Политика конфиденциальности — образец 2026 со всеми 17 пунктами по 152-ФЗ

Скачать шаблон политики «как у всех» — самый частый совет в интернете. Самый частый штраф — за такую политику. Роскомнадзор сейчас проверяет не наличие документа, а его содержание. Шаблон без подстановки реквизитов и без описания именно вашего сайта — формальное нарушение.

Дальше — все 17 обязательных пунктов с пояснениями, что писать в каждом.

Содержание

1. Зачем нужна политика
2. Где разместить и как назвать
3. Все 17 пунктов — образец
4. Готовый текст для микро-бизнеса
5. Главные ошибки в политиках
6. Как часто обновлять
7. Частые вопросы
8. Об авторе

Зачем нужна политика

Краткий ответ. Политика конфиденциальности — это публичный документ, в котором вы как оператор рассказываете что собираете, зачем, как храните, с кем делитесь и как удалить. Без неё — штраф 30-100 тысяч ₽ + риск не пройти проверку РКН.

По статье 18.1 152-ФЗ оператор персональных данных обязан опубликовать «политику в отношении обработки персональных данных» в публично доступном месте. Для сайта — это страница на этом сайте, обычно /policy или /privacy, с ссылкой в подвале.

Политика выполняет три функции:

— Информирует пользователей — что вы с их данными делаете. Это правовая прозрачность. — Защищает вас — на случай проверки или жалобы вы можете показать «вот, в политике всё написано». — Задаёт рамки обработки — обрабатывать данные можно только так, как заявлено в политике. Шире — нарушение.

Без политики или с шаблонной — формальное нарушение. Размер штрафа за «несоответствие требованиям к опубликованию политики»: 60-100 тысяч для ООО, 30-60 тысяч для ИП.

Где разместить и как назвать

— URL страницы: /policy, /privacy, /politika-konfidencialnosti — любой вариант — Ссылка в подвале на каждой странице сайта — Заголовок документа: «Политика обработки персональных данных» или «Политика конфиденциальности» — Доступ: публичный, без авторизации, без капчи

Документ должен открываться напрямую по прямой ссылке. Если для просмотра нужно зарегистрироваться или нажать «согласиться» — это формально нарушает требование «публично доступной» политики.

Все 17 пунктов — образец

По статье 18.1 152-ФЗ в политике должно быть 17 обязательных пунктов. Перечисляю с пояснением что писать в каждом.

1. Сведения об операторе (наименование, адрес, ИНН, ОГРН). Полные ваши реквизиты как ИП или ООО + email и телефон ответственного за обработку. Если есть запись в реестре РКН — указать её номер.

2. Цель обработки персональных данных. Конкретно зачем собираете. «Связь с клиентом по обращениям», «Оформление и доставка заказа», «Отправка маркетинговой рассылки» и т.д.

3. Правовое основание обработки. Согласие субъекта (статья 6 ч.1 п.1) — для большинства случаев на сайте. Исполнение договора (п.5) — для интернет-магазина при оформлении заказа.

4. Категории и перечень субъектов ПДн. Кто это люди, чьи данные обрабатываете. Обычно: «посетители сайта», «клиенты», «контрагенты», «сотрудники».

5. Перечень обрабатываемых ПДн. Что конкретно собираете. «Имя, email, телефон, адрес доставки (для магазина), IP-адрес, cookies». Перечислять только то что реально собирается.

6. Способы обработки. «Сбор через формы на сайте», «хранение в базе данных», «передача в курьерскую службу для доставки», «передача в платёжный сервис для приёма платежа».

7. Сроки обработки и хранения. Сколько храните. «До достижения целей обработки», «3 года после последнего контакта», «5 лет после оплаты в соответствии с НК РФ».

8. Передача данных третьим лицам. Кому передаёте: курьерская служба, платёжный сервис, email-рассылка, CRM. Перечислить с указанием для какой цели. Не забыть Tilda / Webasyst / WordPress — платформы тоже считаются обработчиками.

9. Меры по обеспечению безопасности. «Парольная защита, антивирус, шифрование передачи (HTTPS), регулярное резервное копирование, разграничение доступа сотрудников».

10. Сведения о трансграничной передаче. Если используете Google Analytics, Hotjar, Meta Pixel — да, передаёте за границу. Указать страны и сервисы. Без этого — нарушение.

11. Контакты ответственного за обработку. ФИО, email, телефон. В микро-бизнесе обычно сам ИП или директор.

