Политика обработки персональных данных: что содержит и где её публиковать

Политика обработки персональных данных — документ, которым оператор определяет свою политику в отношении обработки персональных данных, и локальные акты по вопросам обработки ПДн. Обязанность издать такие документы установлена частью 1 пунктом 2 статьи 18.1 152-ФЗ — этой же нормой закон требует, чтобы локальные акты определяли для каждой цели обработки категории и перечень обрабатываемых данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения данных по достижении целей или при ином законном основании, а также процедуры предотвращения и выявления нарушений и устранения их последствий факт.

В рунете эту норму часто цитируют как «ст. 18.1 ч. 2 п. 2» — это неточность, которая переходит из статьи в статью. У части 2 статьи 18.1 нет собственной внутренней нумерации «пункт 2»: это отдельная, самостоятельная норма про публикацию документа, а не про обязанность его иметь.

Обязанность издать документ политики — это часть 1 пункт 2; обязанность его опубликовать — часть 2 без пункта. Дальше в этой статье они разведены именно так.

Да, обязанность иметь документ политики распространяется на операторов персональных данных без деления по размеру бизнеса, форме собственности или наличию сайта. Прямого исключения «для малого бизнеса» или «для операторов без сайта» из обязанности иметь документ политики закон не делает — это отдельное требование от обязанности его публиковать, у которой охват уже (см. следующий раздел) оценка.

Практически это значит: если организация обрабатывает персональные данные — сотрудников, клиентов, посетителей сайта — документ политики ей нужен независимо от масштаба. Кто именно становится оператором и какие ещё обязанности из этого следуют, разобрано отдельно на странице 152-ФЗ простыми словами.

Жёсткого исчерпывающего перечня обязательных содержательных пунктов документа политики в самом тексте 152-ФЗ нет факт. Часть 1 пункт 2 статьи 18.1 называет, что должны определять локальные акты, но не оформляет это как постатейный чек-лист именно для документа «Политика». Развёрнутую структуру, которой пользуется большинство операторов на практике, задают рекомендации ЦА Роскомнадзора 2017 года по составлению документа, определяющего политику оператора в отношении обработки персональных данных — они не имеют силы обязательного нормативного акта, это ориентир, а не норма.

Роскомнадзор прямо разъясняет: оператор вправе самостоятельно определять структуру и содержание своей политики — рекомендации носят ориентирующий, а не обязывающий характер факт. На практике это означает, что два корректно составленных документа политики у разных операторов вполне могут отличаться по структуре — важно не совпадение с чужим шаблоном, а то, что документ реально описывает собственные процессы оператора.

Эти четыре термина на практике постоянно путают — у каждого своя норма, своё назначение и свой адресат.

↔ таблицу можно прокрутить вбок

Ключевое разграничение: политика — публичный документ о принципах оператора, действует в отношении неограниченного круга лиц и не требует подписи каждого субъекта. Согласие — индивидуальное волеизъявление конкретного человека, оформляется отдельно с каждым субъектом и может быть отозвано им лично. Наличие политики не заменяет обязанность получить согласие там, где оно требуется законом, и наоборот.

«Политика конфиденциальности» на сайтах — обиходное название, юридически значим именно документ политики обработки ПДн по 152-ФЗ, а не то, как он называется. Детали согласия — на странице согласие на обработку персональных данных, детали уведомления — на странице уведомление РКН.

Часть 2 статьи 18.1 152-ФЗ содержит две связанные нормы. Первая — общая: оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу политики и к сведениям о реализуемых требованиях к защите ПДн. Формулировка «опубликовать или иным образом обеспечить неограниченный доступ» не требует непременно веб-публикации для всех операторов без исключения — альтернативой может быть, например, доступный информационный стенд для оператора без сайта факт.

