Политика обработки персональных данных: образец 2026 и требования к публикации в

Политика обработки персональных данных — документ, который РКН и клиенты видят первым: он должен быть опубликован на сайте, и его отсутствие замечают быстрее всего. При этом большинство «политик» в интернете — это чужой текст, скопированный целиком, со ссылками на отменённые акты и чужими реквизитами. Такая политика формально есть, а по сути не работает и не защищает.

Разберём, кто обязан иметь политику (в том числе индивидуальные предприниматели), где и как её опубликовать, из чего она состоит, чем отличается от политики информационной безопасности и от «политики конфиденциальности» на сайте, как связать её с формами и согласием и что грозит за нарушение. В конце — образец структуры. Материал для компаний и предпринимателей в и по всей России.

Что такое политика обработки ПДн и зачем она нужна

Политика — внутренний документ оператора, который отвечает на вопросы: какие данные, у кого, для чего, на каком основании, как долго и с какими правами человека вы обрабатываете. Закон называет её первой в числе мер оператора: ст. 18.1 обязывает юридическое лицо издавать документы, определяющие политику оператора в отношении обработки персональных данных, и локальные акты по обработке для каждой цели.

Особенность политики в том, что это единственный документ, который закон требует сделать публичным. Остальные локальные акты вы показываете по запросу Роскомнадзора (ч. 4 ст. 18.1), а политику — всем. Отсюда два требования: она должна быть понятной постороннему человеку и совпадать с тем, что вы делаете на самом деле. Расхождение между публичной политикой и реальной практикой — прямой путь к претензиям.

Кто обязан иметь и публиковать политику

Короткий ответ: все операторы. Часть 2 ст. 18.1 обязывает оператора опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику, и к сведениям о реализуемых требованиях к защите персональных данных. Исключения для малого бизнеса нет.

Распространённое заблуждение — «ИП политика не нужна». Нужна: ч. 2 ст. 18.1 не делит операторов на юрлиц и предпринимателей. Другое заблуждение — «нас нет в реестре, значит, мы не операторы». Оператор — тот, кто определяет цели и состав данных и совершает с ними действия (п. 2 ст. 3). Если у вас есть клиенты, работники и вы фиксируете их фамилии и телефоны, вы оператор независимо от того, подали ли вы уведомление.

Где и как опубликовать политику

• На сайте: отдельная страница политики и ссылка на неё на каждой странице, где собираются данные: формы заявок, регистрации, оформление заказа, обратный звонок. Закон требует публикации «на страницах сайта, с использованием которых осуществляется сбор» (ч. 2 ст. 18.1).
• Не только на сайте: если данные собираются на бумаге или в офисе, обеспечьте доступ там же: стенд, раздел на стойке, отдельный документ по запросу.
• Доступность: политика должна открываться без регистрации и быть читаемой на телефоне; документ в архиве или с закрытым доступом не подходит.
• Актуальность: указывайте дату редакции; при изменении процессов обновляйте текст и храните прежние версии.

Для интернет-магазинов, сервисов и корпоративных сайтов в действуют те же правила: ссылку на политику ставят рядом с кнопкой отправки формы, а сам текст открывается по этой ссылке. Размещение «где-то в футере» без ссылки на форме не соответствует тексту закона, если сбор идёт через эту форму.

Из чего состоит политика: разделы

Закон не содержит закрытого перечня разделов, но формулирует принципы и права, которые политика должна отражать: ст. 5 (цели, принципы), ст. 6 (основания), ст. 14 (права субъекта), ст. 18.1 и 19 (меры), ст. 21 (сроки и уничтожение). На них и строится практическая структура.

Не нужно в политике перечислять конкретные технические средства защиты и внутренние инструкции — достаточно общего описания мер. Но то, что вы заявляете публично, должно выполняться: если написано «данные хранятся на серверах в России», база действительно должна быть в России.

Чем политика обработки ПДн отличается от других «политик»

Как правило, для коммерческой организации без КИИ и ГИС отдельный документ «политика ИБ» законом не обязателен. А политика ПДн обязательна всегда. Названия «политика конфиденциальности» и «политика обработки ПДн» на сайтах часто используются как синонимы — главное, чтобы содержание отвечало ст. 18.1. Если на сайте есть и то, и другое, избегайте противоречий.

