Как составить политику обработки персональных данных: что включить, как опубликовать и какие ошибки встречаются

#ПерсональныеДанные #Политика #152ФЗ

Политика обработки персональных данных нужна оператору, который собирает данные через сайт, и оператору, у которого сайта нет. Документ несложный, но ошибок в нём много, а за его отсутствие на сайте предусмотрен отдельный штраф. Ниже: что требует закон, где публиковать политику, какие ошибки встречаются и какой штраф грозит за непубликацию.

Что закон требует от политики

Статья 18.1 закона № 152-ФЗ обязывает оператора принимать меры, необходимые и достаточные для выполнения закона, и определяет состав мер оператором самостоятельно, если иное не предусмотрено законом. Среди мер названы ответственный за организацию обработки, документы с политикой и локальные акты, меры защиты по статье 19, внутренний контроль или аудит, оценка вреда и ознакомление работников с законодательством и документами оператора. Первые два пункта закон адресует оператору, который является юридическим лицом. ИП в них прямо не назван. Но обязанность опубликовать политику закреплена в части 2 той же статьи и сформулирована для любого оператора, поэтому политика нужна и ИП. Часть мер при этом закон закрепляет прямо, например назначение ответственного юридическим лицом (статья 22.1).

Закрытого перечня разделов политики в статье нет, и это стоит знать заранее. Закон описывает содержание через локальные акты. Для каждой цели обработки они определяют категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, а также порядок уничтожения данных, когда цель достигнута или появились иные законные основания. Какие из этих сведений записать в саму политику, а какие вынести в отдельные акты, решает оператор.

Обычно политику строят из нескольких блоков. Сначала общие положения и правовые основания, потом цели обработки, категории данных и субъектов, способы и сроки, права субъектов и порядок обращений, меры защиты и контакты ответственного. Это сложившаяся практика, а не перечень из закона.

Политика не лежит отдельно от остальных мер. Внутренний контроль или аудит по пункту 4 части 1 проверяет, соответствует ли обработка закону, требованиям к защите, локальным актам и политике оператора. Значит, написанное в политике становится мерилом, по которому оценивают вашу же работу. Мы советуем не обещать в политике того, что компания не умеет делать.

Есть и одно прямое ограничение. Документы и локальные акты не могут содержать положения, которые ограничивают права субъектов персональных данных или возлагают на операторов обязанности, не предусмотренные законодательством.

Где и как публиковать

Оператор обязан опубликовать документ с политикой и сведения о реализуемых требованиях к защите данных либо иным образом обеспечить к ним неограниченный доступ. Если данные собирают через интернет, документ публикуют в той сети, где идёт сбор, в том числе на страницах собственного сайта, с использованием которых данные собирают, и обеспечивают доступ к нему средствами сети. Мы читаем это так, что ссылка на политику нужна у каждой формы, а не только в подвале главной страницы.

Оператору без сайта закон оставляет формулу «иным образом обеспечить неограниченный доступ». Конкретный способ в статье 18.1 не назван, поэтому выбирать его придётся самому, например разместить документ там, где с оператором общаются клиенты. А по запросу Роскомнадзора оператор обязан представить документы и локальные акты и (или) иным образом подтвердить принятые меры (часть 4).

Какие ошибки встречаются

Первая ошибка, политика есть, но её нет на странице с формой. Документ лежит в разделе «Документы», а форма заявки на другой странице ссылается на пустое место или вообще не ссылается. Вторая, опубликована только политика, а сведений о реализуемых требованиях к защите нет. Часть 2 статьи 18.1 называет в одном ряду оба документа.

Третья ошибка связана с шаблонами. Компания копирует чужую политику вместе с чужими целями, сроками и перечнем систем, и документ описывает обработку, которой у неё нет. Если же в шаблоне стоят условия, ограничивающие права субъекта или возлагающие на оператора обязанности, не предусмотренные законодательством, это прямо противоречит пункту 2 части 1 статьи 18.1.

