Политика в отношении обработки персональных данных (далее — Политика) — один из ключевых документов оператора персональных данных. Без неё практически невозможно легально собирать данные через сайт, обрабатывать сведения клиентов, сотрудников или контрагентов.
В 2025–2026 годах требования к этому документу стали жёстче: выросли штрафы, изменились правила оформления согласий, усилились требования к локализации данных. Политика, утверждённая несколько лет назад «для галочки», часто уже не соответствует закону и реальным процессам компании.
В этой статье мы подробно разберём:
- что такое Политика и зачем она нужна;
- правовую основу;
- рекомендуемую структуру;
- содержание каждого раздела;
- изменения законодательства 2025–2026 годов;
- типичные ошибки;
- практические советы по разработке и актуализации.
Что такое Политика обработки персональных данных
Политика — это публичный документ, в котором оператор описывает:
- цели обработки персональных данных;
- правовые основания;
- категории субъектов и объём обрабатываемых данных;
- порядок и условия обработки;
- меры по защите данных;
- права субъектов и порядок их реализации.
Правовая основа — часть 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Оператор обязан издать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить неограниченный доступ к нему.
Роскомнадзор ещё в 2017 году выпустил Рекомендации по составлению документа, определяющего политику оператора. Эти рекомендации до сих пор остаются основным ориентиром при проверках.
Кому обязательно нужна Политика
Политика требуется практически всем, кто обрабатывает персональные данные:
- компаниям и ИП с сайтом, на котором есть формы заявок, подписки, регистрации;
- работодателям (обработка данных сотрудников и кандидатов);
- организациям, работающим с клиентами, пациентами, пользователями сервисов;
- тем, кто использует CRM, рассылки, аналитику, чат-боты.
Даже одна форма «Имя + телефон + e-mail» на сайте делает вас оператором и создаёт обязанность иметь Политику.
Подробнее о полном комплекте документов и уведомлении в Роскомнадзор можно узнать на странице услуги «Соблюдение 152-ФЗ под ключ».
Рекомендуемая структура Политики (по Роскомнадзору)
| № | Раздел | Что должно быть | |
|---|---|---|---|
| 1 | Общие положения | Назначение документа, реквизиты оператора, основные понятия, область применения | |
| 2 | Цели обработки персональных данных | Конкретные, заранее определённые и законные цели | |
| 3 | Правовые основания обработки | Согласие, договор, закон и другие основания ст. 6 152-ФЗ | |
| 4 | Объём и категории данных, категории субъектов | Какие данные и чьи именно обрабатываются по каждой цели | |
| 5 | Порядок и условия обработки | Способы, сроки, передача третьим лицам, трансграничная передача, хранение | |
| 6 | Актуализация, исправление, удаление, уничтожение; ответы на запросы субъектов | Права субъектов и порядок их реализации |
На практике Политику часто дополняют разделами о мерах защиты, cookie, ответственности и контактах для обращений.
Подробный разбор разделов
Общие положения
Укажите:
- полное наименование оператора, ИНН, ОГРН, адрес;
- цель документа;
- основные термины (персональные данные, оператор, субъект, обработка, обезличивание и т.д.);
- права и обязанности оператора и субъектов.
Цели обработки
Цели должны быть конкретными. Формулировки вроде «для улучшения сервиса» или «в маркетинговых целях» без детализации часто вызывают замечания.
Примеры корректных целей:
- обработка обращений и заявок пользователей сайта;
- заключение и исполнение договоров;
- кадровый учёт и исполнение трудового законодательства;
- направление информационных сообщений (при наличии согласия).
Правовые основания
Перечислите основания, на которых вы обрабатываете данные (ст. 6 152-ФЗ):
- согласие субъекта;
- необходимость исполнения договора;
- исполнение обязанностей, возложенных законом;
- и другие применимые пункты.
