Политика обработки данных и согласие: что нужно сайту
Форма заказа с именем и почтой — это уже обработка персональных данных, а значит три обязанности: опубликовать политику, получить согласие там, где оно нужно, и уведомить Роскомнадзор. Разбираю, чем эти три вещи различаются, что стоит каждая ошибка и даю формулировки, которые можно взять за основу.
Путаница начинается с того, что три разных документа называют одним словом «политика». Они решают разные задачи, и наличие одного не заменяет другой.
| Что это | Зачем | Где живёт |
|---|---|---|
| Политика обработки персональных данных | объясняет, что вы собираете, зачем, сколько храните и как удалить | опубликована на сайте, доступна без регистрации |
| Согласие субъекта | разрешение конкретного человека на конкретную обработку | отдельная галочка при заказе или подписке |
| Уведомление Роскомнадзора | сообщает государству, что вы обрабатываете данные | подаётся один раз до начала обработки |
Кто вообще оператор
Оператор — любой, кто собирает и обрабатывает персональные данные. Если на сайте есть форма заказа, подписки, обратной связи или личный кабинет — вы оператор, даже если это лендинг на пять экранов, а вы ИП без сотрудников. Имя, телефон, почта, адрес доставки — всё это персональные данные.
Политика: что требует закон
Часть 2 статьи 18.1 закона 152-ФЗ обязывает опубликовать документ, определяющий политику обработки персональных данных, и сведения о реализуемых требованиях к их защите. Для сайта это значит: страница в открытом доступе, без входа и регистрации, со ссылкой в подвале и рядом с формами.
Разделы, которые в ней должны быть:
- кто оператор — наименование или ФИО, ОГРН/ОГРНИП, адрес, почта для обращений;
- какие данные собираются — перечень по каждой форме: имя, телефон, почта, адрес, данные заказа;
- цели — оформление и выдача заказа, поддержка, рассылка, аналитика; для каждой цели свой перечень;
- правовое основание — исполнение договора, согласие, требование закона;
- кому передаются — платёжный сервис, служба доставки, сервис рассылок, хостинг; лучше назвать их прямо;
- сроки хранения и порядок уничтожения;
- права субъекта — получить сведения, уточнить, отозвать согласие, потребовать удаления, и куда для этого писать;
- меры защиты — кратко: ограничение доступа, шифрование канала, резервные копии;
- использование cookie и систем аналитики, если они стоят.
Согласие: когда нужно и как оформить
Согласие требуется не всегда. Если данные нужны, чтобы исполнить договор с этим же человеком — оформить и выдать заказ, — основанием служит сам договор. А вот рассылка, реклама и передача данных партнёрам без согласия невозможны.
Требования к согласию в части 1 статьи 9 закона сформулированы жёстко: оно должно быть конкретным, предметным, информированным, сознательным и однозначным, дано свободно, и — ключевое для сайта — «оформлено отдельно от иных информации и (или) документов».
Рабочие формулировки, которые можно взять за основу:
- При оформлении заказа: «Я даю согласие на обработку моих персональных данных (имя, адрес электронной почты, телефон) для оформления и выдачи заказа на условиях Политики обработки персональных данных».
- Для рассылки, отдельной галочкой: «Я согласен получать информационные и рекламные сообщения на указанный адрес электронной почты и могу отписаться в любой момент по ссылке в письме».
- Рядом с формой обратной связи: «Отправляя сообщение, я подтверждаю, что ознакомился с Политикой обработки персональных данных».
Уведомление Роскомнадзора
Статья 22 обязывает уведомить ведомство до начала обработки. Раньше действовали исключения — для данных, полученных в связи с договором, для данных работников и ещё четыре случая, — но все они утратили силу с 1 сентября 2022 года. То есть интернет-магазин, лендинг с формой и сайт с личным кабинетом уведомление подают.
- подаётся через портал Роскомнадзора с электронной подписью либо на бумаге в территориальный орган;
- в уведомлении указываются оператор, цели обработки, категории данных и субъектов, правовое основание, перечень действий, сроки, меры защиты и ответственный за организацию обработки;
- если что-то из этого поменялось — подаётся информационное письмо об изменениях;
- данные попадают в открытый реестр операторов, по нему вас смогут найти и проверить.
Сколько стоит не сделать
| Нарушение | ИП и должностные лица | Юридические лица |
|---|---|---|
| Политика не опубликована (часть 3 статьи 13.11 КоАП) | должностные 6 000–12 000 ₽, ИП 10 000–20 000 ₽ | 30 000–60 000 ₽ |
| Обработка без письменного согласия там, где оно обязательно (часть 2) | должностные 100 000–300 000 ₽ | 300 000–700 000 ₽ |
| Не уведомили Роскомнадзор (часть 10) | должностные 30 000–50 000 ₽ | 100 000–300 000 ₽ |
| Не сообщили об утечке (часть 11) | должностные 400 000–800 000 ₽ | 1–3 млн ₽ |
| Утечка данных от 1 000 до 10 000 человек (часть 12) | должностные 300 000–500 000 ₽, ИП 500 000–1 000 000 ₽ | 1–1,5 млн ₽ |
КоАП РФ, статья 13.11 в редакции на сентябрь 2026 года. Части 10 и 11 введены законом от 30.11.2024 № 420-ФЗ.
