Политика конфиденциальности для сайта: образец 2026 и что должно быть по 152-ФЗ

Как только на сайте появляется форма, где человек оставляет имя, телефон или почту, сайт начинает собирать персональные данные. По закону это значит, что на сайте обязана быть опубликована политика конфиденциальности. Без неё сайт нарушает 152-ФЗ, и за это штрафуют. Ниже простыми словами разберём, что это за документ, что в нём должно быть по закону, и дадим готовый образец на 2026 год: можно скопировать прямо со страницы или скачать файл и заменить данные на свои.

Сразу про слова. Персональные данные (ПДн) это любая информация о человеке: имя, телефон, почта, а иногда даже cookie и IP-адрес, если по ним можно вычислить конкретного человека. Оператор это тот, кто собирает и обрабатывает эти данные, в нашем случае владелец сайта. Субъект это сам человек, чьи данные собирают. 152-ФЗ ("О персональных данных") это закон, который всё это регулирует, а следит за исполнением Роскомнадзор (РКН, ведомство по надзору в сфере связи и обработки данных).

Нужна ли политика и что грозит, если её нет#

Коротко: нужна почти всем. Закон 152-ФЗ в статье 18.1 прямо обязывает оператора опубликовать документ, который определяет его политику в отношении обработки персональных данных, или обеспечить к нему свободный доступ. Для сайта это и есть та самая страница с политикой конфиденциальности.

Под это правило попадает почти любой коммерческий сайт. Есть форма заявки, обратный звонок, подписка на рассылку, корзина, чат, комментарии или просто счётчик аналитики, который собирает cookie, значит, вы обрабатываете персональные данные и обязаны иметь политику.

Что грозит, если её нет. Штрафы выросли: новые суммы действуют в редакции КоАП с 30 мая 2025 года.

Важный нюанс, который часто упускают. Сам по себе штраф за отсутствие политики не самый большой: для компании это 30-60 тысяч рублей, для ИП 10-20 тысяч. Опаснее то, что лежит рядом. Если форма собирает данные без оформленного согласия, это уже до 700 тысяч для компании. Если вы вообще не подали уведомление в Роскомнадзор о том, что обрабатываете данные, это ещё 100-300 тысяч. А с 2025 года за утечку данных ввели оборотные штрафы, привязанные к выручке, до 3% за год. Политика конфиденциальности это входной билет, с которого начинается порядок во всей этой истории.

Что по закону должно быть в политике#

Жёсткого шаблона в законе нет, но из 152-ФЗ и рекомендаций Роскомнадзора складывается понятный список разделов. Хорошая политика отвечает на простые вопросы:

• кто оператор (наименование, ИНН, адрес, контакты);
• какие данные собираете (имя, телефон, почта, cookie и так далее);
• чьи данные (посетители сайта, клиенты, подписчики);
• зачем собираете (обработать заявку, перезвонить, отправить рассылку);
• на каком основании (согласие человека, договор, требование закона);
• как обрабатываете и кому передаёте (хостинг, CRM, сервис рассылки, аналитика);
• сколько храните и когда удаляете;
• какие права у человека и как ими воспользоваться (узнать, исправить, удалить, отозвать согласие);
• как защищаете данные;
• как уведомляете об изменениях политики.

Если сайт собирает особые категории данных (здоровье, национальность, религиозные убеждения, судимость) или биометрию (фото для распознавания, отпечатки), это отдельная история с более строгими требованиями. Такой документ обязательно проверяет юрист.

Cookies и баннер согласия#

Отдельный вопрос, который путает многих. В России нет такого жёсткого отдельного закона про cookie, как в Европе. Но если по cookie можно идентифицировать человека или они уходят в аналитику (например, Яндекс Метрику), это считается обработкой персональных данных.

Поэтому на практике делают две вещи: ставят баннер про использование cookie с кнопкой согласия и добавляют в политику отдельный пункт про cookie и аналитику. Это снижает риск претензий и выглядит аккуратно. В нашем образце ниже такой пункт уже есть.

Куда выложить политику и при чём тут Роскомнадзор#

Документ должен быть доступен любому посетителю в любой момент, без регистрации. Стандартная практика:

• отдельная страница, например по адресу /privacy, со ссылкой в подвале сайта на каждой странице;
• ссылка на эту страницу рядом с каждой формой, возле галочки согласия (галочка плюс текст вида "соглашаюсь с политикой конфиденциальности" со ссылкой).

И ещё одно, про что забывают. С 1 сентября 2022 года почти все операторы обязаны заранее уведомить Роскомнадзор о намерении обрабатывать персональные данные. Это делается через портал Роскомнадзора и не зависит от того, есть у вас политика или нет. За неуведомление отдельный штраф (100-300 тысяч для компании по части 10 статьи 13.11). Так что политика и уведомление в РКН это два разных обязательных шага.

Образец политики конфиденциальности для сайта (готовый текст, 2026)#

1. Общие положения#

Настоящая Политика в отношении обработки персональных данных (далее - Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных". Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, которые принимает [Наименование компании или ИП ФИО] (далее - Оператор) в отношении посетителей сайта [адрес сайта].

