Политика обработки персональных данных: структура, обязательные разделы и частые ошибки
Коротко
Почему Политика ОПД – не просто «ещё одна страница на сайте»
Политика обработки персональных данных – юридический документ, который определяет правила игры между вами (оператором) и пользователями (субъектами ПДн). Это не формальность, а публичная оферта о том, как вы обращаетесь с данными людей.
Роскомнадзор при проверке смотрит на три вещи:
- Есть ли Политика на сайте вообще. Если нет – состав по ч. 3 ст. 13.11 КоАП РФ, штраф до 60 000 ₽.
- Соответствует ли её содержание закону. Скопировали с чужого сайта цели, которых у вас нет – несоответствие.
- Доступна ли Политика пользователю до отправки данных. Ссылка должна вести на актуальный документ, а не на 404.
Если у вас нет Политики, вы с высокой вероятностью нарушаете и другие нормы: нет согласия на обработку (ч. 2 ст. 13.11, до 700 000 ₽), нет уведомления РКН (ч. 10 ст. 13.11, до 300 000 ₽). Одна проверка – несколько составов – сумма штрафов переваливает за миллион.
Обязательная структура: 6 разделов
Роскомнадзор в своих рекомендациях обозначил минимальный набор разделов, которые должны быть в Политике. Вот они – с пояснением, что писать в каждом:
Раздел 1. Общие положения
Что писать:
- Полные реквизиты оператора: ФИО/наименование, ИНН, ОГРН/ОГРНИП, адрес, e-mail
- Ссылку на 152-ФЗ как правовое основание Политики
- Определение того, на кого распространяется действие Политики (посетители сайта, заказчики и т.д.)
- Оговорку о праве оператора изменять Политику
| Поле | Пример |
|---|---|
| Оператор | Индивидуальный предприниматель Иванов Иван Иванович |
| ИНН | 123456789012 |
| ОГРНИП | 123456789012345 |
| info@example.ru |
Писать «Оператор: компания Ромашка» без ИНН и ОГРН. Роскомнадзору нужно идентифицировать юрлицо/ИП – без полных реквизитов Политика считается неполной.
Раздел 2. Термины и определения
Что писать: определения ключевых понятий – персональные данные, оператор, обработка ПДн, автоматизированная обработка, блокирование, обезличивание, уничтожение.
Не нужно придумывать свои определения – берите из ст. 3 ФЗ-152. Вот минимальный набор:
- Персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу
- Оператор – лицо, организующее и осуществляющее обработку ПДн
- Обработка ПДн – любое действие с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение
- Обезличивание – действия, после которых невозможно определить принадлежность данных конкретному лицу
- Сайт – ваш домен, на котором размещена Политика
- Cookies – файлы, сохраняемые на устройстве пользователя при посещении сайта
Раздел 3. Цели сбора персональных данных
Самый важный раздел. В нём вы объясняете, зачем собираете данные. Цели должны быть конкретными и не избыточными. Нельзя писать «для всего» или «для улучшения сервиса» – каждая цель должна быть привязана к реальной операции.
Формат – таблица:
| Цель обработки | Категория и перечень ПДн | Субъекты | Срок хранения | Способ обработки | Порядок уничтожения |
|---|---|---|---|---|---|
| Регистрация на сайте | ФИО, e-mail, телефон | Посетители сайта | 3 года с даты согласия | Автоматизированная | По приказу оператора, акт прекращения обработки |
| Заключение договора | ФИО, e-mail, телефон, адрес | Заказчики | Срок действия договора + 3 года | Автоматизированная | По приказу оператора |
| Обратная связь | e-mail, телефон | Заказчики | 1 год с даты последнего обращения | Автоматизированная | По приказу оператора |
Срок хранения ПДн по умолчанию – 3 года с даты согласия, если иное не установлено законом (например, бухгалтерские документы – 5 лет). Указывать «бессрочно» или «до отзыва согласия» недостаточно – нужен конкретный срок или критерий его определения.
Раздел 4. Объём и категории обрабатываемых данных
Что писать:
- Перечислить все категории ПДн, которые вы собираете (общие, специальные, биометрические – если есть)
- Указать, что объём данных не избыточен относительно заявленных целей
- Перечислить категории субъектов (посетители, заказчики, контрагенты)
Правило минимальности: вы собираете только те данные, которые реально нужны. Если для регистрации достаточно e-mail – не запрашивайте паспортные данные. Избыточный сбор – самостоятельное нарушение.
