Политика конфиденциальности и политика обработки: чем отличаются
Закон знает один документ, определяющий политику оператора. «Политика конфиденциальности» и «политика обработки» — названия на практике. Разбираем, один документ или два нужны на сайте и что проверить.
Коротко: по закону документ один — «документ, определяющий политику оператора в отношении обработки персональных данных» (ст. 18.1 ФЗ-152). «Политика конфиденциальности» и «политика обработки персональных данных» — два названия этого документа на практике. Закон требует содержания и публикации, а название выбирает оператор. Два разных публичных документа с разными сведениями создают риск расхождений, поэтому на сайте мы советуем держать один текст.
Главное
- В законе одно название: документ, определяющий политику оператора (п. 2 ч. 1, ч. 2 ст. 18.1; ч. 3 ст. 13.11 КоАП).
- «Политики конфиденциальности» как термина в сверенных нами статьях нет. Это название из практики.
- Название не важно, важно содержание: цели, данные, основания, сроки, права, меры защиты.
- Закон требует опубликовать документ, определяющий политику, и сведения о защите на страницах, где идёт сбор (ч. 2 ст. 18.1). Наша рекомендация: один текст и одна ссылка.
- Согласие, пользовательское соглашение и положение — другие документы, они политику не заменяют.
Что называет закон
В статье 18.1 ФЗ-152 документ описан по содержанию. Пункт 2 части 1 говорит о документах, определяющих политику оператора в отношении обработки персональных данных, часть 2 обязывает опубликовать «документ, определяющий его политику», а часть 3 статьи 13.11 КоАП устанавливает штраф за неопубликование такого документа. Названия «политика конфиденциальности» нет ни в одном из этих текстов.
Слово «конфиденциальность» в законе связано с другим. Статья 7 обязывает операторов и иных лиц, получивших доступ к данным, не раскрывать их третьим лицам и не распространять без согласия, если иное не предусмотрено федеральным законом. Это обязанность хранить данные в тайне. Названием документа она не является. По нашему прочтению, «конфиденциальность» в заголовке отражает лишь одну из тем политики, а сам документ шире: цели, основания, сроки, права, меры защиты.
Как называют документ на практике и что за этим стоит
| Название на сайте | Что это по закону | Что делать |
|---|---|---|
| Политика в отношении обработки персональных данных | Документ по статье 18.1 | Подходит, если в нём есть нужное содержание |
| Политика конфиденциальности | То же самое, если внутри те же сведения | Подходит; проверьте содержание, а не название |
| «Политика конфиденциальности» на полстраницы: «мы не передаём ваш e-mail» | По нашему прочтению, не закрывает часть 2 статьи 18.1: нет целей, оснований, сроков, прав | Дополнить до полного текста |
| Пользовательское соглашение | Договорный документ между сайтом и пользователем | Не политика, нужен отдельно, если вы его используете |
| Согласие на обработку | Отдельный документ, который даёт человек (ч. 1 ст. 9) | Не вшивать в политику |
| Положение об обработке персональных данных | Внутренний локальный акт (п. 2 ч. 1 ст. 18.1) | Не публиковать вместо политики |
Про пользовательское соглашение мы пишем отдельно: пользовательское соглашение сайта и его отличие от политики. Про положение — в статье о положении об обработке персональных данных.
Один документ или два
Вопрос обычно звучит так: «У нас на сайте политика конфиденциальности, а юрист говорит, что нужна ещё политика обработки. Нужны оба?» Три случая.
- Один публичный документ под любым названием. Самый простой путь. Он закрывает часть 2 статьи 18.1, если в нём есть нужные сведения. Это наша рекомендация.
- Публичная политика плюс внутренний локальный акт. Это два разных по назначению документа, а не два названия одного. Закон различает политику и локальные акты (п. 2 ч. 1 ст. 18.1). Работников знакомят с документами работодателя, которые устанавливают порядок обработки их данных, под роспись (п. 8 ст. 86 ТК).
- Два публичных документа с разными названиями. Запрета на это мы в тексте закона не нашли. Риск в другом: два текста легко разойдутся. Сведения на сайте сравнивают с уведомлением (приказ Минцифры № 720 от 17.08.2023: три и более факта несоответствия — индикатор риска), и чем больше документов, тем выше шанс несовпадения. Если без двух не обойтись, делайте их одинаковыми по сведениям.
Как назвать документ и что проверить
- Название. Наша рекомендация: «Политика в отношении обработки персональных данных». Оно повторяет язык закона. Если на сайте давно висит «Политика конфиденциальности», можно оставить и добавить в заголовок пояснение в скобках.
- Одна ссылка. Из подвала и из форм ведёт один и тот же адрес. Как размещать, разобрано в статье о размещении политики на сайте.
- Содержание. Сверьтесь с таблицей разделов в хабе о политике обработки персональных данных: оператор, цели, основания, данные, сроки, передача, права, меры защиты.
