# Политика обработки персональных данных: что требует закон и как её составить

> Источник: https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Что требует закон от политики обработки персональных данных: кто публикует, где, из чего состоит. Штраф по ч. 3 ст. 13.11. Документы для сайта — 3 900 ₽.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: политика обработки персональных данных — это документ, в котором оператор открыто объясняет, какие данные он собирает, зачем, на каком основании и как их защищает.** Закон называет его «документом, определяющим политику оператора в отношении обработки персональных данных». Опубликовать его должен любой оператор: если данные собирают через сайт, документ размещают на страницах, где идёт сбор (ч. 2 ст. 18.1 ФЗ-152). Структуру по пунктам закон не задаёт, поэтому состав документа ниже — наша рекомендация.

 

Тексты готовы к публикации · если нужен полный комплект, есть пакет документов по 152-ФЗ за 9 900 ₽

 

Документы для сайта — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie

 

[Заказать документы для сайта →](https://ftex.pro/audit-sajta-152-fz/)

 

**Главное о политике**

 

- **Обязанность:** опубликовать документ или иным образом обеспечить к нему неограниченный доступ (ч. 2 ст. 18.1).
- **Где:** при сборе данных через интернет — на страницах сайта, с помощью которых идёт сбор.
- **Состав:** закон его по пунктам не называет. Разделы из таблицы ниже — наша рекомендация.
- **Чего нельзя:** ограничивать права людей и возлагать на оператора лишние обязанности (п. 2 ч. 1 ст. 18.1).
- **Согласие отдельно:** в политику его не вшивают (ч. 1 ст. 9).
- **Штраф за неопубликованную политику:** ч. 3 ст. 13.11 КоАП, для организаций 30–60 тыс. ₽, для ИП 10–20 тыс. ₽.

 

## Что такое политика и что требует закон

 

Слова «политика конфиденциальности» в сверенных нами статьях закона не встречаются. Закон говорит о «документе, определяющем политику оператора в отношении обработки персональных данных». Основные нормы о нём собраны в одной статье — 18.1.

 

- **Часть 1, пункт 2.** Оператор-юридическое лицо издаёт документы, определяющие политику, и локальные акты по вопросам обработки. Локальные акты определяют для каждой цели категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения. Такие документы не могут ограничивать права субъектов и возлагать на операторов не предусмотренные законом обязанности.
- **Часть 2.** Оператор обязан опубликовать политику и сведения о реализуемых требованиях к защите данных. При сборе через интернет — на страницах сайта, с использованием которых собирают данные, и обеспечить доступ к документу средствами сети.
- **Часть 4.** По запросу Роскомнадзора оператор обязан представить эти документы и локальные акты.

 

Что из этого следует на практике. Политика — публичный документ для людей и для проверяющего. Внутренние правила для работников лежат в локальных актах. По нашему прочтению, политика собирает те сведения, которые оператор всё равно обязан дать человеку по его запросу (ч. 7 ст. 14) и регулятору в уведомлении (ч. 3 и 3.1 ст. 22).

 

## Кто обязан публиковать политику

 

| Оператор | Издать документы (п. 2 ч. 1 ст. 18.1) | Опубликовать (ч. 2 ст. 18.1) | Штраф за неопубликование (ч. 3 ст. 13.11) |
|---|---|---|---|
| Организация (ООО, АО) | Да: пункт говорит об операторе-юридическом лице | Да | 30–60 тыс. ₽; должностное лицо 6–12 тыс. ₽ |
| Индивидуальный предприниматель | Пункт 2 написан про юридическое лицо | Да, по нашему прочтению: часть 2 говорит об «операторе» без такой оговорки | 10–20 тыс. ₽ (в части 3 у ИП своя строка) |

 

Размер бизнеса значения не имеет. Если у организации или предпринимателя есть форма, чат или онлайн-запись, он оператор (п. 2 ст. 3). Подробнее о сайтах — в статье [о персональных данных на сайте](https://ftex.pro/blog/personalnye-dannye-na-sajte/).

