Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Наличие Соглашения об обработке персональных данных (Политики конфиденциальности) — это обязательное требование для любого сайта, собирающего информацию о посетителях. В Российской Федерации данный процесс регулируется Федеральным законом № 152-ФЗ «О персональных данных». Игнорирование этого требования влечет за собой административную ответственность (штрафы по ст. 13.11 КоАП РФ) и репутационные риски.

В данной статье мы подробно разберем, из чего состоит корректный документ, какие обязательные пункты должны быть включены, и предоставим универсальный образец, который можно адаптировать под свой проект.

Почему нельзя просто скопировать чужой текст?

Многие владельцы сайтов совершают ошибку, копируя политику конфиденциальности у конкурентов или скачивая первый попавшийся шаблон. Это опасно по нескольким причинам:

Несоответствие реальным процессам: Закон требует, чтобы документ отражал фактические цели и способы обработки. Если вы пишете, что не передаете данные третьим лицам, а у вас подключены Яндекс.Метрика, Google Analytics, CRM-система и виджет обратного звонка, это прямое нарушение.
Отсутствие ссылки на оператора: В документе должно быть четко указано, кто именно является оператором персональных данных (ИП, ООО, ФИО директора).
Устаревшие нормы: Законодательство меняется (например, введение понятия «распространение», требования к переграничной передаче, обязательное уведомление Роскомнадзора в определенных случаях). Старые шаблоны это не учитывают.

Обязательная структура Соглашения (чек-лист по 152-ФЗ)

Согласно ст. 18.1 Закона № 152-ФЗ, Политика конфиденциальности должна содержать следующие сведения:

Наименование и адрес оператора: Полное наименование юрлица или ФИО ИП, юр. адрес, ИНН/ОГРН(ИП).
Цели обработки: Зачем именно вы собираете данные (исполнение договора, рассылки, аналитика, обратная связь).
Категории обрабатываемых данных: ФИО, телефон, email, IP-адрес, Cookie, данные о платежах и т.д.
Правовые основания: Согласие субъекта, договор, закон, защита жизни/прав и т.д. (ст. 6, 11 152-ФЗ).
Способы обработки: Сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
Передача третьим лицам: Кому передаете (хостинг, почтовые сервисы, CRM, платежные шлюзы, госорганы по требованию). Обязательно наличие договоров с этими лицами.
Переграничная передача: Если серверы за рубежом (Google, Meta*, Cloudflare и др.) — нужно указать страну и основание (адекватная защита, стандартные договорные клаузы).
Сроки хранения и условия уничтожения: Конкретные сроки или критерии (например, «до отзыва согласия» или «3 года после последней активности»).
Права субъекта данных: Право на доступ, исправление, удаление, отзыв согласия, обжалование в Роскомнадзор/суд.
Меры безопасности: Описание организационных и технических мер (SSL, шифрование, доступ по ролям, НДА с сотрудниками).
Контакты для обращений: Email, телефон, адрес для претензий (часто выделяют отдельного ответственного лица или DPO).
Использование Cookie и счетчиков: Отдельный пункт про Яндекс.Метрику, GA, пиксели соцсетей, ретаргетинг.

Типичные ошибки при заполнении

Формулировка «Любые иные цели»: Суды и Роскомнадзор считают это неопределенностью. Цели должны быть конкретными.
Отсутствие механизма отзыва согласия: Пользователь должен иметь возможность легко удалить аккаунт или написать на email для удаления данных.
Скрытие передачи в аналитику: IP-адрес и Cookie — это персональные данные (постановление Пленума ВС РФ). Их передача в Яндекс/Google — это передача третьим лицам.
Нет ссылки на соглашение в футере и формах: Ссылка должна быть доступна с любой страницы сайта (обычно в подвале) и рядом с каждой формой сбора данных (чекбокс «Я согласен с политикой конфиденциальности»).

Образец Соглашения об обработке персональных данных (Шаблон)

Ниже приведен универсальный шаблон. Текст в квадратных скобках […] и данные, выделенные маской *, необходимо заменить на свои реальные данные. Пункты, не применимые к вашему сайту (например, оплата картой), следует удалить.

 ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ / СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
 Сайт: [Адрес сайта, например: example.ru] ОБЩИЕ ПОЛОЖЕНИЯ
 Настоящая Политика конфиденциальности (далее — Политика) действует в отношении всей информации, которую [Наименование оператора, например: ООО «Ромашка» или ИП Иванов И.И.] (далее — Оператор) может получить о Пользователе во время использования сайта [Адрес сайта] (далее — Сайт), его программ и продуктов.
 Использование Сайта означает безоговорочное согласие Пользователя с настоящей Политикой и условиями обработки его персональных данных. В случае несогласия с условиями Политики Пользователь должен прекратить использование Сайта.
 Оператор персональных данных: [Полное наименование / ФИО ИП], ИНН , ОГРН(ИП) , Юр. адрес: [Город, Улица, Дом, Офис ]. Контактный телефон: +7 () —. Email для обращений: privacy@.
ОСНОВНЫЕ ПОНЯТИЯ
 Персональные данные, любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
 Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без таковых с персональными данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
 Сайт — совокупность программных средств и информации, доступная по адресу [Адрес сайта].
ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
 Оператор обрабатывает персональные данные Пользователя для следующих целей:
 Идентификация Пользователя для предоставления доступа к личному кабинету/функционалу Сайта.
 Обработка заказов, оформление доставки, связь с клиентом по вопросам заказа (исполнение договора/договоренностей).
 Предоставление технической поддержки и ответы на обращения через формы обратной связи.
 Проведение маркетинговых и статистических исследований, анализ посещаемости Сайта для улучшения его качества (на основании легального интереса Оператора / согласия Пользователя).
 Направление информационных, рекламных и новостных рассылок (только при наличии отдельного согласия Пользователя).
 Обеспечение безопасности Сайта, предотвращение мошеннических действий.
 Исполнение обязательств перед законодательством РФ (передача данных в госорганы по законным основаниям).
КАТЕГОРИИ СОБИРАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
 Данные, предоставляемые Пользователем добровольно при заполнении форм:
Фамилия, Имя, Отчество;
Контактный телефон: +7 () —;
Адрес электронной почты: @.;
Адрес доставки (город, улица, дом, квартира *);
Платежные реквизиты (маскированный номер карты, токен платежной системы) — обрабатываются на стороне платежного шлюза, Оператор не хранит полные номера карт.
Данные, собираемые автоматически при посещении Сайта:
IP-адрес: …;
Тип и версия браузера, операционная система;
Дата и время посещения, реферер (адрес предыдущей страницы);
Cookie (файлы cookie), идентификаторы устройств, данные о взаимодействии с элементами Сайта.
ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ
 Обработка осуществляется на основаниях, предусмотренных ст. 6 и 11 Закона № 152-ФЗ:
Согласие субъекта персональных данных (п. 1 ст. 6);
Исполнение договора, стороной которого является субъект (п. 2 ст. 6);
Исполнение законодательства РФ (п. 3 ст. 6);
Защита прав и законных интересов Оператора (п. 7 ст; 6, легальный интерес).
СПОСОБЫ И СРОКИ ОБРАБОТКИ
 Обработка осуществляется с использованием средств автоматизации (на серверах Сайта, в CRM, аналитических системах) и без таковых (бухгалтерия, архив).
 Персональные данные хранятся не дольше, чем это необходимо для достижения целей обработки, если иной срок не установлен законом или договором.
Данные заказов: 5 лет (срок хранения бух. документов / срок исковой давности);
Данные для рассылок: до отзыва согласия;
Логи сервера / аналитика (IP, Cookie): 12 месяцев;
Данные форм обратной связи: 3 года с момента последнего обращения.
Уничтожение осуществляется путем удаления из баз данных и/или затирания носителей.
ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