Четвёртая ошибка, политика остаётся такой же, когда меняется обработка. Подключили CRM, запустили рассылку или ввели новую цель, а в документе об этом ни слова. Здесь мы опираемся на практику, и в статье 18.1 такого правила нет.

Пятая ошибка, расчёт на то, что политика закрывает остальные обязанности. Она не заменяет уведомление Роскомнадзора по статье 22, а для согласий у закона свои правила, их мы здесь не разбираем.

Шестая ошибка внутренняя, и снаружи её не видно. Пункт 6 части 1 статьи 18.1 относит к мерам ознакомление работников, которые обрабатывают данные, с политикой и локальными актами, а также с законодательством, и (или) их обучение. Политику утвердили, разместили на сайте и положили в папку, а бухгалтер и менеджер по продажам о ней не слышали. Седьмая ошибка касается ответственного. Юридическое лицо обязано назначить ответственного за организацию обработки (пункт 1 части 1 статьи 18.1, часть 1 статьи 22.1), и в политике удобно указать, как с ним связаться. Но на практике контакт либо не указан, либо ведёт на почту уволившегося сотрудника.

Что грозит за непубликацию

Часть 3 статьи 13.11 КоАП РФ наказывает за невыполнение обязанности опубликовать или иным образом обеспечить неограниченный доступ к политике или к сведениям о реализуемых требованиях к защите данных. Под норму попадает и отсутствие политики, и отсутствие сведений о защите при опубликованной политике.

Кто отвечает	Штраф
Юридическое лицо	от 30 000 до 60 000 рублей
Индивидуальный предприниматель	от 10 000 до 20 000 рублей
Должностное лицо	от 6 000 до 12 000 рублей
Гражданин	от 1 500 до 3 000 рублей

Эти суммы относятся только к одной обязанности. За другие нарушения в области персональных данных статья 13.11 содержит отдельные части со своими размерами.

Штрафы за непубликацию политики по категориям

Часть 3 говорит о публикации и доступе. Что будет, если политика опубликована, но противоречит закону по содержанию, часть 3 не уточняет, и это не значит, что риска нет. А вот запрос Роскомнадзора по части 4 статьи 18.1 может потребовать и сам документ, и локальные акты, на которые он опирается. Для оператора это второй довод держать политику и акты согласованными между собой.

С чего начать

Сначала выпишите, где вы собираете данные. Это сайт с формами, кадровые таблицы, CRM, почта, бумажные анкеты. Потом сформулируйте цели и под каждую запишите категории данных, срок хранения и способ уничтожения. И только после этого садитесь за текст политики, иначе получится шаблон, который не про вас. Утвердите политику приказом руководителя, как это обычно делают. Готовый документ разместите у каждой формы сбора (так мы читаем требование о публикации на страницах сбора) и проверьте, что ссылка открывается без авторизации. Затем ознакомьте с ним работников, которые обрабатывают данные, и сохраните подтверждение. В конце назначьте человека, который раз в год перечитывает политику рядом с реальным списком систем и целей. Частоту мы называем по опыту, закон срока пересмотра не задаёт.

Самостоятельно политику подготовить можно. К юристу стоит идти, когда систем и целей много, данные уходят зарубежным сервисам или ваш шаблон уже вызвал вопросы у контрагента или проверяющего. Мы разрабатываем политику и пакет документов по обработке персональных данных, проверяем сайт на соответствие закону и готовы посмотреть ваш текущий документ. Условия описаны на странице «Персональные данные по 152-ФЗ».

Статья описывает общие правила и не является юридической консультацией: состав политики зависит от целей, систем и способов обработки конкретной компании. Материал подготовлен 26 октября 2026 года. Закон № 152-ФЗ и КоАП РФ меняются, перед использованием сверьте действующие тексты статьи 18.1 закона и статьи 13.11 КоАП РФ.