Вторая норма — специальная, для операторов, которые собирают персональные данные с использованием информационно-телекоммуникационных сетей: они обязаны опубликовать документ политики и сведения о мерах защиты именно в этой сети, в том числе на страницах своего сайта, и обеспечить доступ к нему средствами этой сети факт. Практический вывод: если у оператора есть сайт, через который собираются ПДн, — формы обратной связи, регистрация, метрика, cookies, — публикация на сайте обязательна именно в силу этой нормы, а не в качестве рекомендации.

Ссылку на документ обычно размещают в футере сайта, рядом с реквизитами компании, — так, чтобы её можно было найти с любой страницы.

За невыполнение именно обязанности опубликовать или обеспечить доступ к документу политики (или к сведениям о мерах защиты) предусмотрена часть 3 статьи 13.11 КоАП РФ: граждане — 1500–3000 ₽, должностные лица — 6000–12000 ₽, индивидуальные предприниматели — 10000–20000 ₽, юридические лица — 30000–60000 ₽ факт. Это заметно меньше штрафов за отсутствие или дефект согласия (до 700 000 ₽ юрлицу, ст.

13.11 ч. 2) и несопоставимо с оборотными штрафами за утечки — по собранным на дату проверки данным, крупная волна повышения штрафов 2025 года эту часть статьи не затронула, суммы сохраняются на уровне редакции 2021 года оценка, требует финальной сверки редакции перед принятием решений. Подробный разбор сумм по другим составам — на странице штрафы за утечку персональных данных.

Публикация — это не разовое действие. Если оператор меняет цели обработки, добавляет новые категории данных или новые способы обработки, документ на сайте нужно актуализировать — иначе он перестаёт отражать действительность, даже оставаясь формально опубликованным.

Ниже — не бланк, а разбор смысловых блоков, из которых обычно собирают документ политики, если опереться на рекомендации Роскомнадзора и на прямое требование части 2 статьи 18.1:

1. Общие положения — кто оператор, на основании какого документа действует политика, к какой обработке применяется.
2. Цели обработки персональных данных.
3. Правовые основания обработки — ссылки на применимые нормы 152-ФЗ.
4. Категории и перечень обрабатываемых персональных данных, категории субъектов.
5. Способы, сроки обработки и хранения данных.
6. Порядок актуализации, исправления, удаления и уничтожения данных.
7. Права субъектов и порядок работы с их обращениями.
8. Сведения о реализуемых требованиях к защите персональных данных — обязательный элемент по части 2 статьи 18.1, отдельно от самого документа политики.

• Скачанный чужой шаблон без адаптации. Типовой шаблон с чужого сайта обычно содержит чужие цели обработки, чужой перечень категорий ПДн и реквизиты чужого оператора. При проверке такое несоответствие фактическим процессам трактуется как формальное наличие документа без содержательного выполнения обязанности — документ должен описывать собственные процессы оператора, а не абстрактный образец.
• Отсутствие документа на сайте при наличии сайта, собирающего ПДн. Прямое нарушение части 2 статьи 18.1, квалифицируется по части 3 статьи 13.11 КоАП. Частый практический случай — форма обратной связи или подписки без ссылки на политику в футере.
• Расхождение текста политики с реальными процессами. Если оператор фактически собирает больше категорий данных, использует больше способов обработки или передаёт данные третьим лицам, не упомянутым в документе, — формально документ существует, но не отражает действительность, и это создаёт риск при проверке, даже если формально состав правонарушения по неопубликованию здесь не подходит.
• Устаревание документа после правок закона. 152-ФЗ регулярно меняется — политика, написанная под старую редакцию, например до ужесточения локализации баз данных с 1 июля 2025 года или до требования оформлять согласие отдельным документом с 1 сентября 2025 года, может не отражать актуальные обязательства оператора. Прямой нормы «обновлять политику при каждой правке закона» в 152-ФЗ нет, но логика части 1 пункта 2 — документ должен реально описывать применяемые процедуры — подразумевает актуализацию.