Любой сайт с формой заявки, корзиной или подпиской собирает персональные данные, а значит, обязан показывать посетителю политику конфиденциальности, то есть документ о том, какие данные, зачем и как долго обрабатывает владелец сайта. С 2025 года правила заметно ужесточились: отдельное согласие, запрет иностранных баз данных, кратно выросшие штрафы. Разбираем, что должно быть в политике в 2026 году, и даём образец, который подходит и для ИП, и для небольшой компании.
Образец политики конфиденциальности для сайта в Word
Готовый шаблон: подставьте свои данные вместо полей в квадратных скобках.
Не хотите заполнять вручную?
В «Документах Про» этот документ можно сгенерировать целиком под вашу ситуацию: с вашими данными, расчётами и ссылками на нормы. Готовый документ скачивается в Word и сразу готов к подаче.
Коротко: что нужно знать в 2026 году
| Вопрос | Ответ |
|---|---|
| Обязательна ли политика | Да, для любого оператора, который собирает данные через сайт (ч. 2 ст. 18.1 Закона № 152-ФЗ) |
| Где разместить | На самом сайте, на странице с неограниченным доступом; ссылка — рядом с каждой формой |
| Нужно ли уведомить Роскомнадзор | Да, до начала обработки (ч. 1 ст. 22 152-ФЗ); исключений для сайтов практически нет |
| Согласие посетителя | С 01.09.2025 оформляется отдельно от иных документов, в том числе от политики (ч. 1 ст. 9) |
| Где хранить базы | Только в России: с 01.07.2025 работа с данными граждан РФ в зарубежных базах запрещена (ч. 5 ст. 18) |
| Штраф за отсутствие политики | Для ИП — 10 000–20 000 ₽, для юрлиц — 30 000–60 000 ₽ (ч. 3 ст. 13.11 КоАП) |
Политика конфиденциальности: это какой документ с точки зрения закона
В законе термина «политика конфиденциальности» нет. Закон о персональных данных говорит о «документе, определяющем политику оператора в отношении обработки персональных данных» (п. 2 ч. 1 и ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ). Название на сайте может быть любым: «Политика конфиденциальности», «Политика обработки персональных данных», «Положение о персональных данных». Важно содержание.
Оператор, который собирает данные через интернет, обязан опубликовать политику и сведения о реализуемых требованиях к защите данных на сайте, через который идёт сбор, и обеспечить к ним доступ (ч. 2 ст. 18.1). Если на сайте есть форма обратной связи, онлайн-запись, корзина, чат или хотя бы поле «оставьте телефон», владелец сайта уже оператор.
Отсюда частый вопрос: нужна ли политика конфиденциальности для ИП? Формально обязанность издавать документы о политике п. 2 ч. 1 ст. 18.1 возлагает на оператора — юридическое лицо. Но обязанность опубликовать политику на сайте (ч. 2) касается любого оператора, а санкция ч. 3 ст. 13.11 КоАП отдельно называет индивидуальных предпринимателей. Поэтому политика конфиденциальности для ИП нужна в том же объёме, что и для компании.
Политику путают с двумя соседними документами:
- Согласие на обработку — волеизъявление посетителя. Политика его не заменяет: с 1 сентября 2025 года согласие должно быть оформлено отдельно от иной информации и документов, которые подписывает или подтверждает субъект (ч. 1 ст. 9 в ред. Федерального закона от 24.06.2025 № 156-ФЗ). Подробно — в статье про согласие на обработку персональных данных.
- Пользовательское соглашение — договор о правилах пользования сайтом. На политику можно сослаться в нём, но вшивать её внутрь соглашения неудобно и рискованно.
Что изменилось в 2025–2026 годах
Отдельное согласие (с 01.09.2025). Формулировка «нажимая кнопку, вы соглашаетесь с политикой конфиденциальности и даёте согласие на обработку» больше не работает. Нужны две вещи: ссылка на политику (для информирования) и отдельное согласие, например, отдельный чекбокс со ссылкой на текст согласия, который не стоит по умолчанию. Объединять согласие с офертой, соглашением или самой политикой нельзя.
Запрет иностранных баз (с 01.07.2025). Федеральный закон от 28.02.2025 № 23-ФЗ изложил ч. 5 ст. 18 так, что запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных за пределами России не допускаются, кроме узких случаев (пп. 2, 3, 4, 8 ч. 1 ст. 6). Практически это значит: формы на зарубежных конструкторах, CRM и почтовые сервисы с серверами за рубежом, зарубежная веб-аналитика создают риск. В политике прямо пишите, что базы данных находятся в России.