 

**Что закон требует от самого документа** — в таблице.

 

| Требование | Норма |
|---|---|
| Опубликовать или иным образом обеспечить неограниченный доступ | Ч. 2 ст. 18.1 |
| При сборе через интернет — на страницах сайта, где идёт сбор | Ч. 2 ст. 18.1 |
| Дать возможность открыть документ средствами сети | Ч. 2 ст. 18.1 |
| Опубликовать и сведения о реализуемых требованиях к защите | Ч. 2 ст. 18.1 |
| Не ограничивать права людей, не возлагать на оператора лишнего | П. 2 ч. 1 ст. 18.1 |
| Представить по запросу Роскомнадзора | Ч. 4 ст. 18.1 |

 

Всё остальное — практика: порядок разделов, объём, язык, формат файла. Где размещать ссылки, разобрано в статье [о размещении политики на сайте](https://ftex.pro/blog/gde-razmestit-politiku-na-sajte/).

 

## Из чего состоит политика: рекомендуемая структура

 

Закон не говорит: «политика состоит из таких-то разделов». В части 1 и 2 статьи 18.1 такого перечня нет. Ниже — наша рекомендация. В колонке «Опора» указано, из какой нормы взято содержание: это сведения, которые оператор и так сообщает человеку или регулятору.

 

| Раздел | Что написать | Опора |
|---|---|---|
| 1. Общие положения | Кто оператор, на что распространяется документ, дата редакции | Практика |
| 2. Оператор и контакты | Наименование, адрес, e-mail для обращений, ответственный | П. 4 ч. 7 ст. 14; ч. 3 ст. 22 |
| 3. Цели | Каждая цель отдельно и конкретно: «ответ на заявку», а не «ведение деятельности» | Ч. 2 ст. 5; ч. 3.1 ст. 22 |
| 4. Основания | На каком основании из статьи 6 обрабатываете по каждой цели | Ст. 6; п. 2 ч. 7 ст. 14 |
| 5. Данные и субъекты | Какие данные и чьи, по каждой цели | П. 2 ч. 1 ст. 18.1; ч. 3.1 ст. 22 |
| 6. Действия и способы | Сбор, хранение, передача; с автоматизацией или без | Ч. 3.1 ст. 22; п. 3 ч. 7 ст. 14 |
| 7. Сроки и уничтожение | Сколько хранятся данные и как их уничтожают | П. 2 ч. 1 ст. 18.1; ч. 7 ст. 5; ст. 21 |
| 8. Передача | Кому передаёте и кто обрабатывает по поручению | Ч. 3 ст. 6; п. 4 и 9 ч. 7 ст. 14 |
| 9. Трансграничная передача | Есть или нет; если есть, в какие страны | Ст. 12; п. 8 ч. 7 ст. 14 |
| 10. Место хранения базы | Базы граждан России на территории России | Ч. 5 ст. 18; п. 10.1 ч. 3 ст. 22 |
| 11. Меры защиты | Общими словами, без технических подробностей | Ч. 2 ст. 18.1; ст. 19 |
| 12. Права и обращения | Какие права у человека, куда писать, в какие сроки отвечаете | Ст. 14, 17, 20, 21 |
| 13. Изменения | Где публикуется новая редакция, как узнать дату | Практика |

 

Полный текст такой политики для сайта с вымышленными данными — в статье [об образце политики для сайта](https://ftex.pro/blog/politika-konfidencialnosti-dlya-sajta-obrazec/). Фразы вроде «пользователь отказывается от права требовать удаления» в политику не пишут: они ограничивают права человека, а пункт 2 части 1 статьи 18.1 это запрещает. Для работников есть и отдельная гарантия: они не должны отказываться от своих прав на сохранение и защиту тайны (п. 9 ст. 86 ТК).

 

## Политика, согласие, уведомление и положение: в чём разница

 

| Документ | Кому адресован | Что говорит закон |
|---|---|---|
| Политика | Всем: людям и проверяющему | Публикуется (ч. 2 ст. 18.1) |
| Согласие | Конкретному человеку | Оформляется отдельно от иных документов; доказывает получение оператор (ч. 1 и 3 ст. 9) |
| Уведомление | Роскомнадзору | Подаётся до начала обработки, сведения по каждой цели (ч. 1, 3 и 3.1 ст. 22) |
| Положение об обработке | Работникам оператора | Локальный акт (п. 2 ч. 1 ст. 18.1); работников знакомят с документами под роспись (п. 8 ст. 86 ТК) |

 

Политика не заменяет согласие. Строка «пользуясь сайтом, вы соглашаетесь с политикой» делает согласие частью другого документа. С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов (ч. 1 ст. 9 в редакции ФЗ № 156 от 24.06.2025). Как оформить, разобрано в хабе [о согласии на обработку](https://ftex.pro/blog/soglasie-na-obrabotku-personalnyh-dannyh/) и в статье [о согласии на сайте](https://ftex.pro/blog/soglasie-na-obrabotku-pdn-na-sajte/). Чем «политика конфиденциальности» отличается от «политики обработки» по названию, объясняет статья [о двух названиях одного документа](https://ftex.pro/blog/politika-konfidencialnosti-i-politika-obrabotki-chem-otlichayutsya/).