Категории субъектов и объём данных
Лучше оформить таблицей:
| Цель | Категория субъектов | Перечень персональных данных | Срок обработки |
|---|---|---|---|
| Обработка заявок с сайта | Пользователи сайта | ФИО, телефон, e-mail | До достижения цели / 3 года |
| Кадровый учёт | Работники, кандидаты | ФИО, паспортные данные, ИНН, СНИЛС… | В соответствии с законодательством |
Порядок и условия обработки
Опишите:
- способы обработки (автоматизированная, неавтоматизированная, смешанная);
- действия с данными (сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение);
- передачу данных третьим лицам (по поручению или с согласия);
- трансграничную передачу (если есть);
- локализацию баз данных граждан РФ на территории России.
Права субъектов и порядок их реализации
Субъект имеет право:
- получать информацию об обработке своих данных;
- требовать уточнения, блокирования или уничтожения;
- отозвать согласие;
- обжаловать действия оператора в Роскомнадзор или суд.
Укажите, как субъект может реализовать эти права (e-mail, форма на сайте, почтовый адрес) и в какие сроки вы отвечаете.
Важные изменения 2025–2026 годов, которые должна отражать Политика
- С 1 сентября 2025 года согласие на обработку персональных данных оформляется только отдельным документом (нельзя «вшивать» в договор, оферту или пользовательское соглашение) — Федеральный закон от 24.06.2025 № 156-ФЗ.
- Локализация данных: персональные данные граждан РФ при сборе должны записываться и храниться в базах, находящихся на территории Российской Федерации.
- Оборотные штрафы за повторные утечки (с 30 мая 2025 года) — до 3 % выручки, но не более 500 млн рублей.
- Усиление требований к уведомлению Роскомнадзора об инцидентах.
Политика, написанная до этих изменений, почти наверняка требует актуализации.
Диаграмма: жизненный цикл Политики
Политика — это «живой» документ. Её нужно пересматривать при изменении процессов, появлении новых форм сбора данных, подключении новых сервисов или изменении законодательства.
Типичные ошибки при разработке Политики
| Ошибка | Последствия | Как исправить |
|---|---|---|
| Скопирована «чужая» политика | Несоответствие реальным процессам | Писать только на основе собственного аудита |
| Цели слишком общие | Замечания Роскомнадзора | Конкретизировать каждую цель |
| Не указаны сроки хранения и порядок уничтожения | Нарушение принципов 152-ФЗ | Конкретизировать каждую цель |
| Не указаны сроки хранения и порядок уничтожения | Нарушение принципов 152-ФЗ | Прописать чёткие сроки и процедуры |
| Нет информации о передаче данных подрядчикам | Неполнота документа | Перечислить категории получателей |
| Политика не опубликована или спрятана | Нарушение ч. 2 ст. 18.1 | Разместить в открытом доступе со ссылкой в футере |
| Не учтены cookie и метрики | Риск претензий | Отдельный блок или отдельная cookie-policy |
| Согласие «вшито» в другие документы | Нарушение требований 2025 года | Делать согласие отдельным документом |
Практические советы
- Начинайте с аудита реальных процессов, а не с шаблона.
- Делайте Политику понятной — её будут читать не только юристы, но и пользователи и проверяющие.
- Синхронизируйте Политику с формами согласий, уведомлением в Роскомнадзор и внутренними актами.
- Размещайте актуальную версию на сайте и фиксируйте дату утверждения.
- Назначайте ответственного за организацию обработки персональных данных приказом.
- Пересматривайте документ минимум раз в год и при любых существенных изменениях.
Чем может помочь Solu
Мы разрабатываем полный комплект документов по 152-ФЗ «под ключ»: Политику обработки персональных данных, формы согласий, внутренние положения, приказы, проводим аудит сайта и процессов, готовим и подаём уведомление в Роскомнадзор.
Подробнее — на странице Соблюдение закона о персональных данных 152-ФЗ.
Также рекомендуем ознакомиться со статьёй «Как правильно обрабатывать персональные данные по 152-ФЗ».
Заключение
Политика обработки персональных данных — не формальность, а рабочий инструмент, который защищает и бизнес, и права граждан. Правильно составленный и актуальный документ снижает риски претензий Роскомнадзора, помогает выстроить прозрачные процессы и демонстрирует ответственную позицию компании.
В 2026 году особенно важно, чтобы Политика отражала реальные процессы, учитывала требования о локализации данных и отдельные согласия, а также была доступна любому пользователю сайта.