Политика обработки персональных данных: как составить по 152-ФЗ в 2026 году

1Политика обработки ПДн vs Privacy Policy: два разных документа

Это первое, что нужно понять до начала разработки любого из документов. Их часто путают — называют оба «политикой конфиденциальности» — но по правовой природе, адресату и содержанию это принципиально разные вещи. Путаница дорого обходится: компании публикуют на сайте внутренний ЛНА вместо публичного документа для пользователей, или наоборот — размещают Privacy Policy и считают, что закрыли требование 152-ФЗ об утверждении политики оператора.

2Зачем нужна: ст. 18.1 152-ФЗ и штрафы РКН

Обязанность оператора «опубликовать или иным образом обеспечить неограниченный доступ» к политике в отношении обработки персональных данных установлена статьёй 18.1 пункта 2 Федерального закона №152-ФЗ. Норма действует с 2014 года, но активное правоприменение началось с 2021-го, когда РКН получил расширенные полномочия и перешёл к системным проверкам в реестровом формате. Для операторов ПДн на российском рынке это обязательный элемент юридической упаковки.

Помимо штрафов, отсутствие политики фиксируется как нарушение при любом взаимодействии с РКН: уведомление об утечке, ответ на жалобу субъекта, плановая проверка. Наличие актуальной и правильно оформленной политики существенно снижает риск перехода дела в административное производство. Вот что именно проверяют инспекторы в ходе дистанционного мониторинга сайтов:

3Обязательные разделы по 152-ФЗ

Закон прямо не содержит исчерпывающего перечня разделов, но их состав однозначно следует из ст. 18.1, ст. 22 (уведомление оператора) и Методических рекомендаций РКН. Политика, не покрывающая все эти блоки, при проверке квалифицируется как неполная — что само по себе является нарушением.

• 1
  Оператор персональных данных. Полное наименование организации (ИП), ИНН, ОГРН, юридический адрес, электронная почта и телефон для обращений субъектов. Реквизиты должны совпадать с ЕГРЮЛ — РКН сверяет автоматически. Ошибка: указан торговый бренд вместо юрлица. Нарушение — субъект не может идентифицировать оператора.
• 2
  Цели обработки персональных данных. Конкретные цели для каждой категории данных: заключение и исполнение договора, направление информационных рассылок, аналитика поведения на сайте, кадровый учёт, исполнение требований законодательства. «В целях, предусмотренных законодательством» — не цель. Цели в политике должны точно соответствовать целям в уведомлении оператора, поданном в РКН.
• 3
  Категории и перечень обрабатываемых ПДн. По категориям: общие ПДн (ФИО, email, телефон, адрес, дата рождения); специальные категории (здоровье, биометрия, национальность — только при наличии отдельного основания); иные (cookie, IP, история транзакций). Специальные категории требуют отдельного раздела с указанием правового основания по ст. 10 152-ФЗ.
• 4
  Перечень действий с ПДн. Что именно делается с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Перечень берётся из ст. 3 п.3 152-ФЗ. Частая ошибка: указано только «хранение» или «сбор и использование» — неполный перечень при проверке = нарушение.
• 5
  Правовые основания обработки. Согласие субъекта (ст. 9); исполнение договора (ст. 6 п.5); осуществление оператором прав (ст. 6 п.7); выполнение требований законодательства РФ (ст. 6 п.2); иные — с прямой ссылкой на статью нормативного акта. Каждое основание — к конкретной цели. «На основании норм действующего законодательства» без конкретной ссылки — недостаточно.
• 6
  Сроки обработки и хранения. Конкретные сроки для каждой категории данных: срок действия договора, срок исковой давности (3 года по ГК РФ), требования налогового законодательства (5 лет), срок хранения кадровых документов (50–75 лет по ст. 22.1 Закона об архивном деле). Или событие, с наступлением которого данные уничтожаются.
• 7
  Порядок уничтожения ПДн. Сроки (не позднее 30 дней с достижения цели или отзыва согласия), способ (уничтожение с составлением акта, обезличивание), ответственный. Это требование ст. 21 152-ФЗ — и один из ключевых вопросов при проверке. Акт об уничтожении ПДн должен храниться у оператора — укажите это в политике.
• 8
  Меры по обеспечению безопасности ПДн. Организационные: назначение ответственного, инструктаж сотрудников, режим конфиденциальности, контроль доступа. Технические: шифрование, антивирус, межсетевой экран, резервное копирование. Указывать конкретные названия СКЗИ не обязательно, но уровень защиты (УЗ-1–4 по Постановлению Правительства №1119) — желательно.
• 9
  Права субъектов персональных данных. Право на доступ (ст. 14), исправление (ст. 21), удаление (ст. 21), отзыв согласия (ст. 9 п.2), ограничение обработки (ст. 21), обжалование действий в РКН (ст. 17) и в суде. Для каждого права — способ реализации и срок ответа оператора (10 рабочих дней по ст. 14). Контактный email для запросов субъектов обязателен — это отдельный реквизит.
• 10
  Ответственный за организацию обработки ПДн. ФИО и должность (или структурное подразделение) лица, ответственного за организацию обработки ПДн по ст. 22.1 152-ФЗ. Не путать с DPO по GDPR: это внутренняя роль, обязательная для любого оператора. Ответственный должен быть назначен отдельным приказом — ссылка на реквизиты приказа в политике подтверждает соответствие.