Оператор: [Наименование организации или ИП ФИО], ИНН [ИНН], ОГРН/ОГРНИП [номер], адрес [юридический адрес], электронная почта [email].

2. Основные понятия#

Персональные данные - любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных). Обработка персональных данных - любое действие с персональными данными (сбор, запись, хранение, использование, удаление и другие). Субъект персональных данных - посетитель сайта, оставивший свои данные.

3. Какие данные и чьи мы обрабатываем#

Оператор обрабатывает персональные данные посетителей сайта, которые те предоставляют добровольно через формы: [фамилия и имя, номер телефона, адрес электронной почты, иные данные, которые вы собираете]. Также автоматически обрабатываются технические данные: файлы cookie, IP-адрес, данные систем аналитики.

4. Цели обработки#

Оператор обрабатывает персональные данные для следующих целей: обработка заявок и обращений, обратная связь с посетителем, [отправка информационной и рекламной рассылки, выполнение договора, доставка заказа, аналитика и улучшение работы сайта].

5. Правовые основания#

Правовыми основаниями обработки являются: Федеральный закон 152-ФЗ, согласие субъекта персональных данных на обработку, [договор, стороной которого является субъект], а также иные основания, предусмотренные законодательством.

6. Порядок и условия обработки#

Обработка ведётся как с использованием средств автоматизации, так и без них. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных законом, и следующих сервисов, обеспечивающих работу сайта: [хостинг-провайдер, сервис аналитики, CRM-система, сервис рассылок]. Трансграничная передача персональных данных [не осуществляется / осуществляется в страны, обеспечивающие адекватную защиту].

7. Сроки обработки и хранения#

Персональные данные обрабатываются до достижения целей обработки, отзыва согласия субъектом или истечения сроков, установленных законодательством. После этого данные удаляются или обезличиваются.

8. Файлы cookie и аналитика#

Сайт использует файлы cookie и системы аналитики [например, Яндекс Метрику] для корректной работы сайта и анализа посещаемости. Посетитель может отключить cookie в настройках браузера. Продолжая пользоваться сайтом, посетитель соглашается на обработку файлов cookie.

9. Права субъекта персональных данных#

Субъект вправе: получать информацию об обработке своих данных, требовать их уточнения, блокирования или удаления, отозвать согласие на обработку. Для этого нужно направить запрос на электронную почту [email] или по адресу [адрес].

10. Меры защиты#

Оператор принимает организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, копирования и распространения.

11. Отзыв согласия и изменение Политики#

Согласие на обработку отзывается направлением запроса на [email]. Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента публикации на сайте, если иное не предусмотрено новой редакцией.

Дата публикации: [дата]. Действующая редакция всегда доступна по адресу [адрес сайта]/privacy.

Частые ошибки#

Что мы чаще всего видим на сайтах клиентов, когда проверяем их перед запуском.

Скопировали чужую политику и забыли поменять реквизиты. В документе остаётся чужое название компании или чужой ИНН. Это хуже, чем отсутствие политики: видно, что документ для галочки.

Политика есть, а согласия у форм нет. Это две разные вещи. Политика описывает правила, а согласие это галочка с текстом и ссылкой возле каждой формы. Без согласия штраф крупнее, чем за саму политику.

Нет баннера про cookie, хотя стоит аналитика. Счётчик собирает данные с первой секунды, а посетителя об этом не предупредили.

Не уведомили Роскомнадзор. Думают, что достаточно политики на сайте. Уведомление это отдельный обязательный шаг.

Ссылка на политику только на одной странице. Документ должен быть доступен отовсюду, поэтому ссылку ставят в подвал, который виден на каждой странице.

Как быстро проверить свой сайт#

Если не уверен, всё ли в порядке на твоём сайте, начни с быстрой проверки. Мы собрали бесплатный разбор по пунктам в статье как проверить сайт на соответствие 152-ФЗ и сделали инструмент проверки сайта на соответствие закону, который за пару минут покажет слабые места. Живой пример оформления можно посмотреть в нашей политике конфиденциальности.

Если проще поручить это нам, мы приводим сайт в порядок по 152-ФЗ в рамках работы над сайтами: политика, согласия у форм, баннер cookie, подсказка по уведомлению в РКН. Напиши нам, посмотрим твой сайт и скажем, что поправить.

Мы коротко и по делу разбираем такие темы для бизнеса в России. Подпишись на канал, чтобы не пропустить.

Источники#

• Федеральный закон 152-ФЗ "О персональных данных", статья 18.1, официальный текст (КонсультантПлюс).
• Закон о повышении штрафов за нарушения с персональными данными (опубликован 30.11.2024), портал правовой информации.
• Сводная таблица штрафов по статье 13.11 КоАП (редакция с 30.05.2025), Центр безопасности данных.
• Уведомление об обработке персональных данных, портал персональных данных Роскомнадзора.