Genius-bot · 8 минут чтения
Документы для сайта по 152-ФЗ — это не формальность «для галочки»: без опубликованной политики и правильно оформленного согласия любая форма заявки становится поводом для штрафа. Разбираем, какие документы нужны обычному сайту и интернет-магазину, что в каждом писать, где их разместить и когда хватит генератора, а когда нужен юрист.
Какие документы для сайта по 152-ФЗ нужны в первую очередь
Набор зависит от того, что делает сайт. Для большинства сайтов малого бизнеса картина такая:
| Документ | Когда нужен | Где размещать |
|---|---|---|
| Политика обработки персональных данных | Всегда, если сайт собирает данные | Отдельная страница, ссылка в подвале и у форм |
| Согласие на обработку персональных данных | Если обработка идёт на основании согласия: формы, рассылки, аналитика | Отдельная страница, ссылка у галочки в форме |
| Политика использования cookie | Если стоит аналитика, реклама, чаты, встроенное видео | Отдельная страница или раздел политики, ссылка в cookie-баннере |
| Согласие на рекламную рассылку | Если отправляете письма или сообщения с рекламой | Отдельная галочка в форме подписки |
| Пользовательское соглашение, оферта | Магазины, сервисы, личные кабинеты | Отдельные страницы |
Последние два документа регулируются не только 152-ФЗ, но их часто путают с согласием на обработку и пытаются объединить. Делать этого нельзя — почему, разберём ниже.
Политика обработки персональных данных
Это главный документ. Его обязанность опубликовать на сайте прямо закреплена в ч. 2 ст. 18.1 152-ФЗ: оператор, который собирает данные через интернет, публикует политику и сведения о мерах защиты и обеспечивает к ним доступ. За неопубликование по ч. 3 ст. 13.11 КоАП организации грозит штраф 30–60 тыс. рублей, ИП — 10–20 тыс. рублей (редакция на КонсультантПлюс от 04.08.2026).
Что должно быть в политике
- полное наименование оператора, ИНН, ОГРН, адрес, контакт для обращений;
- цели обработки — по каждой отдельно: обработка заявок, исполнение заказов, рассылка, аналитика;
- для каждой цели — категории и перечень данных, категории субъектов, правовое основание;
- действия с данными: сбор, запись, хранение, передача и так далее;
- сроки хранения и порядок уничтожения;
- кому данные передаются: хостинг, CRM, служба доставки, платёжный сервис, сервисы аналитики;
- есть ли трансграничная передача и в какие страны;
- права пользователя и как ими воспользоваться, включая отзыв согласия;
- меры защиты данных.
Самая частая ошибка — политика, скачанная с чужого сайта, где указаны чужие цели, чужие сервисы и нет ни слова о Яндекс Метрике, которая стоит на сайте. Роскомнадзор при проверках сверяет политику с тем, что реально происходит на сайте.
Согласие на обработку: только отдельным документом
С 1 сентября 2025 года действует поправка к ч. 1 ст. 9 152-ФЗ, внесённая Федеральным законом № 156-ФЗ: согласие должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает или подписывает субъект. Раньше согласие часто пряталось абзацем внутри политики, оферты или пользовательского соглашения — теперь так нельзя.
Что должно быть в согласии
- Кто даёт согласие: для формы на сайте это пользователь, заполнивший форму.
- Кому: наименование и адрес оператора.
- Цель обработки — конкретная, например «обработка заявки и обратная связь».
- Перечень данных: имя, телефон, e-mail, данные cookie — только то, что реально собирается.
- Действия с данными и способы обработки.
- Третьи лица, если данные им передаются.
- Срок действия согласия.
- Как отозвать согласие: e-mail или адрес для заявления.
Согласие должно быть конкретным, информированным и однозначным, поэтому одно «согласие на всё» с десятью целями — плохая идея. Если у сайта две разные цели, например заявки и рекламная рассылка, лучше две отдельные галочки.
Как связать согласие с формой
В форме ставится пустая галочка с текстом вроде «Я даю согласие на обработку персональных данных», где слово «согласие» — ссылка на страницу документа. Рядом — отдельная ссылка на политику. Кнопка отправки без галочки не срабатывает. Подробнее о согласии для cookie — в статье о согласии на использование файлов cookie.
Политика использования cookie
Роскомнадзор в письме от 26.06.2024 № 08-242780 указал, что метрические программы, выделяющие уникального посетителя, означают обработку персональных данных, и порядок такой обработки надо описать в локальном акте. Политика cookie — удобное место для этого описания. В ней указывают:
что такое cookie и зачем сайт их использует;- категории: необходимые, аналитические, рекламные, сторонних сервисов;
- список сервисов по категориям: Яндекс Метрика, Top.Mail.Ru, чат, видео, карты;
- срок хранения cookie;
- как изменить выбор на сайте и как удалить cookie в браузере.
Список сервисов придётся обновлять: подключили новый пиксель — дописали его в политику и в баннер.
