Зачем нужна политика конфиденциальности
Политика конфиденциальности (также: политика обработки персональных данных) — документ, который информирует пользователей сайта о том, какие данные вы собираете, как используете, кому передаёте и как защищаете. По законодательству РФ это обязательный документ для любого сайта, который собирает персональные данные посетителей.
Основания для обязательного наличия политики: ст. 18.1 ФЗ-152, Постановление Правительства РФ № 687 (требование о публикации), а также требования Роскомнадзора. Штраф за отсутствие политики — до 100 000 рублей, за повторное нарушение — до 300 000 рублей.
Обязательные разделы политики конфиденциальности
Согласно ст. 14 ФЗ-152 и разъяснениям РКН, документ должен содержать:
- Общие положения — наименование оператора, ИНН, ОГРН, юридический и фактический адрес, контакты для запросов по ПДн
- Категории обрабатываемых данных — перечень: ФИО, телефон, email, IP-адрес, cookie и т.д.
- Цели обработки — конкретные, без общих фраз. Отдельно для каждой категории данных
- Правовые основания — согласие субъекта, исполнение договора, законный интерес или обязанность оператора
- Перечень действий — что вы делаете с данными: сбор, хранение, передача третьим лицам и т.д.
- Срок хранения данных — конкретные сроки для каждой категории
- Передача данных третьим лицам — перечень сервисов (Яндекс.Метрика, CRM, платёжные системы) с описанием передаваемых данных
- Трансграничная передача — если данные уходят за рубеж, нужно указать страны и правовое основание
- Права субъектов — доступ, исправление, удаление, ограничение, возражение, перенос
- Механизм отзыва согласия — как и куда обратиться
- Защита данных — какие меры приняты (без технических деталей, достаточно общего описания)
- Порядок изменения политики — как пользователи узнают об изменениях
Как разместить политику на сайте
Требования к размещению: политика должна быть доступна в один клик с любой страницы сайта. Обычно это ссылка в подвале (footer) с текстом «Политика конфиденциальности» или «Политика обработки персональных данных». Ссылка в форме рядом с чекбоксом согласия обязательна.
Распространённая ошибка: политика есть, но ссылка на неё — только на странице контактов. РКН считает это нарушением принципа «общедоступности».
Особенности для разных типов сайтов
Интернет-магазин
Дополнительно указать: обработку данных для доставки, передачу транспортным компаниям, хранение истории заказов, использование данных для персонализации предложений. Если принимаете оплату онлайн — описать передачу данных платёжному сервису.
SaaS / веб-сервис
Описать обработку данных аккаунта, данных которые пользователь загружает в сервис, логов использования, технических метрик. Если данные клиентов хранятся в облаке за рубежом — указать трансграничную передачу.
B2B сайт без форм
Даже если явных форм нет, сайт собирает технические данные через cookie и серверные логи. Политика нужна, хотя может быть короче.
Типичные ошибки в политиках конфиденциальности
- Шаблон из интернета без адаптации: чужое юрлицо или ИНН в документе — и вы уже нарушаете, используя чужую политику
- Нет перечня конкретных третьих лиц: «данные могут передаваться партнёрам» без указания кому — прямое нарушение принципа прозрачности
- Устаревшие данные оператора: изменился адрес или ИНН — политику нужно обновить
- Расхождение с реальностью: политика говорит «мы не передаём данные за рубеж», а на сайте стоит Google Analytics — нарушение
- Нет механизма отзыва согласия: требование ст. 9 ФЗ-152
Как поддерживать политику актуальной
Политика конфиденциальности — живой документ. Её нужно обновлять при: подключении нового внешнего сервиса, изменении целей обработки, изменении юридического статуса оператора, появлении новых форм сбора данных. Рекомендуется проводить полную проверку актуальности раз в квартал.
Автоматическая проверка соответствия
SitePravo автоматически анализирует политику конфиденциальности вашего сайта: проверяет наличие обязательных разделов, сверяет упомянутые сервисы с фактически установленными на сайте, находит расхождения между декларируемым и реальным поведением.
Частые вопросы
Нужна ли политика ИП без сотрудников?
Да. ФЗ-152 распространяется на всех операторов ПДн вне зависимости от организационно-правовой формы. Если ИП собирает контактные данные клиентов через сайт — политика обязательна.
Можно ли использовать готовый шаблон?
Шаблон — это отправная точка, не конечный документ. Необходимо адаптировать: указать ваши данные оператора, перечень конкретных собираемых данных, реальных третьих лиц, которым передаёте данные. Использование чужого документа без изменений — нарушение.
Что будет если политики нет?
Штраф по ст. 13.11 КоАП: для ИП — до 100 000 руб., для организаций — до 300 000 руб. за первичное нарушение. Повторное — до 1 млн руб. или административное приостановление деятельности.