Политика обработки персональных данных для сайта: что должно быть в 2026

Документ «Политика обработки персональных данных» — из тех страниц сайта, которые почти никто не читает, кроме одного читателя: инспектора Роскомнадзора при проверке. Если сайт — не визитка на пару страниц, а собирает заявки, продаёт товары или ведёт рассылку, эта страница обязана быть, причём не любая, а конкретная, под конкретный сайт.

По данным проверок vlip.site (14 037 сайтов, апрель–сентябрь 2026), у 20,1% сайтов такой страницы нет вовсе. Ещё у 32,3% страница есть, но не соответствует действующей редакции закона — это в полтора раза больше, чем сайтов без документа. Получается, что у половины проверенных сайтов с этим документом что-то не так — либо его нет, либо он не работает.

Кому это обязательно

Ст. 18.1 152-ФЗ обязывает оператора персональных данных публиковать документ, определяющий его политику в отношении обработки персональных данных, или иным образом обеспечивать к нему неограниченный доступ. Оператором становится любой сайт, который получает от посетителя персональные данные — имя, телефон, email, адрес доставки — через форму заявки, подписку, корзину или личный кабинет.

Форма собственности здесь ни на что не влияет: обязанность одинакова для ООО, ИП и самозанятого, если у него есть сайт с формой. Не влияет и количество полей в форме — «имя + телефон» уже достаточно, чтобы возникла обязанность иметь политику.

Что должно быть в документе

Роскомнадзор в 2017 году выпустил рекомендации по составлению документа о политике обработки персональных данных — они не устарели и остаются ориентиром при проверках. По этим рекомендациям в политике должны быть:

• цели сбора персональных данных — не общая фраза «для улучшения сервиса», а конкретный перечень: обработка заявок, доставка товара, рассылка, аналитика посещаемости;
• правовые основания обработки — какая норма закона или какой договор с посетителем даёт сайту право собирать эти данные;
• объём и категории обрабатываемых данных, категории субъектов персональных данных — какие именно данные собираются (имя, телефон, email, адрес, платёжные реквизиты) и от кого (посетители сайта, покупатели, подписчики рассылки);
• порядок и условия обработки — как данные хранятся, кому передаются, сколько живут;
• порядок актуализации, исправления, удаления и уничтожения данных, а также ответы на запросы субъектов персональных данных — что делать, если человек попросил удалить свои данные или уточнить, что о нём хранится.

Дополнительно в документ стоит включить регламент реагирования на обращения субъектов персональных данных и уполномоченных органов — то есть кто в компании отвечает за такие запросы и в какой срок.

Отдельно нужны реквизиты оператора: полное наименование, ИНН, адрес — без них политика формально ничья, а не конкретной компании или ИП.

Политика — это не согласие

Частая путаница: политику обработки ПД принимают за то же самое, что согласие пользователя в форме. Это два разных документа с разными задачами.

Политика описывает, как сайт вообще обращается с персональными данными — независимо от того, оставил конкретный посетитель заявку или просто зашёл на страницу. Согласие — это документ, который подтверждает конкретный посетитель конкретным действием (галочкой в форме), когда решает передать свои данные. С 1 сентября 2025 года согласие обязано быть оформлено отдельным документом и не может быть спрятано внутри политики или пользовательского соглашения — так требует ст. 9 152-ФЗ в редакции Федерального закона № 156-ФЗ от 24.06.2025.

Проверить, как оформлено согласие в формах на вашем сайте и какие формулировки считаются пассивным согласием, можно в статье «Как оформить согласие на обработку персональных данных на сайте».

Признаки устаревшей политики

Проверить документ на сайте можно за пару минут, без юридического образования. Вот на что смотреть:

• дата документа отсутствует или старше 2025 года — политика не пересматривалась под последние поправки в 152-ФЗ, включая требование об отдельном согласии;
• общие фразы вместо конкретики — «мы заботимся о вашей конфиденциальности», «ваши данные в безопасности» без перечня целей обработки и категорий данных;
• нет реквизитов оператора — документ не привязан к конкретной компании или ИП, его можно скопировать на любой другой сайт без изменений;
• согласие встроено в тот же текст — форма ссылается на «Политику конфиденциальности» вместо отдельного документа о согласии;
• не совпадает с тем, что сайт делает на самом деле — например, политика не упоминает передачу данных в зарубежный CRM или email-сервис, хотя сайт им пользуется.