12. Порядок реагирования на запросы субъектов. Как и куда писать чтобы запросить данные или удалить. «По email [...]@[domain] в свободной форме».

13. Порядок уничтожения данных. Что делаете когда срок хранения истёк или субъект попросил удалить. «Удаление из БД с подтверждением, удаление физических копий».

14. Дата актуализации. Когда документ был последний раз обновлён. Должна быть актуальная.

15. Порядок внесения изменений. Как информируете о изменении политики. «Публикация новой версии на этой странице с уведомлением через email подписчиков».

16. Реализация требований к обезличиванию. Применяете ли вы обезличивание данных (например, для аналитики). Если нет — указать «Обезличивание не применяется».

17. Сведения об автоматизированной обработке. Используются ли автоматические решения, влияющие на права субъекта. Для обычного сайта малого бизнеса — «Автоматическое принятие юридически значимых решений на основе обработки ПДн не осуществляется».

Готовый текст для микро-бизнеса

Приводим короткий шаблон-каркас. Замените всё в квадратных скобках своими данными.

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
[Название сайта или ИП/ООО]

Дата актуализации: [DD.MM.2026]

1. ОБЩИЕ ПОЛОЖЕНИЯ
Настоящая Политика обработки персональных данных составлена в соответствии
с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператор: [ИП/ООО НАЗВАНИЕ], ИНН [XXX], ОГРН [XXX], юридический адрес [XXX].
Запись в реестре операторов Роскомнадзора: № [XX-XX-XXXXXXX].
Контактный email ответственного за обработку: [email]

2. ЦЕЛИ ОБРАБОТКИ
[Список: связь с клиентом, выполнение договоров, отправка рассылки и т.п.]

3. ПРАВОВОЕ ОСНОВАНИЕ
- Согласие субъекта (для форм обратной связи и подписки на рассылку)
- Исполнение договора (для интернет-магазина при оформлении заказа)
- Требование закона (для бухгалтерской отчётности)

4. КАТЕГОРИИ СУБЪЕКТОВ
- Посетители сайта
- Клиенты, оставившие заявку или сделавшие заказ
- Контрагенты

5. ПЕРЕЧЕНЬ ДАННЫХ
[Список конкретных полей, что собирают ваши формы]

6. СПОСОБЫ ОБРАБОТКИ
Сбор, систематизация, накопление, хранение, уточнение, использование,
передача (включая трансграничную), обезличивание, блокирование,
удаление, уничтожение.

7. СРОКИ ХРАНЕНИЯ
До достижения целей обработки или до отзыва согласия, но не более:
- для маркетинговых данных — 3 года
- для финансовой документации — 5 лет (требование НК РФ)

8. ПЕРЕДАЧА ТРЕТЬИМ ЛИЦАМ
Передача данных осуществляется следующим третьим лицам:
- [Платформа сайта] — для хранения базы данных сайта (Российская Федерация)
- [Платёжный сервис] — для приёма платежей
- [Курьерская служба] — для доставки заказов
- [Email-сервис] — для отправки уведомлений
- ООО «Яндекс» (через сервис Яндекс Метрика) — для аналитики

9. БЕЗОПАСНОСТЬ
Технические меры: парольная защита, HTTPS, антивирус.
Организационные меры: разграничение доступа сотрудников, регулярное копирование.

10. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА
[Если есть Google Analytics, Hotjar, Meta Pixel — описать.
Если нет — указать "Трансграничная передача не осуществляется"]

11. КОНТАКТ ОТВЕТСТВЕННОГО
[ФИО], email: [...]

12. ЗАПРОСЫ СУБЪЕКТОВ
Запросы об обработке, изменении или удалении данных принимаются по
email: [...]. Срок ответа — 30 дней.

13. УНИЧТОЖЕНИЕ ДАННЫХ
По истечении срока хранения или по запросу субъекта данные удаляются
из всех систем оператора с подтверждением.

14. ИЗМЕНЕНИЯ В ПОЛИТИКЕ
Изменения публикуются на этой странице. Дата актуализации указывается
в начале документа.

15. ОБЕЗЛИЧИВАНИЕ
Обезличивание данных применяется при формировании статистических
отчётов / Обезличивание не применяется.

16. АВТОМАТИЗИРОВАННАЯ ОБРАБОТКА
Автоматическое принятие юридически значимых решений на основе
обработки ПДн не осуществляется.

17. ОТВЕТСТВЕННОСТЬ
[Стандартная фраза о ответственности оператора по 152-ФЗ]

Готовая политика с заполненными 17 пунктами под ваш сайт и реквизиты, без необходимости разбираться в законе — за 290 ₽ в тарифе Базовый.