4Что проверяет РКН: 8 пунктов

Роскомнадзор проводит проверки в двух режимах: дистанционный мониторинг (автоматизированный краулинг сайтов по реестру операторов) и выездные / документарные проверки по жалобам субъектов или в рамках плановых проверочных мероприятий. Первый режим выявляет формальные нарушения — отсутствие или недоступность политики, расхождение с уведомлением. Второй — содержательные нарушения в самом документе.

5Карта внутренних ЛНА: как связаны документы

Политика обработки ПДн — центральный, но не единственный документ в системе. Она ссылается на другие ЛНА и сама является основанием для их разработки. Компании, у которых есть только политика без сопутствующих документов, при выездной проверке РКН получают целый пакет предписаний — каждый отсутствующий ЛНА это отдельное нарушение.

• Поручения с подрядчиками критически важны для IT-компаний, использующих облачные сервисы (AWS, Azure, Bitrix24, amoCRM). Без поручения подрядчик считается самостоятельным оператором — оператор теряет контроль над обработкой и несёт риски по ст. 13.11.
• Регламент реагирования на инциденты обязателен с 2022 года после вступления в силу поправок об уведомлении об утечках. Политика обработки должна ссылаться на регламент или содержать его основные положения. Обучение сотрудников работе с ПДн — неотъемлемая часть организационных мер.
• Модель угроз определяет, какой уровень защиты (УЗ-1–4) применяется к каждой ИСПДн. Без модели угроз невозможно правильно описать технические меры в политике — раздел «Меры защиты» окажется декларативным и не пройдёт содержательную проверку.

6Типичные ошибки

По опыту аудитов, 80% политик обработки ПДн, которые встречаются «в дикой природе» на российских сайтах, содержат как минимум три из пяти нижеперечисленных ошибок. Каждая из них может стать основанием для предписания или штрафа.

7Международная аудитория: 152-ФЗ + GDPR + Закон КЗ

IT-продукты с аудиторией из России, ЕС и Казахстана сталкиваются с тремя независимыми режимами регулирования. 152-ФЗ, GDPR и Закон РК «О персональных данных» различаются по терминологии, структуре обязательных disclosure-элементов и требованиям к правовому основанию. Вопрос «один документ или несколько» нужно решить на старте — архитектура документа зависит от ответа.

8Чек-лист: 10 пунктов перед публикацией

Пройдите этот чек-лист перед публикацией новой политики или аудитом существующей. Каждый пункт — проверяемый критерий при проверке РКН.

• 1
  Реквизиты оператора корректны. Полное наименование, ИНН/ОГРН, юридический адрес, email совпадают с ЕГРЮЛ. Если юрадрес или название менялись — политика обновлена.
• 2
  Политика утверждена с датой. Есть гриф «Утверждено» с датой и подписью руководителя, либо ссылка на реквизиты приказа об утверждении. Электронная копия с подписью хранится у оператора.
• 3
  Цели обработки конкретны. Нет расплывчатых формулировок. Каждая цель сформулирована как действие («заключение и исполнение договора с пользователем», «направление email-рассылки при наличии согласия»).
• 4
  Цели и категории совпадают с уведомлением в РКН. Открыт личный кабинет на Госуслугах, актуальное уведомление сверено с текстом политики. При расхождениях — уведомление обновлено первым.
• 5
  Перечень действий полный. Присутствуют все применяемые действия: сбор, запись, хранение, использование, передача, уничтожение. Если данные не распространяются — это явно указано.
• 6
  Сроки хранения указаны конкретно. Для каждой категории данных — цифра (3 года, 5 лет) или событие (до закрытия аккаунта + 30 дней). «Пока необходимо» — заменено на конкретику.
• 7
  Ответственный назначен и упомянут. В политике — ФИО или должность + реквизиты приказа о назначении. Приказ подписан и хранится. Email для обращений субъектов указан.
• 8
  Права субъектов описаны с механизмом реализации. Для каждого права — как подать запрос (email, форма) и в какой срок оператор ответит (10 рабочих дней по ст. 14). Есть ссылка на форму жалобы в РКН.
• 9
  Политика доступна без авторизации. Проверка в режиме инкогнито: страница открывается без логина, ссылка в footer ведёт на актуальный документ, ссылка присутствует на всех страницах сбора данных (формы, регистрация, checkout).
• 10
  Версионность настроена. Дата редакции в шапке документа. При изменениях — предыдущая версия сохраняется (архив URL или история документа). Это защита от претензий субъектов в суде.

?Частые вопросы