BITSPARK / Статьи / Закон и документы сайта
Политика конфиденциальности для сайта: что требует 152-ФЗ
Коротко: то, что в запросе звучит как политика конфиденциальности для сайта, закон называет документом, определяющим политику оператора в отношении обработки персональных данных. Оператор, который собирает персональные данные с использованием информационно-телекоммуникационных сетей, обязан опубликовать его, в том числе на страницах своего сайта, с использованием которых идёт сбор (ч.2 ст.18.1 152-ФЗ). Штраф за невыполнение этой обязанности указан в ч.3 ст.13.11 КоАП РФ.
Статья разбирает текст закона. Это не юридическая консультация: она не оценивает конкретный сайт, не содержит готового образца документа и не обещает защиты от штрафа. Тексты 152-ФЗ и КоАП РФ сверены на consultant.ru 05.10.2026: 152-ФЗ в редакции от 26.07.2026, КоАП РФ в редакции от 04.08.2026 (статья 13.11).
Как закон называет документ, который в запросе зовут политикой конфиденциальности?
Коротко: в ч.2 ст.18.1 152-ФЗ это «документ, определяющий его политику в отношении обработки персональных данных».
Слова «политика конфиденциальности» взяты из поискового запроса. В тексте ч.2 ст.18.1 стоит описание документа, в этой статье оно сокращено до слов документ о политике оператора.
Речь идёт о Федеральном законе от 27.07.2006 N 152-ФЗ «О персональных данных». Персональные данные в п.1 ст.3 определены так:
«любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)»
В определении нет перечня полей: сказано «любая информация», а какие сведения подходят, определение само не перечисляет.
Кто обязан опубликовать документ?
Коротко: обязанность из ч.2 ст.18.1 адресована оператору, который собирает персональные данные с использованием информационно-телекоммуникационных сетей.
Оператора закон определяет в п.2 ст.3:
«государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными»
Пример на вымышленном бизнесе. Интернет-магазин ковров на example.ru показывает форму обратного звонка с полями имени и телефона и страницу оформления заказа с адресом доставки. Владелец магазина решает, какие поля показать и зачем нужны данные. Это те же решения, которые названы в определении оператора: цели обработки и состав данных. Применимо ли определение к конкретному сайту, статья не оценивает: это вопрос владельца сайта к юристу.
Где на сайте размещать документ?
Коротко: ч.2 ст.18.1 называет страницы сайта, «с использованием которых осуществляется сбор персональных данных».
Часть 2 ст.18.1 состоит из двух предложений. Последнее относится к сбору данных через сеть:
«Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.»
На примере магазина с example.ru: на страницах /contacts/ (форма обратного звонка) и /checkout/ (оформление заказа) посетитель вводит свои данные. Относится ли к сбору персональных данных то, что происходит на остальных страницах сайта, эта фраза закона не уточняет, и статья этого не оценивает.
Первая фраза ч.2 обращена к оператору без оговорки о сети: он обязан «опубликовать или иным образом обеспечить неограниченный доступ» к документу о политике и к сведениям о реализуемых требованиях к защите персональных данных; состав этих сведений в ч.2 не описан.
Как именно показать документ на странице, ч.2 не уточняет: в тексте части нет слов о подвале сайта, ссылке, кнопке или названии документа. Способ размещения стоит решить при проектировании страниц и записать в задание подрядчику.
Что закон требует отразить в документе?
Коротко: отдельного перечня разделов для документа о политике ч.2 ст.18.1 не содержит. П.2 ч.1 той же статьи говорит, что определяют локальные акты по вопросам обработки персональных данных, которые издаёт оператор, являющийся юридическим лицом.
Пункт 2 части 1 ст.18.1 назван в списке мер, которые оператор принимает для выполнения обязанностей по закону. Первая его фраза:
«издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, (...)»
Что называет пункт для каждой цели обработки:
- категории и перечень обрабатываемых персональных данных;
- кто эти люди: категории субъектов, персональные данные которых обрабатываются;
- способы и сроки обработки и хранения;
- порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований.
В тексте пункта этот перечень стоит после слов о локальных актах по вопросам обработки персональных данных. Пункт не говорит прямо, что все четыре позиции должны стоять в самом документе о политике. Адресован он оператору, являющемуся юридическим лицом. Об операторе, который является индивидуальным предпринимателем, в этом пункте ничего не сказано, и статья пункт на него не распространяет. Часть 2 той же статьи, где названа обязанность опубликовать документ, обращена к оператору без такой оговорки.