 

## Сверка с уведомлением и цена ошибки

 

Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: сведения из уведомлений (об обработке и о трансграничной передаче) сравнивают со сведениями на сайте оператора по части 2 статьи 18.1, то есть с политикой и сведениями о защите. Индикатор риска срабатывает при трёх и более фактах несоответствия. Перечня того, что считается расхождением, в приказе нет.

 

Поэтому наша рекомендация: перед публикацией сверить пять вещей.

 

- **Цели.** Те же формулировки и то же число целей, что в уведомлении.
- **Категории данных и субъектов.** Нет данных, которые в политике есть, а в уведомлении нет.
- **Место базы и трансграничная передача.** Если аналитика или рассылка за рубежом, это видно в обоих документах.
- **Ответственный.** Контакты в политике и в уведомлении одинаковы.
- **Меры защиты.** Описание в политике не шире и не уже того, что вы сообщили.

 

Если уведомление не подавали, начните с него: [об уведомлении об обработке](https://ftex.pro/blog/uvedomlenie-ob-obrabotke-personalnyh-dannyh/) и страница услуги [уведомление в Роскомнадзор под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) за 4 900 ₽. Сайт перед проверкой готовят по статье [о подготовке сайта к проверке](https://ftex.pro/blog/podgotovka-sajta-k-proverke-roskomnadzora/).

 

**Что будет, если политики нет.**

 

За неопубликованную политику и неопубликованные сведения о защите данных статья 13.11 КоАП (часть 3) предусматривает штраф. Для граждан он составляет от 1 500 до 3 000 ₽, для должностных лиц — от 6 000 до 12 000 ₽, для индивидуальных предпринимателей — от 10 000 до 20 000 ₽, для организаций — от 30 000 до 60 000 ₽. Срок давности по делам о нарушении законодательства о персональных данных — один год (ст. 4.5 КоАП); по длящемуся нарушению срок считают со дня обнаружения (ч. 2 ст. 4.5).

 

Эти суммы не равны всему риску: если политики нет, нет и порядка, по которому оператор отвечает на запросы и уничтожает данные. Тогда по обстоятельствам дела возможны и другие части статьи 13.11, о них — в обзоре [о штрафах за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/). Паниковать не нужно: политику можно составить и опубликовать за несколько рабочих дней.

 

## Политика для индивидуального предпринимателя

 

Предприниматель — оператор, если обрабатывает данные клиентов, работников или посетителей сайта (п. 2 ст. 3). Три вывода из текста закона.

 

- **Политика нужна.** Часть 2 статьи 18.1 обязывает оператора опубликовать документ. В части 3 статьи 13.11 КоАП для ИП предусмотрена своя строка штрафа: 10–20 тыс. ₽.
- **Ответственный не обязателен.** Статья 22.1 и пункт 1 части 1 статьи 18.1 говорят об операторе, являющемся юридическим лицом. Назначить такого человека предприниматель вправе по своему желанию, закон этого не требует.
- **Локальные акты.** Пункт 2 части 1 статьи 18.1 тоже адресован юридическому лицу. Отдельный набор локальных актов от ИП закон прямо не требует, но политика нужна, а согласия — там, где основанием служит согласие.

 

Предприниматель с наёмными работниками добавляет обычные кадровые документы: знакомит людей с правилами под роспись (п. 8 ст. 86 ТК). Об уведомлении для ИП — в статье [об уведомлении для индивидуального предпринимателя](https://ftex.pro/blog/uvedomlenie-roskomnadzor-dlya-ip/).

 

## Политика в медицинской организации

 

Здесь важен только стык с врачебной тайной. Сведения о состоянии здоровья относятся к специальным категориям (ч. 1 ст. 10). Обработка допустима, в частности, с письменного согласия (п. 1 ч. 2 ст. 10) и в медико-профилактических целях, для установления диагноза и оказания услуг, если данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну (п. 4 ч. 2 ст. 10).

