Что такое положение о персональных данных и почему единого образца нет
По 152-ФЗ оператор обязан опубликовать документ, который определяет его политику в отношении обработки персональных данных. В обиходе его называют по-разному: политика обработки персональных данных, положение о персональных данных, положение об обработке персональных данных.
Обязательного названия и типовой формы закон не устанавливает. Поэтому «того самого» универсального образца, который подойдёт любому сайту, не существует: содержание зависит от того, какие данные вы собираете, зачем и кому передаёте.
Образец полезен как каркас — структура разделов и аккуратные формулировки. Но он остаётся заготовкой до тех пор, пока не сверен с формами, аналитикой и cookie на ваших страницах.
Почему скачанный образец сам по себе не защищает
Документ описывает то, как вы обращаетесь с данными. Если в тексте сказано, что данные третьим лицам не передаются, а на страницах работают счётчики аналитики и рекламные пиксели, расхождение видно при первом же осмотре сайта.
Сопоставляют не название файла, а три вещи: что написано в документе, что реально спрашивает сайт и куда уходят данные при загрузке страницы. Опубликованный текст, который не совпадает с практикой, работает против оператора — он подтверждает обработку, которую вы не описали.
Отсюда практический порядок работы: сначала фиксируем фактические процессы на сайте, потом пишем или правим документ. Наоборот не получается — текст придётся переписывать.
Что проверить в образце перед публикацией
Даже хороший образец нужно наполнить своими данными. Пройдите по разделам и убедитесь, что каждый описывает именно ваш случай, а не абстрактный сайт.
- Оператор: наименование, ИНН, ОГРН, адрес и контакты — те же, что в подвале сайта и в оферте.
- Перечень данных: что именно собирают формы, регистрация, оформление заказа, подписка, обратная связь.
- Цели и основания обработки: под каждую форму — своя цель, а не общее «для улучшения качества обслуживания».
- Cookie, аналитика и рекламные сервисы: какие используются и для чего.
- Передача третьим лицам: подрядчики, службы доставки, платёжные сервисы, иностранные облачные сервисы.
- Сроки хранения, порядок отзыва согласия, права субъекта и контакт для обращений.
Как сверить документ с тем, что делает сайт
Надёжный способ — открыть сайт в чистой сессии, как новый посетитель, и посмотреть, что происходит до любого согласия. Так видно, какие запросы к внешним сервисам уходят сразу при загрузке страницы, а не после нажатия кнопки в cookie-баннере.
Дальше пройдите по сценариям: регистрация, оформление заказа, подписка, обратная связь, вход через внешние сервисы. Для каждого отметьте, собираются ли персональные данные, есть ли согласие и совпадает ли его формулировка с документом.
Отдельно оцените cookie-баннер: есть ли у отказа равнозначный вариант и можно ли настроить категории, а не только «принять всё». Это то, что чаще всего расходится с текстом политики.
Часть наблюдений остаётся техническим сигналом: сетевой запрос к внешнему сервису показывает, что данные могут туда уходить, но сам по себе нарушение не доказывает — он даёт повод проверить настройки и документы. Такой осмотр публичных страниц с фиксацией снимков экрана, цитат и времени проводит проверка в Dobrolex: на выходе — заключение с фактами, уровнем риска и очерёдностью исправлений.
Что нужно кроме документа: согласия, уведомление, передача данных
Опубликованный документ закрывает только часть темы. Отдельно проверяются согласия: там, где закон требует письменное согласие, оно должно быть получено и оформлено корректно, а не подразумеваться фразой «продолжая пользоваться сайтом».
Если данные уходят за рубеж, у трансграничной передачи свои правила: критерии стран уточнены, а уведомление регулятора до начала передачи по-прежнему обязательно.
Ещё один шаг, о котором забывают: уведомление Роскомнадзора о намерении обрабатывать персональные данные. Оно подаётся в установленный срок, а несвоевременное уведомление об утечке — отдельное нарушение.
И базовое требование к инфраструктуре: персональные данные граждан РФ должны храниться в базах на территории России.
Что можно проверить на своём сайте прямо сейчас
- 01Документ опубликован и открывается. Ссылка на политику или положение обычно стоит в подвале. Откройте её в режиме инкогнито: документ должен читаться без входа в аккаунт.
- 02Реквизиты совпадают. Наименование, ИНН, ОГРН и контакты в документе должны совпадать с реквизитами в подвале сайта и в оферте.
- 03Нет формулировок-заглушек. Фразы вида «а также иные данные» и «для улучшения сервиса» стоит заменить на конкретные категории данных и цели обработки.
- 04Видно, что уходит при загрузке страницы. Откройте сайт в чистой сессии и посмотрите инструменты разработчика: какие внешние сервисы получают запрос до того, как вы что-то нажали.
- 05Cookie-баннер даёт выбор. Проверьте, есть ли у отказа равнозначный вариант и настройка категорий, а не только кнопка «принять».
- 06Пройдены все формы. Отметьте, где собираются персональные данные, где есть согласие и совпадает ли его текст с опубликованным документом.
Что говорит закон
ч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Чем положение о персональных данных отличается от политики обработки?
На практике это чаще всего один и тот же документ. Закон требует, чтобы оператор опубликовал документ, определяющий его политику в отношении обработки персональных данных, но обязательного названия и типовой формы не устанавливает. Важно не название, а содержание и факт публикации.
Можно ли скачать образец и сразу опубликовать его?
Как каркас — да, но перед публикацией его нужно наполнить данными о вашем сайте. Документ, который не совпадает с формами, аналитикой и cookie на страницах, работает против вас: расхождение видно при первом осмотре.
Обязательно ли указывать ИНН и ОГРН в документе?
Сведения об операторе персональных данных — часть документа: по ним понятно, кто отвечает за обработку и куда обращаться. Эти же реквизиты должны совпадать с теми, что указаны на сайте, в подвале и в оферте.
Нужно ли уведомлять Роскомнадзор, если документ уже опубликован?
Публикация документа и уведомление — разные обязанности. Уведомление о намерении обрабатывать персональные данные подаётся в установленный срок; применимо ли это к вашей ситуации и в каком объёме, зависит от вашей деятельности.
Что делать, если сайт передаёт данные за рубеж через аналитику?
Тогда действуют требования к трансграничной передаче: критерии стран уточнены, а уведомлять регулятора до начала передачи по-прежнему обязательно. Сетевые запросы к иностранным сервисам в отчёте — технический сигнал проверить настройки и документы, а не готовый вывод о нарушении.
Достаточно ли опубликовать документ, чтобы закрыть тему с 152-ФЗ?
Нет. Кроме документа проверяются согласия, cookie-баннер, формы и их сценарии, уведомление регулятора и хранение данных на территории России. Документ — один из элементов системы, а не вся она.
Как понять, что на сайте всё в порядке с документами?
Единственный надёжный способ — сверить текст с фактическим поведением сайта. Осмотр публичных страниц показывает, какие данные собираются и куда уходят. Помните о пределах: закрытые разделы, серверная часть и внутренние процессы так не проверяются, а отсутствие найденных эпизодов не равно гарантии соответствия закону.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.