 Оператор передает данные третьим лицам (подрядчикам) только в целях выполнения обязательств перед Пользователем и на основании договоров, обязывающих подрядчиков соблюдать конфиденциальность и меры безопасности (ст. 10 152-ФЗ).
 Категории получателей:
Хостинг-провайдер / Регистратор домена: [Название компании *] (хранение файлов сайта и БД);
Сервисы аналитики: Яндекс.Метрика (АО «Яндекс», РФ), Google Analytics (Google LLC, США), IP-адрес, Cookie, поведение на сайте;
CRM-система: [Название CRM, например: amoCRM / Bitrix24 ] — управление клиентами;
Сервисы рассылок: [Название сервиса, например: Unisender / SendPulse ] — email/имя для новостей;
Платежные шлюзы: [Название банка/ПС, например: ЮKassa / Тинькофф / Сбербанк ] — обработка платежей (Оператор не получает полные данные карт);
Службы доставки: [Название СДЭК / Почта России / Яндекс.Доставка ] — ФИО, телефон, адрес для передачи заказа;
Виджеты обратной связи/чаты: [Название виджета, например: JivoSite / Bitrix24.Чат ].
Переграничная передача: При использовании сервисов Google Analytics, Meta Pixel (Facebook/Instagram), Cloudflare и др., данные передаются за пределы РФ. Оператор обеспечивает адекватность защиты прав субъектов (стандартные договорные клаузы, участие в механизме DPF / решения Комиссии ЕС / законодательство страны-получателя).
* Meta Platforms Inc. признана экстремистской организацией, ее деятельность запрещена на территории РФ. Упоминание здесь только в контексте технической возможности передачи данных, если виджеты не отключены.
Передача в уполномоченные государственные органы осуществляется только на законных основаниях (по запросу суда, прокуратуры, полиции, Роскомнадзора и др.).
МЕРЫ БЕЗОПАСНОСТИ (СТ; 19 152-ФЗ)
 Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения:
Использование протокола HTTPS (SSL/TLS сертификат) для шифрования передаваемых данных;
Ограничение доступа к БД и админке по IP / VPN / 2FA;
Регулярное обновление ПО сервера и CMS;
Ведение журнала учета доступа к системе обработки данных;
Резервное копирование с шифрованием бэкапов.
ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ (СТ. 14, 15, 18, 21 152-ФЗ)
 Пользователь имеет право:
Получить информацию об обработке своих данных (запрос на email privacy@*);
Требовать уточнения, блокирования или уничтожения данных, если они неполные, устарели, неточны или получены незаконно;
Отозвать согласие на обработку (в т.ч. на рассылки) — ссылка «Отписаться» в каждом письме или письмо на email;
Обжаловать действия Оператора в Роскомнадзор (по адресу: 101000, г. Москва, ул. Китагородский проезд, д. 7) или в суд.
Важно: При отзыве согласия на обработку данных, необходимых для исполнения договора (доставка, оплата), Оператор не сможет выполнить обязательства, и договор может быть расторгнут.
ИСПОЛЬЗОВАНИЕ COOKIE И ПОДОБНЫХ ТЕХНОЛОГИЙ
 Сайт использует файлы Cookie для авторизации, сбора статистики (Яндекс.Метрика, GA), работы корзины и ретаргетинга.
 Пользователь может в любой момент отключить Cookie в настройках браузера, однако это может нарушить работоспособность Сайта (не будет работать корзина, личный кабинет).
 Для отказа от таргетированной рекламы можно использовать настройки Google Ads / Яндекс.Директа или сервисы youronlinechoices.com.
ИЗМЕНЕНИЯ В ПОЛИТИКЕ КОНФИДЕНЦИАЛЬНОСТИ
 Оператор имеет право вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента ее публикации на Сайте, если иное не предусмотрено новой редакцией.
 Актуальная версия всегда доступна по адресу: [Полный URL страницы политики, например: https://example.ru/privacy].
КОНТАКТНАЯ ИНФОРМАЦИЯ
 По всем вопросам, касающимся обработки персональных данных, а также для реализации своих прав, Пользователь может обратиться к Оператору:
Email: privacy@* (рекомендуется отдельный ящик для GDPR/152-ФЗ);
Телефон: +7 () — (в рабочее время ПН-ПТ 10:00-19:00 МСК);
Почтовый адрес: [Юр. адрес Оператора, для претензий *];
Ответственный за обработку персональных данных (DPO): [ФИО * / Должность *].
Дата последнего обновления: [ДД.ММ.ГГГГ]
Версия документа: 1.0