 

Врачебную тайну составляют сведения о факте обращения за помощью, состоянии здоровья, диагнозе и иные сведения, полученные при обследовании и лечении (ч. 1 ст. 13 ФЗ-323). Разглашать их другим гражданам можно, как общее правило, с письменного согласия пациента (ч. 3 ст. 13 ФЗ-323). Что отразить в политике, наша рекомендация: цели («запись на приём», «ведение медицинской документации»), основание по каждой цели, кто имеет доступ, что данные охраняются как врачебная тайна. Согласие на обработку данных и информированное добровольное согласие на вмешательство — разные документы, их, по нашему прочтению ч. 1 ст. 9, не склеивают. Подробно — в статье [о медицинском согласии](https://ftex.pro/blog/medicinskoe-soglasie-na-obrabotku-pdn/) и в разделе про медицинские организации в статье [о политике школы](https://ftex.pro/blog/politika-obrabotki-pdn-v-shkole/).

 

## Темы кластера: куда читать дальше

 

- [Образец политики для сайта](https://ftex.pro/blog/politika-konfidencialnosti-dlya-sajta-obrazec/) — полный текст с вымышленными данными и разбором.
- [Политика конфиденциальности и политика обработки](https://ftex.pro/blog/politika-konfidencialnosti-i-politika-obrabotki-chem-otlichayutsya/) — один документ или два.
- [Что проверить в политике в 2026 году](https://ftex.pro/blog/politika-obrabotki-pdn-2026/) — изменения закона.
- [Где разместить политику на сайте](https://ftex.pro/blog/gde-razmestit-politiku-na-sajte/) — подвал, формы, регистрация.
- [Политика интернет-магазина](https://ftex.pro/blog/politika-konfidencialnosti-internet-magazina/) — заказ, доставка, платежи.
- [Политика для ООО](https://ftex.pro/blog/politika-obrabotki-pdn-v-ooo/) — ответственный и локальные акты.
- [Пользовательское соглашение сайта](https://ftex.pro/blog/polzovatelskoe-soglashenie-sajta/) — чем оно отличается от политики.
- [Публичная оферта на сайте](https://ftex.pro/blog/publichnaya-oferta-na-sajte/) — стык договора и персональных данных.
- [Ошибки в политике](https://ftex.pro/blog/oshibki-v-politike-konfidencialnosti/) — что чаще всего не так.
- [Политика школы и детского сада](https://ftex.pro/blog/politika-obrabotki-pdn-v-shkole/) — дети и родители.
- [Как обновить политику](https://ftex.pro/blog/kak-obnovit-politiku-obrabotki-pdn/) — когда и как менять редакцию.
- [Документы по персональным данным](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/) — хаб комплекта: что обязательно, а что практика.

 

Пишет юрист под ваши цели, данные и системы · правки до вашего «принимаю» входят в пакет за 9 900 ₽

 

Политика и согласия для вашего сайта — 3 900 ₽, весь комплект документов — 9 900 ₽

 

[Посмотреть пакет →](https://ftex.pro/dokumenty-po-152-fz/)

 

## Как мы помогаем

 

ФТИ ведёт услуги по персональным данным по всей России, дистанционно. Что получите по каждой странице услуги.

 

- [Аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) — 4 900 ₽. Проверяем формы, политику, сторонние сервисы и сверяем сайт с вашим уведомлением. Отчёт за 3 рабочих дня.
- **Документы для сайта** — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie. На той же странице услуги.
- [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽. Разбор, политика для сайта и точек сбора, согласия, локальные акты, перечни, инструкции, журналы. Правки до вашего «принимаю».
- [Пакет «Старт»](https://ftex.pro/uslugi/) — 14 900 ₽ вместо 18 700 ₽: уведомление, документы и документы для сайта одним договором.

 

Размещение на сайте делаете вы или ваш вебмастер. Если нужно сделать за вас, это входит в услугу устранения нарушений от 9 900 ₽ на странице аудита. Курс [«Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/) — повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО; на программу принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 ФЗ-273). Готовых документов курс не выдаёт и уведомление не подаёт.

