Политика конфиденциальности для сайта: что должно быть в тексте по 152-ФЗ

Обновлено 1 августа 2026. Числа пересчитаны на панели из 759 сайтов и 21 отрасли (в первой редакции от 22.07 было 389 сайтов и 10 отраслей), добавлен разбор состава документа по блокам и раздел о размещении политики на сайте. Выводы не изменились.

Политика конфиденциальности - это документ, в котором владелец сайта описывает, какие персональные данные он собирает, зачем, на каком основании, сколько хранит и что человек может с этим сделать. Публиковать её обязан любой оператор персональных данных: обязанность записана в части 2 статьи 18.1 152-ФЗ, а для сайта означает открытый доступ к документу без регистрации и авторизации.

Я прогнал через свой бесплатный аудитор 759 сайтов из верхних строк выдачи Яндекса по коммерческим запросам 21 отрасли (регион Москва, замер 31.07.2026, у каждого сайта проверена одна страница). Политика нашлась у 84%. Но по содержанию она неполная у 47% - почти половины всех проверенных. То есть документ есть, а обязанность не исполнена.

Что должно быть в политике конфиденциальности

Готового перечня «в политике должны быть пункты с первого по восьмой» в самом законе нет, и это главная причина путаницы. Состав документа собирается из нескольких норм: статья 18.1 требует опубликовать политику и сведения о реализуемых требованиях к защите данных, статья 5 задаёт принципы обработки и сроки, статья 14 - права субъекта, статья 12 - трансграничную передачу. Ниже - девять блоков, по которым я разбираю политику, с типовыми ошибками по каждому.

Восемь из этих девяти блоков аудитор проверяет автоматически: он скачивает страницу политики и ищет их по смыслу, а не по точной формулировке, - юристы пишут одно и то же очень по-разному. Девятый, правовые основания, автомат не оценивает: наличие слова «согласие» в тексте ещё не значит, что основание выбрано верно. Это тот пункт, который стоит прочитать глазами.

Отдельно про трансграничную передачу: её блока нет почти ни у кого, а сама передача есть у 70% сайтов корпуса. Механику разбираю в отдельной статье - там же способы её закрыть.

Почему шаблон из генератора не закрывает вопрос

Типовая история: политику берут из генератора или копируют у соседа, вешают в подвал и забывают. Проблема в том, что шаблон описывает абстрактный сайт, а закон требует описать ваш. Если генератор выдал текст про обработку данных «в целях исполнения договора», а у вас форма обратного звонка и счётчик аналитики - политика уже расходится с реальностью. Названы не те данные, не те цели, не те сервисы.

Формально документ есть. Фактически он описывает чужую обработку, а вашу - нет, и это тот же дефект содержания, что и отсутствие блока. Поэтому «поставить любую политику» и «исполнить обязанность» - разные вещи. Первое делается за пять минут, второе требует один раз честно описать, что именно сайт собирает и куда это уходит.

Где разместить политику и как её оформить

Требование закона - постоянный открытый доступ к документу. На практике это значит вот что.

• Отдельная страница на своём домене, а не файл в облаке и не PDF-приложение. Типовой адрес - /privacy/ или /policy/: по таким адресам документ находят и люди, и роботы.
• Ссылка в подвале каждой страницы и отдельно - рядом с каждой формой, где данные и собираются. Ссылка в одном подвале на длинном сайте до формы часто просто не доезжает.
• Доступ без авторизации и без cookie-заглушки. Документ, который открывается только после согласия с cookie, недоступен в тот момент, когда решение и принимается.
• Дата редакции в тексте и сохранённые прошлые редакции. Если политика менялась, нужно уметь показать, на какую версию человек соглашался.
• Открытая для индексации страница. Закрывать политику от поиска незачем: это единственный документ на сайте, который обязан быть публичным.

Мой аудитор ищет политику сначала по ссылке на странице, а если ссылки нет - пробует шесть типовых адресов. Те 16%, у которых документ так и не нашёлся, - это не «ссылку забыли», а именно отсутствие документа.

Политика и согласие - это не одно и то же

Их постоянно путают, а требования разные. Политика - публичный документ о том, как оператор обращается с данными вообще. Согласие - действие конкретного человека, который разрешил обработать свои данные. Одно другое не заменяет: политика без согласия не даёт основания собирать данные через форму, а согласие без политики ссылается на пустоту.

По замеру отметки согласия нет у 30% сайтов, а ещё у 16% она проставлена заранее - за человека. По ст. 9 152-ФЗ согласие должно быть сознательным, поэтому предустановленная отметка юридически ничтожна и форма с ней собирает данные без основания. Разбор с суммами штрафов - в статье о согласии на обработку персональных данных.

Разница в цене ошибки, кстати, обратна трудозатратам. Неопубликованная политика - это часть 3 статьи 13.11 КоАП, 30-60 тысяч рублей для организации. Сбор данных без согласия - часть 2, 300-700 тысяч. Самое дешёвое в исправлении стоит дороже всего.

Как проверить свою политику за 10 минут

Юрист для этого не нужен - откройте документ и пройдите по списку.

1. Есть ли перечень конкретных данных, которые собирает именно ваш сайт: имя, телефон, почта, cookie, данные аналитики?
2. Названы ли цели обработки и правовые основания?
3. Описаны ли права субъекта - как запросить, исправить, удалить данные и отозвать согласие, и куда для этого писать?
4. Указаны ли сроки хранения?
5. Названы ли сведения об операторе: организация или ИП, ИНН, адрес, почта?
6. Упомянуты ли cookie и счётчики, которые реально стоят на сайте?
7. Отражена ли трансграничная передача, если на страницах есть зарубежные сервисы?
8. Стоит ли в тексте дата редакции?

Каждое «нет» - это пункт, который дописывается за один заход. Разом это снимает большую часть претензий, которые обычно и находят при проверке.

Что делать по итогу

1. Сверить политику с восемью блоками выше и дописать недостающее под свой реальный сайт, а не под шаблонный.
2. Поставить ссылку на политику рядом с каждой формой, а не только в подвале.
3. Снять предустановленную галочку согласия, если она есть.
4. Добавить на страницы с формами сведения об операторе.
5. Провести ревизию зарубежных сервисов: часть заменить российскими аналогами, остальное отразить в политике.
6. Подать уведомление в Роскомнадзор об обработке персональных данных, если оно ещё не подано, - это отдельная обязанность.

Проверить всё перечисленное на своём сайте можно бесплатно и без регистрации: проверка на соответствие 152-ФЗ находит политику, разбирает её содержимое по блокам, смотрит форму и отметку согласия, ищет реквизиты оператора и показывает, какие зарубежные сервисы получают данные посетителей.

Чего эти цифры не значат. Это не статистика всего Рунета: измерены 759 сайтов из верхних строк коммерческой выдачи Яндекса по 21 отрасли, регион Москва, замер 31.07.2026, у каждого проверена одна страница. «Политика неполная» означает отсутствие обязательных сведений в тексте, а не решение надзорного органа и не гарантированный штраф. Состав блоков собран из статей 5, 12, 14 и 18.1 152-ФЗ и практики проверок - единого перечня в законе нет. Статья не заменяет юридическую консультацию: спорные случаи стоит показать профильному юристу.