Обратите внимание на порядок цифр: неопубликованная политика стоит десятки тысяч, а необработанное согласие и молчание об утечке — сотни тысяч и миллионы. Начинать стоит не с красивого текста, а с того, чтобы данные вообще собирались по основанию.
Что ещё легко упустить
- Хранение в России. Часть 5 статьи 18 требует, чтобы запись, систематизация и хранение данных россиян велись в базах на территории страны. Зарубежный хостинг или CRM без российской копии — это отдельный риск;
- Cookie и аналитика. Прямой нормы о баннере согласия в законе нет, но если счётчики связывают идентификатор с данными пользователя, это обработка. Упомяните аналитику в политике и дайте возможность отказаться;
- Отзыв согласия. Человек вправе отозвать его в любой момент, и у вас должен быть работающий канал: адрес почты, форма, кнопка отписки в письмах;
- Удаление данных. По требованию субъекта данные удаляются или обезличиваются; для этого нужен понятный порядок, а не «напишите нам, мы подумаем»;
- Ответственный за обработку. Его назначают приказом — это отдельная строка в уведомлении Роскомнадзора.
В моей системе продаж на странице оплаты выводятся отдельные галочки согласия с редактируемым текстом и ссылками на ваши документы, а данные заказов и клиентов остаются в базе вашего сайта на вашем хостинге — не уезжают в чужой сервис. Сами документы вы размещаете на своих страницах.
Посмотреть систему продажКоротко
- форма на сайте делает вас оператором персональных данных, даже если вы ИП без сотрудников;
- политика обязана быть опубликована в открытом доступе — это часть 2 статьи 18.1;
- согласие оформляется отдельно от других документов: одна галочка на оферту и данные не годится;
- для исполнения договора согласие не нужно, для рассылки и рекламы — обязательно;
- уведомление в Роскомнадзор подают все: прежние исключения отменены с 1 сентября 2022 года;
- цена вопроса: политика — десятки тысяч, согласие и утечки — сотни тысяч и миллионы;
- формулировки отсюда — заготовка, финальный текст должен посмотреть юрист.
Частые вопросы
Нужна ли политика конфиденциальности, если на сайте только форма обратной связи?
Да. Имя и адрес электронной почты — персональные данные, а их сбор делает вас оператором. Часть 2 статьи 18.1 закона 152-ФЗ требует опубликовать документ, определяющий политику обработки, в открытом доступе.
Можно ли объединить согласие на обработку данных и согласие с офертой в одну галочку?
Нет. Часть 1 статьи 9 требует, чтобы согласие было оформлено отдельно от иных информации и документов. Практика простая: одна галочка — условия продажи, вторая — обработка данных, третья, если есть рассылка, — согласие на рекламные сообщения.
Обязательно ли уведомлять Роскомнадзор интернет-магазину?
Да. Исключения, позволявшие не уведомлять при обработке данных в связи с договором, утратили силу 1 сентября 2022 года. Уведомление подаётся до начала обработки через портал ведомства или на бумаге.
Какой штраф, если политики нет на сайте?
По части 3 статьи 13.11 КоАП: должностным лицам 6 000–12 000 рублей, индивидуальным предпринимателям 10 000–20 000, юридическим лицам 30 000–60 000 рублей. Отдельно наказывается обработка без согласия там, где оно обязательно, — там суммы на порядок выше.
Можно ли хранить данные клиентов в зарубежном сервисе?
Часть 5 статьи 18 требует, чтобы запись, систематизация, накопление и хранение персональных данных граждан России велись в базах, расположенных в России. Зарубежный сервис допустим как дополнительный, но первичная база должна быть российской.
Источники
Документы и страницы, на которых основана статья, — можно проверить самому.
- 152-ФЗ, статья 9 — согласие на обработку персональных данных — проверено 10.09.2026
- 152-ФЗ, статья 18 — обязанности оператора при сборе — проверено 10.09.2026
- 152-ФЗ, статья 22 — уведомление об обработке — проверено 10.09.2026
- 152-ФЗ — полный текст закона — проверено 10.09.2026
- КоАП РФ, статья 13.11 — штрафы за нарушения в области персональных данных — проверено 10.09.2026
- Роскомнадзор: подача уведомления об обработке персональных данных — проверено 10.09.2026
Читать дальше