Внутренние документы, которые не публикуются
Опубликованные документы — видимая часть. Статья 18.1 152-ФЗ перечисляет и меры, которые оператор принимает внутри компании. Для небольшого бизнеса это обычно:
- приказ о назначении ответственного за организацию обработки персональных данных (для организаций);
- приказ об утверждении политики и других локальных актов;
- перечень сотрудников и подрядчиков, у которых есть доступ к заявкам и заказам;
- описание мер защиты: кто имеет доступ к админке сайта и CRM, как хранятся пароли, как делаются резервные копии;
- подтверждение, что сотрудники ознакомлены с политикой.
Эти документы на сайте не размещают, но при проверке Роскомнадзор может их запросить. ИП без сотрудников часть пунктов не нужна, но политику и описание мер защиты всё равно стоит утвердить.
Особенности для интернет-магазина
Магазин обычно передаёт данные покупателя службе доставки, платёжному сервису и иногда маркетплейсу или сервису отзывов. Каждого получателя нужно назвать в политике и в согласии, если данные передаются на основании согласия. Если есть личный кабинет, в политике описывают, какие данные хранятся в профиле, как долго и как удалить аккаунт. Отдельные документы — оферта и правила возврата — регулируются другими законами и в эту статью не входят.
Где и как разместить документы
- Каждый документ — отдельная страница с понятным адресом: /privacy-policy/, /soglasie/, /cookie-policy/.
- В подвале сайта — ссылки на все три документа, чтобы они были доступны с любой страницы.
- У каждой формы — галочка со ссылкой на согласие и ссылка на политику.
- В cookie-баннере — ссылка на политику cookie.
- На страницах указана дата последней редакции.
- Старые редакции сохраняются: если пользователь дал согласие в марте, важно помнить, какой текст он видел.
Кроме самих текстов, полезно хранить подтверждения согласий: кто, когда и на какую редакцию согласился. Обязанность доказать получение согласия лежит на операторе. Для согласий, полученных через cookie-баннер, подойдёт журнал согласий с экспортом в CSV в Cookietrix Pro.
Документы должны открываться без регистрации и пароля. Файл PDF допустим, но обычная страница удобнее и для пользователя, и для проверки.
Генератор политики конфиденциальности или юрист
Генератор политики конфиденциальности для сайта экономит время, но качество зависит от того, насколько честно вы заполните анкету. Сравнение вариантов:
| Вариант | Плюсы | Минусы | Кому подходит |
|---|---|---|---|
| Образец с чужого сайта | Быстро | Чужие цели и сервисы, устаревшие формулировки, согласие внутри политики | Никому |
| Онлайн-генератор | Быстро, структура по закону | Шаблонные цели, не учитывает ваши сервисы | Визитки, лендинги |
| Генератор в плагине сайта | Подставляет реквизиты, сразу публикуется | Черновик, требует вычитки | Сайты на WordPress |
| Юрист | Учитывает бизнес-процессы, CRM, подрядчиков | Дольше и дороже | Магазины, медицина, сервисы с личным кабинетом |
Если ищете политику конфиденциальности для сайта образец — используйте его как структуру, а не как готовый текст. Проверьте каждый пункт: ваши ли это цели, ваши ли сервисы, ваш ли срок хранения.
Для WordPress черновики сразу трёх документов — Политики обработки ПД, Согласия на обработку ПД и Политики использования cookie — генерирует плагин Cookietrix для cookie-баннера и документов. Достаточно ввести реквизиты. Это именно черновики: их нужно вычитать и дополнить под свои процессы, а плагин не заменяет юриста.
Чек-лист перед публикацией
- реквизиты оператора совпадают с ЕГРЮЛ или ЕГРИП;
- каждая форма на сайте отражена в целях обработки;
- все внешние сервисы — аналитика, чат, CRM, рассылка — перечислены;
- согласие — отдельная страница, а не абзац политики;
- указан способ отозвать согласие;
- зарубежные сервисы отмечены как трансграничная передача;
- уведомление в Роскомнадзор подано и сведения в нём совпадают с политикой.
Полный список требований к самому сайту — формы, cookie, HTTPS, локализация — собран в материале «Требования к сайту по 152-ФЗ: чек-лист».
Частые вопросы
Можно ли объединить политику и согласие в один документ?
С 1 сентября 2025 года нет. Закон требует оформлять согласие отдельно от других документов, которые подтверждает пользователь.
Нужно ли подписывать политику?
Обычно политику утверждает руководитель организации или ИП внутренним приказом. На сайте публикуется её текст, подпись на странице не обязательна.
Ранее собранные согласия придётся собирать заново?
Прямого требования переоформлять согласия, полученные до сентября 2025 года, закон не содержит. Но все новые согласия должны собираться уже по новым правилам.
Как часто обновлять документы?
При каждом изменении: новая форма, новый сервис, смена хостинга, новые цели. Без изменений — хотя бы раз в год сверять текст с сайтом.
Нужен ли отдельный документ для cookie?
Закон не требует именно отдельной страницы, но описать обработку данных через cookie нужно. Отдельная политика cookie удобна для ссылки из баннера.
Вывод
Базовые документы для сайта по 152-ФЗ — политика обработки ПД, отдельное согласие и политика cookie. Они должны описывать то, что реально происходит на сайте, и быть доступны с каждой страницы и формы. Начните с генератора, затем вычитайте текст под свои процессы. Статья не заменяет консультацию юриста: при сложных процессах, медицинских или биометрических данных лучше заказать документы у специалиста.
