Политика конфиденциальности для сайта это документ, в котором владелец сайта рассказывает посетителям, какие их данные он собирает, зачем, где хранит и как их удалить. Закон называет его политикой в отношении обработки персональных данных. Если на сайте есть форма заявки, чат или Яндекс Метрика, такой документ должен быть опубликован.

Ниже разберу, для чего нужна политика, какие разделы в ней обязательны, как описать Метрику, где разместить документ и почему образец из интернета чаще вредит, чем помогает.

Для чего нужна политика конфиденциальности на сайте

Требование записано в части 2 статьи 18.1 закона о персональных данных. Оператор, который собирает данные через интернет, обязан опубликовать на своём сайте документ о политике обработки и дать к нему свободный доступ. Оператором закон считает того, кто решает, зачем и как обрабатывать данные. Для сайта компании это сама компания, для сайта предпринимателя или самозанятого это он сам.

Персональные данные на сайте появляются чаще, чем кажется. Имя и телефон в форме заявки, почта в подписке, переписка в окне чата, номер заказа с адресом доставки. Сюда же относятся данные, которые собирают счётчики посещаемости: файлы cookie, сведения об устройстве и действиях на сайте.

За неопубликованную политику по части 3 статьи 13.11 КоАП штрафуют организацию на сумму от 30 000 до 60 000 рублей, индивидуального предпринимателя от 10 000 до 20 000. Сумма небольшая на фоне других нарушений. Политика важна тем, что с неё начинается любая проверка: по ней видно, понимает ли владелец сайта, что он собирает. Если сбор данных идёт без законного основания, например без согласия под формой, организации грозит штраф от 150 000 рублей.

Вторая причина практическая. Ссылка на понятную политику рядом с формой показывает посетителю, что за сайтом стоит аккуратный бизнес, который знает, что делает с его телефоном.

Что должно быть в политике по 152-ФЗ

Роскомнадзор выпустил рекомендации по составлению политики. По ним и по самому закону в документе должны быть такие разделы.

Кто оператор. Название организации или имя предпринимателя, ИНН, адрес для обращений. Почта, на которую человек может написать с запросом о своих данных.

Цели обработки. Каждая цель отдельно: связаться по заявке, оформить заказ, отправить рассылку, посчитать посещаемость. Цель формулируется конкретно. «Улучшение качества обслуживания» под это не подходит.

Какие данные и чьи. Для каждой цели список полей: имя, телефон, почта, текст обращения, данные Метрики. И категории людей: посетители сайта, клиенты, подписчики.

Правовые основания. Для формы заявки на сайте основанием обычно служит согласие человека. Для исполнения договора с клиентом основанием служит сам договор.

Что делается с данными и кому они передаются. Сбор, запись, хранение, удаление. Отдельно перечисляются сервисы, которые получают данные: хостинг, Метрика, CRM, почтовый сервис. Данные граждан России сначала записываются в базу на территории России. Если потом они уходят в зарубежный сервис, это трансграничная передача: о ней подают отдельное уведомление в Роскомнадзор до начала передачи и пишут в политике.

Сроки хранения и удаление. Сколько живёт заявка в базе и что происходит после: данные уничтожаются по истечении срока или после отзыва согласия.

Права человека. Узнать, какие данные о нём хранятся, исправить их, отозвать согласие, потребовать удаления. И как это сделать: куда написать и в какой срок придёт ответ.

Как данные защищены. Без секретов, но по делу: шифрованное соединение, доступ к базе по ключам, кто из сотрудников видит заявки.

У меня на сайте политика собрана ровно по этой схеме, её можно открыть на странице политики обработки данных и сравнить со своим документом.

Политика и Яндекс Метрика

Метрика сама по себе собирает данные посетителей: ставит файлы cookie, получает сведения об устройстве и операционной системе, видит, какие страницы человек открывал. По отдельности эти сведения человека не называют, но в связке их можно соотнести с конкретным посетителем. Поэтому безопаснее относиться к ним как к персональным данным.

Условия использования Метрики прямо перекладывают эту задачу на владельца сайта. В пункте 2.1 написано, что пользователь сервиса обязан сообщать посетителям об обработке их данных, а если закон требует, получать согласие. Поэтому в политике Метрике отводят отдельный абзац: какие данные она получает, зачем они нужны, что их обрабатывает Яндекс по поручению владельца сайта.

Самый аккуратный способ подключения выглядит так. При первом визите посетитель видит баннер с кнопками «Принять» и «Отклонить». До нажатия «Принять» счётчик не загружается и cookie не ставятся. В подвале есть ссылка, по которой выбор можно изменить. Так у меня устроено на sergoven.ru: посещаемость я вижу только по тем, кто согласился, зато сбор данных идёт с понятным основанием.