Главные ошибки в политиках

1. Шаблон «ООО Ромашка» без замены реквизитов. Самая частая. РКН видит, что в политике другая организация — формально вы не оператор данной политики.

2. Не указан перечень данных. «Мы собираем ваши персональные данные» без перечисления каких. Нарушение.

3. Не указаны цели. Общие фразы «для улучшения сервиса» без конкретики.

4. Нет третьих лиц. Используете Google Analytics, JivoSite, ЮКассу — а в политике нет. Нарушение.

5. Не указана трансграничная передача. Самая «дорогая» ошибка — за GA без декларации можно получить 300 тысяч–6 миллионов.

6. Нет номера записи в реестре операторов. Должен быть после подачи уведомления в РКН.

7. Дата актуализации годовалой давности. Если последний раз обновляли «2024-03-15» — РКН воспринимает как устаревший документ.

8. Политика только в footer, не открывается по прямой ссылке. Должна быть открыта прямой ссылкой, без модалок или регистрации.

Как часто обновлять

Минимум раз в год — менять дату актуализации даже если содержание не поменялось. Это показывает что вы следите за документом.

Обязательно обновлять когда:

— Сменили платформу (был Webasyst → стал Tilda) — Добавили / убрали инструменты аналитики — Сменили платёжный сервис — Изменились ваши реквизиты — Изменилось законодательство (например, новые поправки в 152-ФЗ)

При каждом обновлении — менять dateModified в JSON-LD на сайте + желательно отправлять уведомление подписчикам (если есть рассылка).

Частые вопросы

Можно использовать одну политику для двух разных сайтов?

Технически можно, но рискованно. Лучше для каждого сайта отдельная политика — с описанием именно его форм и инструментов.

Если у меня политика на 2 страницах — это нарушение?

Нет, объём не регламентируется. Главное — все 17 пунктов и доступность.

Можно сделать политику в PDF, скачиваемую с сайта?

Не рекомендуется. Политика должна быть «публично доступной» — это значит легко читаемой без скачивания. HTML-страница лучше.

Нужно ли политику переводить на английский, если сайт двуязычный?

Если есть английская версия сайта — желательно. Для русскоязычных клиентов достаточно русской политики.

Можно ли в политике указать «может изменяться без предварительного уведомления»?

Можно, и стандартно так и делают. Но желательно уведомлять подписчиков по email о существенных изменениях.

Если я работаю с детьми — что-то меняется в политике?

Да, для обработки данных детей до 14 лет нужно согласие родителей. Это отдельный пункт в политике. Если ваш сайт ориентирован на взрослых — добавьте «не предназначен для лиц младше 18 лет».

Согласие в политике и галочка под формой — это одно и то же?

Нет. Политика — это документ-описание. Согласие — это активное действие пользователя (галочка). Нужны оба.

Что делать дальше

Если политики на сайте нет — нужно сделать срочно. Размер штрафа от 30 до 100 тысяч.

Если политика есть, но шаблонная — проверьте по списку 17 пунктов выше. Хотя бы один не закрыт — формально не соответствует 152-ФЗ.

Бесплатная проверка вашего сайта на политику и согласие. 30 секунд, без регистрации.

Готовая политика под ваш сайт с заполненными реквизитами — в тарифе Базовый за 290 ₽.

Читайте также

• Согласие на обработку ПДн: образец — без политики недостаточно.
• Cookie-уведомление по ФЗ-420 — отдельный документ с 2025.
• 152-ФЗ для сайтов на Tilda — как разместить политику на лендинге.
• 152-ФЗ простыми словами — зачем вообще нужна политика.

Об авторе

Дмитрий Синица. ИП с 2013 года, в разработке с 2010-го.

Направления: сайты (от лендингов до магазинов), чат-боты с ИИ и без, автоматизация процессов в малом бизнесе.

PdAudit.ru сделал, зная боли своих клиентов: кто-то где-то услышал про 152-ФЗ, подумал «потом разберусь», и через год сайт всё ещё без политики и согласия. Сервис за минуту находит проблемы и собирает готовые документы под конкретный сайт.

ИНН 502716306004, ОГРНИП 313502708000051. Запись в реестре операторов ПДн №77-25-358038 от 23.06.2025.

Источники

— 152-ФЗ статья 18.1 — Реестр операторов ПДн

Актуализация: 19 мая 2026.