Любой из этих признаков — повод переписать документ, а не только поправить дату в конце страницы.

Почему скачанный шаблон не работает

Шаблон политики из интернета решает одну задачу — страница на сайте появляется. Но при проверке смотрят не на факт наличия документа, а на то, соответствует ли он тому, что сайт реально делает с данными.

Если в шаблоне написано «обрабатываем ФИО и email для рассылки», а сайт на самом деле собирает ещё и адрес доставки, платёжные данные и передаёт информацию в CRM зарубежного провайдера — документ не соответствует реальности. Формально страница есть, но по существу это тот же случай, что и полное отсутствие политики: оператор не описал, что делает с данными, значит, субъект персональных данных не может дать информированное согласие.

Отдельная проблема — шаблоны, скачанные до 1 сентября 2025 года: в них согласие обычно объединено с политикой в одном документе, что с этой даты уже не соответствует требованиям закона.

Где разместить и как связать с формами

Практический минимум — ссылка на политику в подвале сайта, доступная с любой страницы. Этого достаточно, чтобы выполнить требование о «неограниченном доступе» к документу.

Отдельно ссылка на политику должна стоять рядом с каждой формой, которая собирает персональные данные, — форма заявки, подписки, корзина при оформлении заказа. Это не дублирование: посетитель должен видеть документ именно в момент, когда решает, оставлять свои данные или нет, а не искать его отдельно в подвале сайта.

Если рядом с формой уже стоит отдельный чекбокс согласия на обработку персональных данных (как того требует закон с сентября 2025 года), ссылка на политику логично идёт рядом с этим чекбоксом, а не заменяет его.

Как добавить на Tilda

На Tilda есть встроенный конструктор политики конфиденциальности. Порядок действий:

1. Открыть нужный проект в разделе «Настройки сайта» на панели Tilda.
2. Перейти в раздел, отвечающий за политику конфиденциальности, и включить конструктор.
3. Заполнить поля: название компании, какие данные собирает сайт (имя, email, телефон и другие).
4. Сохранить — Tilda сгенерирует готовый текст документа.
5. Разместить ссылку на получившуюся страницу в подвале сайта и рядом с формами.

Готовый текст от конструктора Tilda стоит перечитать и дополнить реальными реквизитами компании и точным перечнем данных, которые собирает именно ваш сайт, — по тем же причинам, что и с любым другим шаблоном.

Отдельно от текста политики на Tilda можно добавить чекбокс согласия в саму форму: в редакторе блока с формой — раздел с полями ввода, где среди типов полей есть «Галочка». Это уже не политика, а отдельный элемент согласия, который должен ссылаться на документ о согласии, а не на политику конфиденциальности.

Штраф за отсутствие или несоответствие

Отсутствие политики обработки ПД или её формальное несоответствие тому, что делает сайт, подпадает под ч. 3 ст. 13.11 КоАП — за неопубликование документа. Штраф для юридического лица — 30 000–60 000 ₽, для ИП — 10 000–20 000 ₽, для должностного лица — 6 000–12 000 ₽.

Сумма ниже, чем по другим частям той же статьи — например, за отсутствие согласия в форме штраф для юрлица доходит до 700 000 ₽. Но политика — самый заметный документ на сайте: его первым делом проверяет и посетитель, который решил пожаловаться, и инспектор при проверке. Отсутствие или явное несоответствие политики реальности часто становится поводом присмотреться к сайту внимательнее и найти уже более серьёзные нарушения — в согласиях или в cookie-баннере.

Что делать дальше

Если политики на сайте нет или она не обновлялась несколько лет — это можно исправить самостоятельно за один рабочий день: собрать реальный перечень целей обработки и категорий данных, реквизиты компании, при необходимости — регламент ответа на запросы, и оформить документ отдельно от согласия.

Если непонятно, с чего начать, или нужно быстро увидеть остальные находки на сайте — бесплатная проверка на vlip.site за пару минут показывает, чего не хватает в документах сайта и по каким нормам это считается нарушением. Дальше можно оставить бесплатную заявку эксперту, который оценит объём работ по конкретному сайту.