Цели обработки определяет сам оператор (п.2 ст.3). У магазина с example.ru целей две: перезвонить по заявке и доставить заказ. Если магазином владеет юридическое лицо, позиции п.2 ч.1 ст.18.1 (категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения) названы для каждой из этих целей отдельно.
Вторая фраза пункта ограничивает содержание документов:
«Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности»
Часть 4 той же статьи добавляет: оператор «обязан представить документы и локальные акты, указанные в части 1 настоящей статьи, и (или) иным образом подтвердить принятие мер, указанных в части 1 настоящей статьи, по запросу уполномоченного органа по защите прав субъектов персональных данных».
Чем документ о политике отличается от согласия и от уведомления?
Коротко: это три разных требования закона с разными адресатами: опубликованный документ (ч.2 ст.18.1), согласие субъекта (ст.9) и уведомление уполномоченного органа (ст.22).
Ст.9 регулирует согласие на обработку. Его даёт субъект персональных данных или его представитель. По ч.1 ст.9 оно «должно быть конкретным, предметным, информированным, сознательным и однозначным» и «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных» (Статья 9. Согласие субъекта персональных данных на обработку его персональных данных \ КонсультантПлюс).
Уведомлению посвящена ст.22. По ч.1 этой статьи: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи» (Статья 22. Уведомление об обработке персональных данных \ КонсультантПлюс). Адресат уведомления: орган, а документ о политике публикуется для неограниченного доступа.
Какой штраф предусмотрен, если документ не опубликован?
Коротко: ч.3 ст.13.11 КоАП РФ устанавливает штраф за невыполнение обязанности опубликовать документ о политике или обеспечить иным образом неограниченный доступ к нему; суммы по категориям лиц указаны в таблице.
Состав нарушения в ч.3 ст.13.11 описан так:
«Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных»
Размеры штрафа в той же части:
| Кому назначается | Размер штрафа по ч.3 ст.13.11 |
|---|---|
| Гражданам | от 1 500 до 3 000 ₽ |
| Должностным лицам | от 6 000 до 12 000 ₽ |
| Индивидуальным предпринимателям | от 10 000 до 20 000 ₽ |
| Юридическим лицам | от 30 000 до 60 000 ₽ |
Суммы приведены по тексту статьи на consultant.ru: КоАП РФ в редакции от 04.08.2026, ч.3 ст.13.11 дана в редакции Федерального закона от 24.02.2021 N 19-ФЗ, дата сверки 05.10.2026. Это границы, которые назвал закон. Как назначается наказание в конкретном деле, статья не рассматривает, как и другие части ст.13.11.
Что проверить на сайте при заказе или переделке?
Коротко: выписать страницы, где посетитель вводит свои данные, сверить их с ч.2 ст.18.1 и записать решение о размещении документа в задание.
- Выпишите страницы, где посетитель вводит свои данные, например форму заявки, обратный звонок, оформление заказа.
- Для каждой страницы запишите поля формы и цель, ради которой нужны эти данные. Цели оператор определяет сам (п.2 ст.3), и по каждой цели п.2 ч.1 ст.18.1 называет для оператора, являющегося юридическим лицом, категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения.
- Сверьте с текстом ч.2 ст.18.1: на страницах сайта, с использованием которых идёт сбор данных, оператор обязан опубликовать документ о политике оператора и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к этому документу средствами сети.
- Передайте подрядчику список страниц и решение о способе размещения: ч.2 ст.18.1 способ не задаёт.
Какие сайты делает студия BITSPARK, описано на главной странице студии: лендинг, корпоративный сайт, интернет-магазин, интерактивный сайт.
Источники
- Статья 3. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс - Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ред. от 26.07.2026, сверено 05.10.2026.
- Статья 9. Согласие субъекта персональных данных на обработку его персональных данных \ КонсультантПлюс - 152-ФЗ, ред. от 26.07.2026, сверено 05.10.2026.
- Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом \ КонсультантПлюс - 152-ФЗ, ред. от 26.07.2026, сверено 05.10.2026.
- Статья 22. Уведомление об обработке персональных данных \ КонсультантПлюс - 152-ФЗ, ред. от 26.07.2026, сверено 05.10.2026.
- КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных \ КонсультантПлюс - Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 N 195-ФЗ, ред. от 04.08.2026, сверено 05.10.2026.
Обсудить проект в Telegram: t.me/billioniks