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, политика, публикация документа](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Федеральный закон № 152-ФЗ, статья 22.1 — ответственные за организацию обработки в организациях](https://www.consultant.ru/document/cons_doc_LAW_61801/ac39e94238689d353ef880365b6b400140aa1d2d/)
- [Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта, отдельное оформление](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Федеральный закон № 152-ФЗ, статья 14 — право субъекта на доступ, состав сведений](https://www.consultant.ru/document/cons_doc_LAW_61801/34585db685164ddd73440bf08348903bff6715aa/)
- [Федеральный закон № 152-ФЗ, статья 10 — специальные категории персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/26edb2934b899bf9c74c3a8f7e574651c6565e6d/)
- [Федеральный закон № 323-ФЗ, статья 13 — соблюдение врачебной тайны](https://www.consultant.ru/document/cons_doc_LAW_121895/9f906d460f9454a8a0d290738d9fc2798c1e865a/)
- [КоАП РФ, статья 13.11 — нарушение законодательства о персональных данных, часть 3](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [КоАП РФ, статья 4.5 — давность привлечения к административной ответственности](https://www.consultant.ru/document/cons_doc_LAW_34661/66a4b2666eea5f75cd1e947452b66bf52bf024d8/)
- [Трудовой кодекс РФ, статья 86 — общие требования при обработке персональных данных работника](https://www.consultant.ru/document/cons_doc_LAW_34683/01f6157ff985b3cbbb50eb88fa6e26f30202532a/)

## Частые вопросы

### Что такое политика обработки персональных данных?

Это публичный документ оператора: какие данные он собирает, с какой целью, на каком основании, как защищает и как человек может обратиться. В законе он назван документом, определяющим политику оператора в отношении обработки персональных данных (ст. 18.1 ФЗ-152).

### Кто обязан иметь и публиковать политику?

Любой оператор обязан опубликовать документ или иным образом обеспечить неограниченный доступ к нему (ч. 2 ст. 18.1). Если данные собирают через сайт, документ размещают на страницах сайта, где идёт сбор. Для ИП в части 3 статьи 13.11 КоАП есть отдельная строка штрафа.

### Есть ли обязательная форма или структура политики?

Нет. Закон не утверждает форму и не перечисляет разделы документа по пунктам. Структура из этой статьи — наша рекомендация, собранная из сведений, которые оператор и так сообщает человеку и Роскомнадзору.

### Чем политика отличается от согласия на обработку?

Политика публикуется для всех, согласие даёт конкретный человек. С 1 сентября 2025 года согласие оформляется отдельно от иных документов, поэтому его не вшивают в политику (ч. 1 ст. 9).

### Нужна ли политика индивидуальному предпринимателю?

Да, если он обрабатывает персональные данные: ч. 2 ст. 18.1 говорит об операторе, а в части 3 статьи 13.11 КоАП для ИП предусмотрен штраф 10–20 тыс. ₽. Ответственного за обработку ИП назначать не обязан: статья 22.1 адресована юридическому лицу.

### Какой штраф за отсутствие политики на сайте?

По части 3 статьи 13.11 КоАП: граждане 1 500–3 000 ₽, должностные лица 6 000–12 000 ₽, ИП 10 000–20 000 ₽, организации 30 000–60 000 ₽. Срок давности — один год (ст. 4.5 КоАП), по длящемуся нарушению со дня обнаружения.

### Должны ли политика и уведомление в Роскомнадзор совпадать?

Да, это важно. Приказ Минцифры № 720 от 17.08.2023 дополнил перечень индикаторов риска: сведения из уведомлений (об обработке и о трансграничной передаче) сравнивают со сведениями на сайте, три и более факта несоответствия — индикатор риска. Перечня расхождений в приказе нет, поэтому сверяйте цели, данные, место базы, ответственного и меры.

### Что делать медицинской организации?

Те же правила плюс врачебная тайна. Сведения о здоровье — специальная категория (ст. 10 ФЗ-152), врачебную тайну охраняет статья 13 ФЗ-323. В политике укажите цели, основания и круг лиц с доступом, а согласие на обработку и информированное добровольное согласие оформляйте отдельными документами.

### Сколько стоит подготовка политики для сайта?

Документы для сайта (политика, согласия для форм, уведомление об использовании cookie) — 3 900 ₽ на странице аудита сайта. Весь комплект под ваш бизнес — пакет документов по 152-ФЗ за 9 900 ₽ с правками до вашего «принимаю», пакет «Старт» — 14 900 ₽.