Если вы собираете данные о состоянии здоровья, политических взглядах, религиозных убеждениях – это специальные категории ПДн (ст. 10 ФЗ-152). Их обработка требует дополнительных мер защиты и отдельного согласия. Большинству сайтов такие данные не нужны – не включайте их в Политику «на всякий случай».
Раздел 5. Порядок и условия обработки
В этом разделе описывается, как именно вы обрабатываете данные:
- Способы обработки – автоматизированная, неавтоматизированная или смешанная
- Начало обработки – с момента получения данных и подтверждения согласия
- Конфиденциальность – гарантия, что данные не передаются третьим лицам без согласия субъекта (кроме случаев, предусмотренных законом)
- Меры защиты – организационные и технические меры по защите ПДн от неправомерного доступа (ст. 19 ФЗ-152)
- Действия при утечке – порядок уведомления Роскомнадзора (в течение 24 часов с момента выявления) и субъектов ПДн
- Трансграничная передача – если данные передаются за пределы РФ, укажите в какие страны и на каком основании
По ч. 5 ст. 18 ФЗ-152 при сборе ПДн (в том числе через интернет) оператор обязан обеспечить запись, систематизацию, накопление и хранение данных в базах на территории РФ. Если ваш хостинг в Германии или CRM в США – вы нарушаете требование локализации. Штраф: до 6 млн ₽ (ч. 8 ст. 13.11 КоАП).
Раздел 6. Актуализация, исправление, удаление и уничтожение ПДн
Что писать:
- Порядок направления субъектом запроса на доступ к своим данным (e-mail оператора)
- Срок ответа на запрос – не более 7 рабочих дней
- Порядок отзыва согласия на обработку (e-mail с пометкой «Отзыв согласия»)
- Порядок уничтожения ПДн: приказ оператора → акт прекращения обработки → удаление средствами информационной системы
- Срок реагирования на жалобы – 10 рабочих дней
Заключительные положения (Раздел 7)
- Порядок информирования об изменениях Политики (рассылка, баннер на сайте)
- Бессрочность действия Политики до замены новой версией
- Контактный e-mail для вопросов по обработке ПДн
- Информация о cookies: баннер при входе на сайт, какие данные собираются через cookies
5 частых ошибок при составлении Политики
| Ошибка | Почему это проблема | Как исправить |
|---|---|---|
| Скопировали с чужого сайта | Цели обработки не совпадают с вашими – при проверке это несоответствие = нарушение | Адаптируйте шаблон: оставьте структуру, замените содержание под свои цели |
| Нет реквизитов оператора | Роскомнадзор не может идентифицировать, кто отвечает за обработку | Укажите полные ФИО/наименование, ИНН, ОГРН/ОГРНИП, адрес, e-mail |
| Размытые цели обработки | «Для улучшения сервиса» – не цель, а маркетинговая фраза | Каждая цель должна быть конкретной: «Регистрация на сайте», «Заключение договора», «Обратная связь» |
| Нет срока хранения | Субъект ПДн имеет право знать, как долго хранятся его данные | Укажите конкретный срок или критерий: «3 года с даты согласия» или «до отзыва согласия, но не более 3 лет» |
| Нет раздела об уничтожении ПДн | Без порядка уничтожения Политика неполна – нет ответа на вопрос «что будет с моими данными, когда они больше не нужны?» | Опишите процедуру: приказ → акт → уничтожение встроенными средствами ИС |
Чек-лист: самопроверка Политики за 10 минут
Откройте Политику на своём сайте
Найдите ссылку в футере. Проверьте, что она работает и ведёт на актуальную версию, а не на 404 или старый черновик.
Проверьте реквизиты оператора
ИНН, ОГРН/ОГРНИП, полное наименование, e-mail – всё должно быть заполнено, а не содержать прочерки или placeholders вида «___».
Сверьте цели обработки с реальностью
Если в Политике написано «обработка данных несовершеннолетних», а вы не работаете с детьми – удалите этот пункт. Каждая цель должна соответствовать тому, что вы реально делаете.
Проверьте таблицу целей
Для каждой цели должны быть заполнены: категория ПДн, субъекты, срок хранения, способ обработки и порядок уничтожения. Пустые ячейки = неполная Политика.
Убедитесь, что есть раздел об уничтожении ПДн
Должен быть описан порядок: кто издаёт приказ, как фиксируется факт уничтожения (акт), какими средствами удаляются данные.
Политика – это публичный документ о ваших правилах. Но законным основанием обработки ПДн является Согласие пользователя (отдельный документ + чекбокс на форме). Наличие Политики без Согласия не освобождает от штрафа по ч. 2 ст. 13.11 КоАП РФ.