Политика есть у 86% сайтов, но у половины она не исполняет закон

Я прогнал через свой бесплатный аудитор 389 сайтов из верхних строк выдачи Яндекса по коммерческим запросам - 10 отраслей, от стоматологий до теплиц. Отбор простой: то, что поиск уже вывел наверх, регион Москва, агрегаторы убраны. Проверялась одна страница, обычно главная. Самое неудобное вышло не про SEO, а про 152-ФЗ - и это тот случай, когда «у всех есть» не значит «у всех сделано».

Документ есть, обязанность не исполнена

Политика конфиденциальности нашлась у 86% сайтов. Звучит прилично - пока не смотришь, что в ней написано.

Проверяющего интересует не факт наличия документа, а его содержание - и вот содержание чаще всего и проваливается. Что ст. 18.1 и связанные с ней нормы ждут в тексте политики:

• какие персональные данные собираются и с какой целью;
• правовые основания обработки;
• права субъекта и порядок их реализации;
• сроки обработки и хранения;
• сведения об операторе - кто он и как с ним связаться;
• факт трансграничной передачи, если она есть.

Уберите любой из этих блоков - и «политика есть» превращается в «политика не соответствует».

Почему «скачал шаблон» не спасает

Типовая история такая: политику берут из генератора или копируют у соседа, вешают в подвал и забывают. Проблема в том, что шаблон описывает абстрактный сайт, а закон требует описать ваш. Если генератор выдал текст про обработку данных «в целях исполнения договора», а у вас на сайте форма обратного звонка и счётчик аналитики - политика уже расходится с реальностью. Названы не те данные, не те цели, не те сервисы. Формально документ есть. Фактически он описывает чужую обработку, а вашу - нет, и это тот же дефект содержания, что и отсутствие блока.

Поэтому «поставить любую политику» и «исполнить обязанность» - разные вещи. Первое делается за пять минут, второе требует один раз честно описать, что именно сайт собирает и куда это уходит.

Галочка, которую никто не ставил

Отдельная находка: 16% сайтов проставляют галочку согласия заранее - она уже отмечена, когда человек открывает форму. По ст. 9 152-ФЗ согласие должно быть конкретным, информированным и сознательным. Предустановленная отметка - это согласие, которого субъект не давал: он ничего не выбирал, за него уже выбрали. Юридически такое согласие ничтожно, и форма с ним собирает данные без правового основания. Технически лечится одной правкой - убрать атрибут «отмечено по умолчанию», чтобы галочку ставил сам человек.

Оператор без реквизитов

Ещё у 46% сайтов на странице с формой нет сведений об операторе - кто собирает данные, ИНН, ОГРН, как с ним связаться. Человек оставляет телефон и не знает, кому именно. Для проверяющего это тот же дефект: обязанность раскрыть оператора не исполнена. Закрывается это строкой с реквизитами рядом с формой или в политике - но она должна там быть, а не подразумеваться.

Граница, которую переходят молча

Самая частая юридическая проблема корпуса - трансграничная передача: 72% сайтов отдают персональные данные за пределы РФ и почти никогда это не отражают. Google Fonts, Google Analytics, reCAPTCHA, встроенное видео YouTube - каждый при загрузке страницы передаёт данные посетителя на зарубежные серверы. Это трансграничная передача по 152-ФЗ, которая требует уведомления в Роскомнадзор и отражения в политике. Ответственность - по ст. 13.11 КоАП. Механику и способы закрыть разбираю в отдельной статье.

Как проверить свою политику за 10 минут

Не нужен юрист, чтобы увидеть очевидные дыры. Откройте свою политику и пройдите по списку:

1. Есть ли перечень конкретных данных, которые собирает именно ваш сайт (имя, телефон, email, cookie, данные аналитики)?
2. Указаны ли цели обработки и правовые основания?
3. Есть ли права субъекта - как запросить, исправить, удалить свои данные?
4. Названы ли сроки хранения и сведения об операторе с реквизитами?
5. Упомянуты ли зарубежные сервисы (Google, YouTube) и трансграничная передача?
6. Стоит ли на форме галочка согласия, и не отмечена ли она заранее?
7. Есть ли на самой политике дата редакции?

Каждое «нет» - это пункт, который дописывается за один заход. Разом это снимает большую часть претензий, которые обычно и находят при проверке.

Что с этим делать по итогу

1. Сверить политику с перечнем из ст. 18.1 по шести блокам и дописать недостающее под свой реальный сайт.
2. Снять предустановленную галочку согласия.
3. Добавить на страницы с формами сведения об операторе.
4. Провести ревизию зарубежных сервисов и там, где можно, заменить их российскими аналогами, остальное отразить в политике.

Чего эти цифры не значат. Это не статистика всего Рунета - измерены сайты из верхних строк коммерческой выдачи Яндекса по 10 нишам. «Политика неполная» - это отсутствие обязательных сведений в тексте, а не решение надзорного органа и не гарантированный штраф. Проверялась одна страница каждого сайта. Статья не заменяет юридическую консультацию: спорные случаи стоит показать профильному юристу.