцем изменений, подайте изменения (ч. 7 ст. 22). См. об изменении уведомления.

Что будет, если политику не сверили

Если политика и уведомление разошлись, это заметно при сверке. Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: три и более факта несоответствия сведений из уведомлений (об обработке и о трансграничной передаче) сведениям на сайте по части 2 статьи 18.1. Перечня расхождений в приказе нет. Если политики нет вовсе, применяется часть 3 статьи 13.11 КоАП. Срок давности — один год (ст. 4.5 КоАП). О подготовке сайта — в статье о подготовке сайта к проверке, об общей картине — в хабе о политике обработки персональных данных.

Изменения в реестре, обновление политики и согласий при изменении закона, сайта или систем, консультации, проверка сайта раз в полгода

Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год

Подключить сопровождение →

Как мы помогаем

Аудит сайта на 152-ФЗ — 4 900 ₽. Сверяем политику, формы, сервисы и место хранения с вашим уведомлением. Отчёт за 3 рабочих дня.
Документы для сайта — 3 900 ₽ на той же странице: политика, согласия для форм, уведомление об использовании cookie.
Сопровождение по персональным данным — 1 990 ₽ в месяц: обновляем политику, согласия и акты при изменении закона, сайта или систем. Помесячно можно остановить в любой момент.
Уведомление в Роскомнадзор — 4 900 ₽, если его ещё нет. Пакет «Старт» вместе с документами — 14 900 ₽ вместо 18 700 ₽.

Какие ещё документы нужны оператору, разобрано в хабе о документах по персональным данным, а как оформить согласие — в хабе о согласии на обработку.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Есть ли новая форма политики обработки персональных данных в 2026 году?

Нет. Закон не утверждает форму политики, а статья 18.1 о политике после 2022 года не менялась в тексте, который мы сверяли. Менялись смежные нормы, и политику стоит сверить с ними.

Что нужно добавить в политику в 2026 году?

Обычно ничего нового по форме. Проверьте, что согласие оформляется отдельно (ч. 1 ст. 9), цели совпадают с уведомлением (ч. 3.1 ст. 22), указано место хранения базы (ч. 5 ст. 18) и упомянута трансграничная передача, если она есть (ст. 12).

Нужно ли обновлять политику, если ничего не менялось?

Если цели, данные, сервисы и обработчики те же, а закон не требует нового содержания, переписывать документ не обязательно, это наша рекомендация. Достаточно сверить его по списку из статьи и при необходимости проставить дату проверки.

Что изменилось в согласии?

С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые подтверждает или подписывает человек (ч. 1 ст. 9, ФЗ № 156 от 24.06.2025). Поэтому согласие не вшивают в политику.

Что изменилось с трансграничной передачей?

ФЗ № 265 от 26.07.2026 изменил части 2, 5, 10 и 11 статьи 12. Само по себе участие страны в Конвенции Совета Европы № 108 льготы не даёт, значение имеет перечень Роскомнадзора. Проверьте действующий перечень на дату подготовки документов.

Должна ли политика совпадать с уведомлением?

Да, по смыслу и по сведениям. Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: три и более факта несоответствия между уведомлениями и сайтом. Перечня расхождений в приказе нет.

Какой штраф за отсутствие политики в 2026 году?

Часть 3 статьи 13.11 КоАП: организации 30–60 тыс. ₽, ИП 10–20 тыс. ₽, должностные лица 6–12 тыс. ₽, граждане 1,5–3 тыс. ₽. Размеры по части 3 не менялись с редакции ФЗ № 19 от 24.02.2021.

Нужно ли подавать изменения в Роскомнадзор после правки политики?

Если изменились сведения из уведомления (цели, ответственный, меры, место базы), нужно уведомить Роскомнадзор до 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). По нашему прочтению, правка формулировок без изменения сведений такой обязанности не создаёт.

Кто может обновлять политику за нас?

Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: подаём изменения в реестр и обновляем политику, согласия и акты при изменении закона, сайта или систем. Разовую проверку делает аудит сайта за 4 900 ₽.