Образец структуры политики

Образец показывает каркас. Содержание каждого раздела должно описывать вашу фактическую обработку: какие формы стоят на сайте, какие подрядчики получают данные (CRM, рассылки, облако, служба доставки), где находится база. Для этого сначала составляют перечень целей и данных, а уже потом пишут политику.

Связь с формами на сайте и с согласием

• Рядом с каждой формой — ссылка на политику. Если нужно согласие, ставится отдельный чекбокс (не предустановленный) со ссылкой на текст согласия.
• Согласие — отдельно. С 01.09.2025 согласие оформляется отдельно от иных документов (ч. 1 ст. 9). Политика — это информирование, а не согласие: нельзя писать в политике «продолжая пользоваться сайтом, вы соглашаетесь».
• Основание по договору. Там, где данные нужны для заказа или договора, согласие не требуется (п. 5 ч. 1 ст. 6) — и в политике это нужно указать как основание, а не просить лишнюю галочку.
• Подрядчики. Если рассылки, CRM или хостинг обрабатывают данные по вашему поручению, в договоре с ними должны быть элементы, перечисленные в ч. 3 ст. 6 (цели, перечни, конфиденциальность, безопасность, уведомление об инцидентах), а в политике — общая информация о таких лицах.

Подробно об образцах согласий для работника и клиента — в статье «согласие на обработку персональных данных». Политика и согласие работают вместе: первая рассказывает про систему, второе подтверждает разрешение человека.

Ответственность: что грозит за нарушение

Само по себе отсутствие политики наказывается скромно — 30–60 тыс. ₽ для юридического лица. Но политика — первое, что проверяют, а дальше разговор идёт по существу: есть ли основания обработки, согласия, уведомление, локализация. Нарушения по этим направлениям стоят значительно дороже (например, обработка в не предусмотренных законом случаях по ч. 1 ст. 13.11 — 150–300 тыс. ₽ для юридических лиц). Кроме того, по запросу РКН оператор обязан представить документы из ч. 1 ст. 18.1 (ч. 4 ст. 18.1).

Как обновлять политику

Политика не «пишется раз и навсегда». Пересматривайте её, когда меняются цели (запустили новую услугу), состав данных (добавили форму), подрядчики (сменили CRM), место хранения баз, или меняется законодательство. В 2025–2026 годах поменялись правила о согласии (отдельное оформление), добавились штрафы за уведомления и утечки, поэтому тексты 2019–2022 годов стоит проверить.

• Составьте реестр целей и данных (по нему пишутся разделы 2–6).
• Сверьте политику с формами на сайте и договорами с подрядчиками.
• Проверьте ссылки на нормативные акты: не ссылайтесь на отменённые документы.
• Опубликуйте новую редакцию и сохраните предыдущую.

Типовые ошибки

• ✗ Скопировать политику с чужого сайта. → Писать по своей обработке: чужие цели, подрядчики и реквизиты делают документ недостоверным.
• ✗ «ИП политика не нужна». → Публикация обязательна для любого оператора (ч. 2 ст. 18.1).
• ✗ Политика есть только в подвале сайта. → Ссылка на страницах сбора, рядом с формами.
• ✗ Согласие внутри политики или «продолжая пользоваться сайтом». → Отдельное согласие по ч. 1 ст. 9, где оно необходимо.
• ✗ Не указаны подрядчики и место хранения базы. → Опишите передачу данных и хранение на территории РФ (ч. 5 ст. 18).

Чем поможет МелданаСБ

Мы готовим политику под вашу обработку: сначала уточняем цели, данные и сервисы, затем пишем текст и подсказываем, как разместить его на сайте. Документы готовит специалист на основе отработанных типовых решений; работа дистанционная, поэтому условия одинаковы для и других регионов. Технические меры защиты (уровень защищённости, модель угроз) ведём в формате методического сопровождения или с партнёром-лицензиатом ФСТЭК.

Частые вопросы

Что дальше: политика — основа, но не вся картина. Нужно оформить образцы документов по согласиям, проверить, не пора ли подать уведомление в РКН, и подготовить положение о защите ПДн. Текст ст. 18.1 — на consultant.ru; вопросы по вашей ситуации — на странице контактов.