Политика конфиденциальности для сайта: что должно быть и как не получить штраф

Политика конфиденциальности нужна каждому сайту, где есть хотя бы одна форма заявки или счётчик аналитики. Это документ, который объясняет посетителю, какие данные собирает сайт, для чего и что с ними происходит дальше. Без него согласие пользователя не имеет юридической силы по 152-ФЗ — даже если на сайте стоит баннер с кнопкой «Принять».

Проще говоря: баннер без политики — юридически пустое действие. Пользователь нажал «Принять», но принял что именно — неизвестно. Такое согласие Роскомнадзор согласием не считает.

Кому обязательна политика конфиденциальности

Всем, у кого на сайте есть:

• форма обратной связи, заявки или онлайн-записи;
• кнопка «Перезвоните мне» или «Оставить контакт»;
• счётчик аналитики — Яндекс.Метрика, Google Analytics, пиксель ВКонтакте;
• онлайн-чат с идентификацией пользователя.

Список широкий: сайт, который собирает хоть какие-то данные о конкретных людях, формально считается оператором персональных данных. Мы проверили семь сайтов на аудите. Ни один не оказался полностью свободен от сбора данных.

Что должно быть в политике конфиденциальности

Минимальное содержание, которое проверяет Роскомнадзор:

Кто собирает данные. Название компании или ИП, контакты, ИНН — для идентификации оператора. На трёх из семи проверенных нами сайтов реквизиты не были опубликованы вообще: ни ИНН, ни адреса, ни ОГРН. Политика конфиденциальности без данных оператора — документ, подписанный анонимом.

Какие данные собираются. Конкретный перечень категорий: имена, телефоны, электронные адреса, IP-адреса, данные cookie. Расплывчатые формулировки вроде «технические данные» при проверке не принимаются.

Зачем собираются. Цели обработки: ответ на заявку, ведение статистики, рассылки — каждая перечисляется отдельно, не одной общей фразой. Использовать данные для целей, не указанных в политике, нельзя.

Кому передаются. Третьи лица, которым данные могут уходить: платёжные системы, CRM-провайдеры, аналитические сервисы. Яндекс.Метрика — тоже третье лицо, которому фактически уходят данные посетителей. Если Метрика используется, она должна быть указана.

Сколько данные хранятся. Конкретные сроки по каждой категории или ссылка на основание для иного срока хранения. «До необходимости» — не срок.

Как пользователь может отозвать согласие. Процедура и контакт для обращений. По закону пользователь вправе потребовать удаления своих данных, и сайт обязан это выполнить.

Согласие без политики — нарушение уже сейчас

По данным нашего аудита, пять из семи проверенных сайтов загружали Яндекс.Метрику до того, как пользователь нажал «Принять» на баннере согласия. Это нарушение независимо от того, есть ли на сайте политика конфиденциальности. Но отсутствие политики делает его двойным: счётчик запускается раньше согласия, а само согласие — юридически ничтожно, потому что пользователю не было сказано, с чем именно он соглашается.

Технически исправить порядок запуска счётчика несложно: Метрика должна инициализироваться только после того, как пользователь ответил на запрос в баннере. Но без политики конфиденциальности, которая объясняет, что именно делает этот счётчик, даже правильно настроенный баннер не даёт юридически значимого согласия.

Как выглядит «декоративная» политика, которая не защищает

Часть документов на сайтах называется политикой конфиденциальности, а по содержанию это просто текст для галочки. Признаки:

• скопирована с другого сайта с чужим названием компании в тексте;
• нет реквизитов оператора — ИНН, адрес, контакт для обращений;
• цели обработки сформулированы как «для улучшения сервиса» без расшифровки;
• нет перечня третьих лиц и конкретных сроков хранения;
• документ не обновлялся с момента создания сайта, при том что за это время подключили несколько новых сервисов.

Такой документ не защитит при проверке. Он создаёт видимость порядка, но при первом вопросе Роскомнадзора ответить по существу не получится.

Что проверить прямо сейчас

Откройте политику конфиденциальности вашего сайта и проверьте: есть ли ИНН и контакт оператора, указана ли Яндекс.Метрика в перечне третьих лиц, прописаны ли сроки хранения данных. Если хотя бы одного из этих пунктов нет — документ нужно обновить до следующей проверки, а не после.

Политика конфиденциальности — не разовая задача. Её нужно обновлять каждый раз, когда на сайте появляется новый сервис или меняется способ сбора данных. Проверить, соответствует ли текущий документ реальному положению дел на вашем сайте, — часть аудита на соответствие 152-ФЗ.

---

Бесплатная проверка сайта на соответствие 152-ФЗ →