Политика конфиденциальности и согласие на ПДн: образцы в Word

Два документа, а не один

Сайту, который собирает имя, телефон или email, нужны два разных документа. Политика обработки персональных данных — публичный документ о том, как компания вообще обращается с данными: что собирает, зачем, где хранит, кому передаёт, как защищает и как человек может реализовать свои права. Согласие на обработку — документ, которым конкретный человек разрешает обработку своих данных для конкретных целей. С 1 сентября 2025 года согласие должно оформляться отдельно от других документов: строчка «нажимая кнопку, вы соглашаетесь с политикой» больше не подходит.

Что должно быть в политике

• Наименование и реквизиты оператора, контакты для обращений.
• Перечень обрабатываемых данных и цели обработки — конкретные, а не «для улучшения сервиса».
• Правовые основания: согласие, договор, обязанность по закону.
• Действия с данными, сроки хранения и порядок уничтожения.
• Кому поручена обработка: хостинг, CRM, доставка, рассылки.
• Сведения о трансграничной передаче или о её отсутствии.
• Права субъекта и порядок ответа на запросы.
• Меры защиты, включая реагирование на инциденты.

Что должно быть в согласии

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Поэтому в нём перечисляются: кто оператор, какие именно данные, для каких целей, какие действия с ними совершаются, на какой срок даётся согласие и как его отозвать. Отдельная галочка в форме, не отмеченная по умолчанию, со ссылкой на текст согласия — практический стандарт для сайтов. Согласие на рекламные рассылки — ещё одна, отдельная галочка: оно регулируется законом «О рекламе» и не должно быть условием отправки заявки.

Частые ошибки в политиках

• Скопирована чужая политика. В ней чужие реквизиты, чужие сервисы и цели, которых у вас нет. Это хуже, чем отсутствие документа: он прямо противоречит реальной обработке.
• Цели «на всякий случай». «Для любых целей, не противоречащих законодательству» — так нельзя. Цели должны быть конкретными.
• Не указаны обработчики. Если заявки уходят в облачную CRM, а сайт стоит у хостинг-провайдера, это поручение обработки — его нужно отразить и оформить договором.
• Иностранные сервисы без упоминания трансграничной передачи. Если данные уходят за рубеж, нужно уведомить Роскомнадзор до начала передачи и указать это в политике.
• Политика не обновляется. Подключили новый сервис рассылок — политика должна измениться вместе с этим.

Как разместить документы на сайте

1. Опубликуйте политику на отдельной странице и поставьте ссылку в подвал сайта и рядом с каждой формой.
2. Опубликуйте согласие отдельной страницей. Скачайте вариант «HTML для сайта» — это чистая разметка без стилей, которая встанет в оформление вашего сайта.
3. В каждой форме добавьте отдельную неотмеченную галочку «Даю согласие на обработку персональных данных» со ссылкой на согласие. Без неё форма не должна отправляться.
4. Если есть рассылки — добавьте ещё одну необязательную галочку для согласия на получение рекламы.
5. Настройте cookie-баннер и включайте аналитику после согласия пользователя.

Документы — это только часть

Политика и согласие закрывают то, что видно снаружи. Но обязанности оператора шире: уведомление Роскомнадзора, хранение данных в России, договоры с обработчиками, внутренние документы, защита и порядок реагирования на утечки. Пройдите чек-лист 152-ФЗ, чтобы увидеть полную картину, и посмотрите, во что обходится утечка с учётом действующих штрафов. Подробный разбор требований к сайтам — в статье 152-ФЗ и персональные данные на сайте.

Пример: что указать для типичного сайта

Для сайта компании с формой заявки и онлайн-чатом набор будет таким. Данные: имя, телефон, email, содержание обращения, cookie и сведения об устройстве. Цели: обработка заявок и обратная связь, заключение договоров, анализ посещаемости. Обработчики: хостинг-провайдер, где стоит сайт, сервис онлайн-чата, облачная CRM — с названиями компаний. Аналитика: Яндекс Метрика. Трансграничная передача: не осуществляется, если все сервисы российские. Срок хранения: до достижения целей или отзыва согласия. Если вы подключаете зарубежный сервис рассылок, отметьте трансграничную передачу, перечислите страны и не забудьте подать уведомление в Роскомнадзор до начала передачи.