- Нет согласия внутри. Фраза «используя сайт, вы согласны» делает согласие частью другого документа. С 1 сентября 2025 года согласие оформляют отдельно (ч. 1 ст. 9). См. о согласии на сайте.
- Нет лишних ограничений. Документ не может ограничивать права людей и возлагать на оператора не предусмотренные законом обязанности (п. 2 ч. 1 ст. 18.1).
Полный текст с вымышленными данными — в статье об образце политики для сайта. Типичные промахи собраны в обзоре об ошибках в политике.
Что будет, если путаница осталась
Само название штрафа не влечёт: часть 3 статьи 13.11 КоАП наказывает за неопубликованный документ или неопубликованные сведения о защите. Для организаций это 30–60 тыс. ₽, для ИП 10–20 тыс. ₽, для должностных лиц 6–12 тыс. ₽, для граждан 1,5–3 тыс. ₽. Спорить придётся о другом: есть ли на странице сбора документ с нужными сведениями. Название «конфиденциальности» вместо «обработки» этот вопрос не решает ни в одну сторону. Общий порядок подготовки сайта — в статье о подготовке сайта к проверке Роскомнадзора и в обзоре о персональных данных на сайте.
Как мы помогаем
ФТИ работает по всей России, дистанционно. По теме этой статьи у нас три варианта, все с ценой на странице услуги.
- Аудит сайта на 152-ФЗ — 4 900 ₽. Смотрим, какие документы стоят на сайте, достаточно ли их содержания и доступны ли они со всех страниц сбора. Отчёт за 3 рабочих дня. Оферту и пользовательское соглашение мы отдельным документом не разрабатываем, но в аудите проверяем политику и согласия, в том числе там, где на них ссылаются оферта или соглашение.
- Документы для сайта — 3 900 ₽ там же: политика, согласия для форм, уведомление об использовании cookie.
- Документы по 152-ФЗ — 9 900 ₽: политика, согласия, локальные акты, перечни, инструкции и журналы под вашу ситуацию, правки до вашего «принимаю».
Весь комплект, который закон называет и который складывается из практики, разобран в хабе о документах по персональным данным.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, политика и её публикация
- Федеральный закон № 152-ФЗ, статья 7 — конфиденциальность персональных данных
- Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта, отдельное оформление
- КоАП РФ, статья 13.11 — штраф за неопубликованный документ о политике, часть 3
- Трудовой кодекс РФ, статья 86 — ознакомление работников с документами под роспись
Частые вопросы
Чем политика конфиденциальности отличается от политики обработки персональных данных?
По закону ничем: закон знает один документ, определяющий политику оператора в отношении обработки персональных данных (ст. 18.1). «Политика конфиденциальности» — название, которое используют на практике. Важно содержание документа и его публикация.
Нужны ли на сайте оба документа?
Закон двух документов не требует. Достаточно одного с нужным содержанием, опубликованного на страницах сбора. Если на сайте уже есть оба, следите, чтобы сведения в них совпадали друг с другом и с уведомлением.
Как правильно назвать документ?
Закон название не устанавливает. Наша рекомендация: «Политика в отношении обработки персональных данных», потому что так сказано в статье 18.1. Историческое название «Политика конфиденциальности» можно оставить, если содержание полное.
Можно ли заменить политику пользовательским соглашением?
Нет. Пользовательское соглашение — договорный документ, а политика — публичный документ по статье 18.1. Они решают разные задачи, и один не заменяет другой.
Можно ли вшить согласие в политику?
Так делать не стоит: с 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов (ч. 1 ст. 9). Для форм делают отдельный текст согласия и отдельную галочку.
Чем политика отличается от положения об обработке?
Политика публичная, её публикуют для всех (ч. 2 ст. 18.1). Положение — внутренний локальный акт для работников, его хранят у оператора, а работников знакомят с ним под роспись (п. 8 ст. 86 ТК).
Штрафуют ли за неправильное название документа?
Мы не нашли в законе такого состава. Часть 3 статьи 13.11 КоАП наказывает за неопубликование документа, определяющего политику, или сведений о защите. Для организаций 30–60 тыс. ₽, для ИП 10–20 тыс. ₽.
Что проверяют при сверке сайта с уведомлением?
Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: сравнивают сведения в уведомлениях и на сайте по части 2 статьи 18.1, три и более факта несоответствия — индикатор. Перечня расхождений в приказе нет, поэтому сверяйте цели, данные, место хранения и ответственного.
Сколько стоит привести документы на сайте в порядок?
Аудит сайта на 152-ФЗ — 4 900 ₽, документы для сайта (политика, согласия для форм, уведомление об использовании cookie) — 3 900 ₽, пакет документов по 152-ФЗ — 9 900 ₽. Пакет «Старт» с уведомлением — 14 900 ₽ вместо 18 700 ₽.