Политика конфиденциальности сайта: что в ней должно быть

Политика конфиденциальности сайта — это документ о том, как компания обрабатывает персональные данные. Он обязателен, если сайт собирает хотя бы имя и телефон через форму. Политика должна быть опубликована или доступна без ограничений (ч. 2 ст. 18.1 152-ФЗ), описывать реальные цели, состав данных, сроки, права человека и контакты ответственного. Шаблон из интернета без правок обычно не подходит, потому что описывает чужие процессы.

Политика, согласие и cookie: три разных документа

Эти документы часто путают. Политика рассказывает, как вы обрабатываете данные. Согласие — отдельный документ, на который человек отвечает действием (галочкой) перед отправкой формы. Уведомление о cookie — отдельный блок про технические и аналитические файлы.

Структура политики

Хорошая политика отвечает на вопросы, которые задаст человек или проверяющий. Разделы можно использовать как каркас.

1. Кто оператор. Полное наименование, ИНН, ОГРН (для ИП ИНН и ОГРНИП), адрес, контакты для обращений.
2. Какие данные собираются. Конкретный список: имя, телефон, email, адрес доставки, данные из cookie. Не «любые данные».
3. Цели обработки. Для каждой цели своя запись: обработка заявки, исполнение договора, рассылка (только при согласии), аналитика сайта.
4. Основания. Согласие, договор, закон. Для разных целей основания могут различаться.
5. Как обрабатываются данные. Сбор, запись, хранение, передача, удаление. Укажите, используете ли автоматизацию.
6. Передача третьим лицам. Кому и зачем: CRM, платёжный сервис, служба доставки, почтовый сервис. Если данные уходят за границу, это нужно описать отдельно.
7. Где хранятся данные. Персональные данные граждан России записывают и хранят в базах на территории РФ: локализация ПДн.
8. Сроки хранения и удаления. Как долго хранятся данные и как их удаляют по достижении цели или по запросу.
9. Меры защиты. Общее описание: ограничение доступа, шифрование соединения, резервные копии. Без технических подробностей, которые помогут злоумышленникам.
10. Права человека. Получить сведения, уточнить, заблокировать, удалить данные, отозвать согласие и как это сделать.
11. Порядок обращений. Куда писать и в какие сроки вы отвечаете.
12. Изменения политики. Как вы публикуете новую версию и с какой даты она действует.

Где и как разместить

• ссылка в подвале каждой страницы сайта;
• ссылка рядом с каждой формой, чекбокс согласия с отдельной ссылкой;
• отдельный адрес вроде /privacy с текстом в HTML, а не только PDF;
• ссылка в мобильном приложении и в окне оформления заказа;
• дата утверждения или версия в начале документа.

Типичные ошибки

Что делать дальше

Составьте перечень реально собираемых данных, проверьте все формы, счётчики и виджеты, затем составьте политику под них. Сделать черновик можно в генераторе политики конфиденциальности, а проверить сайт на типовые нарушения — через проверку сайта на 152-ФЗ. Результат генератора — черновик, а не юридическое заключение: перед публикацией покажите его юристу.

Если нужно привести в порядок весь комплект (политика, согласия, формы, cookie, локализация), смотрите аудит сайта на 152-ФЗ. Саму норму читайте на consultant.ru.