Оборотные и крупные штрафы (с 30.05.2025). Федеральный закон от 30.11.2024 № 420-ФЗ переписал ст. 13.11 КоАП: появились отдельные составы за неуведомление Роскомнадзора, за непредставление сведений об утечке и штрафы за утечки, вплоть до оборотных при повторности. Подробный разбор — в материале о штрафах за утечки персональных данных.
Трансграничная передача. Если данные всё же передаются за рубеж (например, иностранному подрядчику), оператор заранее уведомляет Роскомнадзор (ч. 3 ст. 12). Федеральный закон от 26.07.2026 № 265-ФЗ скорректировал критерии «адекватной защиты» в ст. 12, поэтому перечень стран сверяйте по актуальному приказу РКН. Для обычного российского сайта проще и безопаснее указать: трансграничная передача не осуществляется.
Уведомление Роскомнадзора: кто подаёт и когда
С 1 сентября 2022 года из ч. 2 ст. 22 исключили почти все исключения. Без уведомления можно обрабатывать данные, только если обработка ведётся исключительно без средств автоматизации, данные включены в специальные ГИС либо обработка связана с транспортной безопасностью. Сайт — это всегда автоматизированная обработка, значит, уведомление нужно подать до начала сбора.
Уведомление подают на портале pd.rkn.gov.ru в электронной форме (с подписью или с последующей отправкой бумажного экземпляра). Об изменении сведений, например о новой цели или новом хостинге, нужно сообщить не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22).
| Нарушение | Норма КоАП | ИП / должностное лицо | Юрлицо |
|---|---|---|---|
| Не опубликована политика | ч. 3 ст. 13.11 | ИП 10–20 тыс. ₽; должн. лицо 6–12 тыс. ₽ | 30–60 тыс. ₽ |
| Обработка без согласия, когда оно нужно | ч. 2 ст. 13.11 | должн. лицо 100–300 тыс. ₽ | 300–700 тыс. ₽ |
| Не подано уведомление в РКН | ч. 10 ст. 13.11 | должн. лицо 30–50 тыс. ₽ | 100–300 тыс. ₽ |
| Базы данных за рубежом | ч. 8 ст. 13.11 | должн. лицо 100–200 тыс. ₽ | 1–6 млн ₽ (повторно — 6–18 млн ₽, ч. 9) |
ИП по ст. 2.4 КоАП отвечает как должностное лицо, если статья не устанавливает иное.
Политика конфиденциальности для сайта образец: что в нём и как заполнить
Образец построен по логике ст. 18.1 152-ФЗ: для каждой цели обработки указаны категории субъектов, перечень данных, правовое основание, способы и сроки. Такой же подход отражён в рекомендациях Роскомнадзора по составлению политики.
Шапка и общие положения
Политика утверждается приказом руководителя организации или ИП: укажите дату и номер приказа. В разделе 1 — назначение документа, адрес сайта и адрес страницы, где он опубликован. Не копируйте определения из закона целиком: достаточно сослаться на ст. 3 152-ФЗ и расшифровать два-три термина, которые используются в тексте.
Сведения об операторе
Полное наименование, ИНН, ОГРН или ОГРНИП, адрес, электронная почта для обращений по персональным данным. Для организации — ФИО ответственного за организацию обработки (ст. 22.1). Эти сведения должны совпадать с уведомлением в РКН и с реестром операторов.
Цели, данные, основания и сроки (таблица)
Главная часть документа. В образце четыре типовые цели: ответ на обращения через форму, заключение и исполнение договора, информационная рассылка, веб-аналитика. Если вы чего-то не делаете (например, нет рассылки), удалите строку. Если делаете больше (отзывы, личный кабинет, программа лояльности), добавьте строку по тому же принципу. Ошибка «одна цель на всё» или «в целях осуществления деятельности оператора» — прямое нарушение ч. 2 ст. 5: цели должны быть конкретными, а объём данных им соответствовать.
Сроки указывайте реальные. Для договорных данных разумно связать срок с налоговым и бухгалтерским хранением (5 лет по ст. 29 Закона о бухучёте и пп. 8 п. 1 ст. 23 НК — по документам, нужным для налогового учёта), для заявок — короткий срок, например 1 год.
