Политика и согласие — это два разных документа с разными функциями
Политика конфиденциальности — это публичный документ, который описывает, как оператор обрабатывает персональные данные. В ней указываются цели обработки, категории данных, сроки хранения, передача третьим лицам, права субъектов. Политика обязательна для любого сайта, который собирает персональные данные, и должна быть доступна всем посетителям.
Согласие на обработку персональных данных — это действие конкретного человека, который разрешает оператору обработать его данные. Согласие оформляется как чекбокс в форме, кнопка в cookie-баннере или отдельный документ, который человек подписывает. Согласие требуется не всегда, но когда оно нужно, его отсутствие или нарушение требований к нему влечёт более серьёзные санкции, чем отсутствие политики.
Политика информирует, согласие даёт законное основание. Эти документы не заменяют друг друга и не могут быть объединены в один.
Где должна быть размещена политика и где запрашивается согласие
Политика конфиденциальности размещается на отдельной странице сайта, ссылка на неё обычно находится в футере. Политика должна быть доступна до того, как человек передаст свои данные — посетитель должен иметь возможность ознакомиться с правилами обработки до заполнения формы или принятия cookie.
Согласие запрашивается в момент сбора данных: чекбокс в форме заявки, подписки или регистрации, кнопка в cookie-баннере. Текст согласия обычно содержит краткую формулировку и ссылку на политику. Отдельная страница «Согласие на обработку персональных данных» не нужна — согласие оформляется как волеизъявление пользователя, а не как статичный документ.
- Политика — на отдельной странице, доступна всем
- Ссылка на политику — в футере и в текстах согласий
- Согласие — чекбокс или кнопка в каждой форме, где собираются данные
Когда согласие обязательно, а когда можно обойтись без него
Согласие требуется, если обработка персональных данных не подпадает под другие законные основания. Например, если вы собираете email для рассылки новостей — согласие обязательно. Если обрабатываете данные для исполнения договора (например, имя и адрес в интернет-магазине для доставки заказа) — согласие не требуется, достаточно политики и оферты.
На практике большинство сайтов собирает данные именно для маркетинговых целей (лиды, подписки, аналитика), и здесь согласие — обязательное требование. Если вы не уверены, относится ли ваш случай к исключениям, безопаснее запросить согласие.
Отдельная история — cookie и трекеры. Если они собирают данные о поведении пользователя, согласие нужно получить до их запуска. Проверка фиксирует, в какой момент стартуют трекеры: до клика на кнопку cookie-баннера или после.
Как проверить, что политика и согласия соответствуют тому, что сайт делает на самом деле
Частая проблема: в политике написано одно, а сайт делает другое. Например, в политике не упомянута передача данных зарубежным сервисам, но аналитика отправляет запросы в США. Или в политике указано, что данные обрабатываются только для связи с клиентом, а на деле трекеры собирают информацию о поведении и передают её рекламным сетям.
Проверка открывает сайт с чистой сессии — глазами нового посетителя, без cookie и авторизации. Фиксируется, какие данные собираются, какие трекеры запускаются, куда уходят сетевые запросы. Затем эти факты сопоставляются с текстом политики и условиями получения согласия.
Если политика не описывает реальные сценарии обработки, если трекеры стартуют до согласия, если данные уходят не тем адресатам, которые указаны в политике — это риск. Проверка фиксирует такие несоответствия, приоритет их исправления и связь с нормами закона.
Что будет, если политики нет или согласие оформлено неправильно
Отсутствие опубликованной политики обработки персональных данных — отдельный состав. Обработка без согласия, когда оно обязательно, или с нарушением требований к согласию — более серьёзное нарушение с более высокими санкциями.
На практике регулятор проверяет и то, и другое: есть ли политика на сайте, запрашивается ли согласие, соответствует ли текст документов реальным действиям оператора. Проверка помогает увидеть эти риски до того, как их увидит Роскомнадзор, и получить план исправлений с приоритетами.
Проверьте политику и согласия на вашем сайте
- 01Политика конфиденциальности опубликована на отдельной странице. Ссылка на политику есть в футере сайта и в текстах согласий. Политика доступна до заполнения любой формы.
- 02Согласие запрашивается в каждой форме, где собираются персональные данные. Чекбокс или кнопка с текстом согласия и ссылкой на политику. Отправка формы без согласия невозможна.
- 03В политике указаны все сторонние сервисы, которые получают данные. Аналитика, CRM, рекламные сети, платёжные системы — если они обрабатывают данные посетителей, они должны быть упомянуты в политике.
- 04Трекеры и cookie запускаются только после получения согласия. До клика на кнопку cookie-баннера аналитика и рекламные скрипты не стартуют. Проверьте это в режиме инкогнито.
- 05Политика описывает реальные цели обработки. Если вы собираете данные для маркетинга, это должно быть явно указано. Общие формулировки типа «для улучшения сервиса» не работают.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли использовать одну политику для нескольких сайтов?
Можно, если эти сайты принадлежат одному оператору и сценарии обработки данных на них одинаковые. Если сайты собирают разные данные, используют разные сервисы или преследуют разные цели, политика должна быть отдельной для каждого.
Нужно ли обновлять политику каждый раз, когда подключаю новый сервис аналитики?
Да. Если новый сервис обрабатывает персональные данные посетителей, он должен быть указан в политике. Иначе реальная обработка не будет соответствовать заявленной, и это риск.
Что должно быть в тексте согласия в форме?
Краткая формулировка, что человек соглашается на обработку своих персональных данных, и ссылка на политику конфиденциальности. Полный перечень данных и целей описан в политике, в тексте согласия дублировать не обязательно.
Если у меня лендинг с одной формой, нужна ли политика?
Да. Даже если форма одна, вы собираете персональные данные, и политика обязательна. Согласие запрашивается чекбоксом в этой форме, политика размещается на отдельной странице.
Как часто нужно обновлять политику конфиденциальности?
Каждый раз, когда меняется что-то существенное: цели обработки, категории данных, список сторонних сервисов, сроки хранения. Если ничего не меняется, обновлять не требуется.
Отличие согласия от политики влияет на штрафы?
Да. Отсутствие политики и обработка без согласия — разные составы с разными санкциями. Второе влечёт более серьёзные последствия. Проверка фиксирует оба риска и показывает приоритет исправлений.
Что делать, если я не уверен, покрывает ли моя политика все сценарии?
Проверьте, что сайт делает на самом деле: какие данные собирает, куда их отправляет, какие сервисы запускает. Проверка фиксирует эти факты и сопоставляет с текстом политики. Если есть несоответствия, вы увидите их в отчёте с рекомендациями, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.