Образец политики конфиденциальности: почему не скопировать

По запросу «политика конфиденциальности для сайта образец» в выдаче легко найти готовые шаблоны. Как черновик шаблон полезен: он показывает структуру. Опасен он тем, что его публикуют без правок.

Типичные расхождения, которые я вижу в чужих политиках:

Политика, которая описывает чужой сайт, формально опубликована, но на вопрос «что вы собираете и зачем» не отвечает. Писать документ лучше от обратного: сначала выписать все места, где сайт получает данные, и все сервисы, куда они уходят, потом собрать политику под этот список.

Если сайт совсем простой и никаких данных не собирает, ни форм, ни чата, ни счётчиков, политика по закону не обязательна. Но стоит поставить хотя бы счётчик посещаемости, и политика уже нужна. Поэтому проще считать, что политика нужна, и сделать её один раз правильно.

Шаблона и самопроверки мало, если сайт собирает сведения о здоровье, биометрию, данные детей или передаёт контакты партнёрам. Здесь требования строже, и документы лучше показать юристу. Я делаю сайты и ботов и закладываю в них закон с первого дня, а юридических заключений не даю.

Где разместить политику и как связать её с формами

Политика живёт на отдельной странице, которая открывается без входа и регистрации. Ссылку на неё ставят в подвал каждой страницы. Под каждой формой, где человек оставляет контакты, нужна ещё одна ссылка: рядом с галочкой согласия.

Политика и согласие это разные документы. Политика рассказывает правила для всех. Согласие даёт конкретный человек, когда отмечает галочку под формой. С 1 сентября 2025 года закон требует оформлять согласие отдельно от других документов, поэтому фраза «отправляя форму, вы соглашаетесь с политикой» больше не работает: нужен отдельный текст согласия и отдельная галочка. На практике её оставляют не отмеченной заранее: так согласие получается сознательным и однозначным, как требует закон.

Ещё две вещи, которые стоит проверить вместе с политикой. Данные граждан России должны записываться и храниться в базах на территории России, это часть 5 статьи 18 закона. И до начала обработки, как правило, подаётся уведомление в Роскомнадзор по статье 22 закона, исключения из этого правила перечислены там же. За неподанное уведомление организации грозит штраф от 100 000 до 300 000 рублей. Я подавал своё уведомление в августе 2026 года, через неделю после подачи запись появилась в реестре операторов.

Как проверить свой сайт

Быстрая самопроверка занимает десять минут:

  1. Откройте сайт с телефона и найдите ссылку на политику. Если её нет в подвале, это первое, что нужно исправить.
  2. Сверьте оператора: в политике должно стоять ваше имя или название вашей компании.
  3. Пройдите по всем формам и чатам и выпишите поля. Каждое поле должно быть в политике.
  4. Посмотрите, грузится ли Метрика до нажатия «Принять» в баннере.
  5. Проверьте, что под каждой формой есть отдельная галочка согласия, не отмеченная заранее.

Пройтись по сайту можно и автоматически: бот проверки за минуту посмотрит сайт глазами Роскомнадзора и пришлёт отчёт. Это бесплатно.

Что вы получаете у меня

Сайт я сразу делаю по закону о персональных данных. Политика обработки данных, согласие под каждой формой и уведомление о cookie входят в любой сайт бесплатно, Метрика подключается только после согласия посетителя. При размещении на моём сервере, от 500 рублей в месяц, база с заявками лежит в России; если хостинг ваш, проверю, где он находится. Сайт-визитка стоит от 20 000 рублей, все уровни и сроки на странице создания сайта под ключ.

Если сайт уже работает и документы на нём собраны из шаблона, приведение к 152-ФЗ стоит от 15 000 рублей: проверка, политика, согласия и подготовка уведомления в Роскомнадзор. Подаёте уведомление вы сами, юридическая консультация в работу не входит. Цены на все услуги на странице услуг и цен.

С чего начать

Начните с бота: он бесплатно покажет основные пробелы. Если нужен ручной разбор всех форм, сервисов и документов, это проверка за 5 000 рублей, она засчитывается в работу. Напишите мне, какой у вас сайт и что на нём собирается: формы, чат, Метрика. Если сайта ещё нет, соберу его сразу с политикой, согласиями и правильно подключённой Метрикой. Состав работ по закону о персональных данных расписан на странице услуг и цен, а как сайт помогает собирать заявки, разобрано в статье про автоматизацию малого бизнеса.