Как правильно внедрить документ на сайт

Написание текста — это только половина дела. Техническая реализация не менее важна:

Размещение

Создайте отдельную страницу (например, /privacy-policy/ или /personal-data/).
Разместите ссылку на нее в футере (подвале) на каждой странице сайта.
Ссылка должна быть читаемым текстом («Политика конфиденциальности» или «Соглашение об обработке персональных данных»), а не мелким серым шрифтом на сером фоне.

Формы сбора данных (Чекбоксы)

Рядом с каждой формой (заказ звонка, регистрация, оформление заказа, подписка на рассылку) должен быть чекбокс.

Для маркетинга/рассылок: Чекбокс НЕ должен быть предустановлен (unchecked). Текст: «Нажимая кнопку, я даю согласие на обработку персональных данных в соответствии с Политикой конфиденциальности и соглашаюсь на получение рекламных рассылок».
Для исполнения договора (заказ товара): Можно не ставить отдельный чекбокс на согласие (основание — п. 2 ст. 6 152-ФЗ), но обязательно дать ссылку на Политику с текстом: «Оформляя заказ, вы соглашаетесь с условиями Политики конфиденциальности».

Технические настройки

robots.txt: Не закрывайте страницу политики от индексации (она должна быть публичной);
Sitemap.xml: Добавьте страницу в карту сайта.
Cookie-баннер: Если используете аналитику/ретаргетинг, установите баннер согласия на Cookie (CMP — Consent Management Platform), блокирующий загрузку счетчиков до согласия пользователя (требование 152-ФЗ и рекомендации Роскомнадзора).

Уведомление Роскомнадзора

Согласно ст. 22 152-ФЗ, Оператор обязан уведомить Роскомнадзор о начале обработки персональных данных до начала обработки (в течение 30 дней с момента определения целей).

Уведомление подается через личный кабинет на nd.rkn.gov.ru (требуется усиленная КЭП).
Исключения (не нужно уведомлять): если данные только от пользователей, заполнивших формы на сайте (их согласие), и не передаются третьим лицам (кроме исполнителей по договору), и не являются биометрическими/спецкатегориями. Но если вы передаете данные в Яндекс.Метрику, Google Analytics, CRM, почтовые сервисы — это передача третьим лицам, уведомление ОБЯЗАТЕЛЬНО.

Чек-лист перед публикацией

[ ] Текст адаптирован под реальные процессы вашего сайта (удалены лишние пункты, добавлены свои).
[ ] Заполнены все реквизиты Оператора (название, ИНН, ОГРН, адрес, контакты).
[ ] Указаны реальные получатели данных (названия CRM, доставки, платежек, аналитики).
[ ] Прописаны конкретные сроки хранения для каждой категории данных.
[ ] Есть контакты ответственного лица (DPO) и канал для претензий субъектов.
[ ] Страница опубликована, доступна по HTTPS, индексируется.
[ ] Ссылка в футере работает и видна.
[ ] На всех формах стоят чекбоксы/ссылки на Политику.
[ ] Подписаны договоры с подрядчиками (п. 10 ст. 10 152-ФЗ) с условиями защиты ПДн.
[ ] Подалено уведомление в Роскомнадзор (если требуется).

Грамотно составленное Соглашение об обработке персональных данных, это не просто формальность для избежания штрафов (до 75 000 руб. за повторное нарушение для юрлиц, а с 2024 года штрафы могут быть значительно выше по ст. 13.11 КоАП РФ), но и инструмент доверия к вашему бизнесу. Прозрачность в отношении того, какие данные вы собираете и зачем, повышает конверсию и лояльность клиентов.

Рекомендация: Используйте приведенный выше образец как базу, но обязательно пройдитесь по нему с юристом или специалистом по 152-ФЗ с учетом специфики вашего бизнеса (медицина, дети, финансы, биометрия имеют особые режимы защиты). Регулярно аудитируйте документ при изменении функционала сайта или законодательства.