Cookies и метрика
Если на сайте стоит счётчик, честно назовите сервис и что он собирает. Являются ли cookie-файлы и IP-адрес персональными данными, в практике решается неоднозначно; осторожнее исходить из того, что являются, если в связке с другими сведениями они позволяют выделить конкретного пользователя. Безопасный подход: российский сервис аналитики, баннер о cookies и отдельное согласие на аналитику.
Передача третьим лицам и поручение обработки
Хостинг, CRM, служба доставки, платёжный агрегатор обрабатывают данные по вашему поручению (ч. 3 ст. 6). Перечислите их в политике по наименованию или категориям, а с каждым заключите договор с условиями о поручении. Подробнее о том, как оформлять отношения с подрядчиками, — в статье про соглашение о неразглашении.
Права субъекта и порядок обращений
Перечислите права из ст. 14–17 и сроки ответа: 10 рабочих дней с возможностью продления на 5 рабочих дней с уведомлением (ч. 1–3 ст. 20). При отзыве согласия обработку прекращают, а данные уничтожают в срок не более 30 дней, если нет иного основания для обработки (ч. 5 ст. 21).
Локализация, защита, уничтожение
Укажите, что базы находятся в России, назовите основные меры защиты (без технических деталей, которые помогут злоумышленнику), порядок уничтожения и документирования по требованиям Приказа Роскомнадзора от 28.10.2022 № 179. Отдельной строкой: при утечке оператор уведомляет РКН в течение 24 часов и сообщает результаты расследования в течение 72 часов (ч. 3.1 ст. 21).
Пошаговый порядок
- Составьте перечень данных, которые реально собирает сайт: формы, корзина, чат, метрика, рассылка.
- Проверьте, где физически находятся серверы хостинга, CRM, формы и почтового сервиса. Всё, что за рубежом, перенесите в Россию.
- Заполните образец политики, удалите лишние цели.
- Утвердите политику приказом.
- Подготовьте отдельный текст согласия и разместите чекбокс у каждой формы.
- Подайте уведомление в Роскомнадзор до запуска сбора или до 15-го числа следующего месяца при изменении сведений.
- Опубликуйте политику на отдельной странице и поставьте ссылку в подвал и рядом с формами.
- Пересматривайте политику при каждом изменении сервисов и целей.
Частые ошибки
- Скачанная «политика конфиденциальности и условия использования Google» или переведённый текст зарубежной компании. Иностранные документы написаны под GDPR и не содержат того, что требует ст. 18.1: целей с перечнями данных, сроков, сведений о локализации.
- Политика вместо согласия. Один чекбокс «согласен с политикой» с 01.09.2025 не подтверждает согласие на обработку.
- Проставленная по умолчанию галочка. Согласие должно быть сознательным и однозначным (ч. 1 ст. 9).
- Расхождение с уведомлением в РКН. Цели и перечни данных в политике и в реестре операторов должны совпадать.
- Политика есть, а данных в ней нет. Отсутствие наименования, ИНН и контактов оператора — типовое замечание при проверках.
- Иностранные формы и аналитика. После 01.07.2025 это риск штрафа по ч. 8 ст. 13.11 КоАП.
Особые случаи
Интернет-магазин. Политика конфиденциальности для интернет-магазина образец дополняется целями «доставка заказа» и «возврат товара», перечнем служб доставки и платёжных сервисов как лиц, обрабатывающих данные по поручению. Для дистанционной продажи срок хранения данных о заказе связан с гарантийным сроком и сроками на претензии.
Сайты госорганов и учреждений. На платформе «ГосВеб» и на других официальных сайтах политика конфиденциальности размещается по тем же правилам ст. 18.1; оператором выступает сам орган или учреждение, а правовые основания чаще всего связаны с исполнением полномочий (п. 2–4 ч. 1 ст. 6), а не с согласием.
Сайт-визитка без форм. Если сайт не собирает данные и не ставит метрику, обязанности опубликовать политику нет. Но достаточно кнопки мессенджера или виджета обратного звонка, чтобы она появилась.
Можно ли взять образец 2025 года
Если у вас уже есть политика конфиденциальности сайта образец 2025 года, проверьте дату её составления. Тексты, написанные до 1 сентября 2025 года, обычно предлагают «согласие через политику» и не упоминают запрет иностранных баз. Политика конфиденциальности персональных данных, образец которой приложен к этой статье, учитывает обе новеллы и сведения для уведомления РКН.
Чек-лист
Отмечено 0 из 8
Статья носит информационный характер и отражает законодательство на октябрь 2026 года; перед публикацией политики сверьте её со своими реальными процессами обработки данных и актуальной редакцией Закона № 152-ФЗ.
