Privacy Policy для сайта: как составить в 2026 году

1Почему без Privacy Policy нельзя запускать сайт

Privacy Policy — это публичный документ, который объясняет пользователям: какие данные собираются, с какой целью, на каком основании, кому передаются и как удаляются. Формально это не просто «страница с текстом» — это юридически значимое уведомление, обязательное в большинстве юрисдикций при любом сборе персональных данных, даже если это только IP-адрес или cookie.

Три категории последствий отсутствия Privacy Policy — штрафы, блокировки и коммерческие отказы — работают независимо друг от друга. Получить все три одновременно несложно.

Полная юридическая упаковка IT-продукта включает Privacy Policy как обязательный элемент — наравне с пользовательским соглашением и cookie-политикой. Это не параллельные документы: они должны быть согласованы между собой по целям и основаниям обработки данных.

2Чем Privacy Policy отличается от политики обработки ПДн

Это разные документы с разными адресатами и разными правовыми функциями. Путаница возникает, потому что в обиходе оба называют «политикой конфиденциальности». В российском праве по 152-ФЗ оба документа обязательны, но выполняют разные задачи.

Практическая проблема: компании часто публикуют внутреннее ЛНА как Privacy Policy — оно содержит лишние процедурные разделы и не содержит нужной пользователю информации о его правах. Оба документа нужны отдельно. Разработка только Privacy Policy не закрывает требование 152-ФЗ об утверждении политики оператора, и наоборот.

3Обязательные разделы по GDPR Art. 13–14

GDPR различает две ситуации: Art. 13 — данные собираются напрямую от субъекта (регистрация, форма); Art. 14 — данные получены из третьих источников (купленная база, публичный профиль). В обоих случаях список обязательных disclosure-элементов почти совпадает, но при Art. 14 необходимо дополнительно указать источник данных. Полная структура GDPR-совместимой Privacy Policy включает восемь обязательных блоков.

4Обязательные разделы по 152-ФЗ

Федеральный закон «О персональных данных» требует, чтобы оператор — любая компания или ИП, обрабатывающая данные граждан РФ — публиковал на сайте политику в отношении обработки ПДн (ст. 18.1, п. 2). Для российского рынка структура PP определяется Приказом Роскомнадзора и сложившейся правоприменительной практикой.

• 1
  Оператор персональных данных. Полное наименование, ИНН/ОГРН, юридический адрес, электронная почта и телефон. РКН проверяет совпадение с ЕГРЮЛ.
• 2
  Цели обработки персональных данных. Конкретные цели для каждой категории данных. «Оказание услуг» без расшифровки не принимается при проверке.
• 3
  Правовые основания обработки. Согласие субъекта (ст. 9), исполнение договора (ст. 6 п.5), осуществление прав оператора (ст. 6 п.7), иные основания — со ссылкой на статью закона.
• 4
  Перечень обрабатываемых данных. По категориям: ФИО, email, телефон, платёжные данные, cookie и технические данные. Спецкатегории (здоровье, биометрия) — отдельный блок с отдельным правовым основанием.
• 5
  Права субъекта персональных данных. Право на доступ (ст. 14), исправление (ст. 21), удаление (ст. 21), отзыв согласия (ст. 9 п. 2), обращение в РКН (ст. 17).
• 6
  Локализация данных (ст. 18.1 п. 5). С 2015 года первичный сбор ПДн граждан РФ должен осуществляться на серверах в России. Если используется зарубежный хостинг — обязательно указать механизм локализации.
• 7
  Трансграничная передача. При передаче в страны вне ЕАЭС — перечень стран и правовые основания. Передача в страны, не обеспечивающие «адекватную защиту», требует согласия субъекта или оснований по ст. 12.
• 8
  Сроки обработки и удаления. Срок хранения или событие, после которого данные уничтожаются. Удаление — в срок не позднее 30 дней с момента достижения цели или отзыва согласия.
• 9
  Уведомление РКН. Большинство операторов обязаны уведомить РКН до начала обработки (ст. 22). С 2022 года уведомление подаётся через Госуслуги. Номер уведомления рекомендуется указать в PP.

5Обязательные разделы по CCPA / CPRA

California Consumer Privacy Act (CCPA) с поправками CPRA 2023 года применяется к бизнесам, которые: (а) имеют годовую выручку от $25M, или (б) обрабатывают ПДн более 100 000 калифорнийцев в год, или (в) продают ПДн и получают от этого более 50% выручки. Для большинства IT-стартапов с глобальной аудиторией критерий (б) достигается быстро. Детальная структура CCPA-совместимой PP включает шесть обязательных блоков.

6Мультиюрисдикционная Privacy Policy

Если продукт работает одновременно в России, EU и США — сразу встаёт вопрос: один документ или несколько? Оба подхода легитимны, выбор зависит от размера аудитории, ресурсов на юридическое сопровождение и UI-сложности.

Важно: при мультиюрисдикционной структуре нельзя допускать противоречий. Например, GDPR запрещает «продажу» данных без конкретного lawful basis, а CCPA строит вокруг «продажи» целый раздел прав. Разрешение этого конфликта — в терминологии: GDPR-секция говорит о «sharing», CCPA-секция — о «sell/share» в значении CCPA, с оговоркой, что это не «продажа» в коммерческом смысле.

7Специфика по типу продукта

Универсальная Privacy Policy покрывает базовые требования, но для ряда типов продуктов регуляторы и правоприменение требуют специфических disclosure-блоков. Их отсутствие — не «мелкое нарушение», а основание для штрафа или блокировки в App Store.

8Типичные ошибки

90% Privacy Policy, которые приходят на аудит, содержат одни и те же структурные ошибки. Некоторые из них — источник прямого регуляторного риска, другие делают документ нерабочим в суде или при запросе DPA.

9Чек-лист: 12 пунктов для проверки Privacy Policy

Используйте этот чек-лист для быстрой проверки существующей Privacy Policy перед запуском продукта, аудитом или подключением нового рынка.

• 1
  Оператор/контроллер идентифицирован — полное юридическое наименование, адрес, email. Соответствует данным в ЕГРЮЛ (для РФ) или торговом реестре (для EU).
• 2
  Каждой цели обработки — отдельное правовое основание. Нет «catch-all» формулировок. Для GDPR — конкретная ссылка на ст. 6(1)(a–f). Для 152-ФЗ — на статью закона.
• 3
  Перечень категорий данных конкретен. Не «личная информация», а: ФИО, email, IP, cookie, платёжные данные, история транзакций. По каждой категории — цель и основание.
• 4
  Субпроцессоры перечислены (для SaaS и B2B). Для каждого: название, страна, назначение, ссылка на их PP/DPA. Список актуализируется при подключении нового вендора.
• 5
  Трансграничные передачи раскрыты. Для EU → non-adequacy: механизм (SCC, BCR). Для РФ → зарубеж: правовое основание. Страны перечислены.
• 6
  Retention periods указаны для каждой категории данных. Не «пока необходимо», а конкретный срок или событие. Минимально необходимый срок — обязательно.
• 7
  Права субъекта описаны с механизмом реализации. Не просто «вы имеете право», а как подать запрос: email, форма, срок ответа (GDPR — 30 дней, 152-ФЗ — 10 рабочих дней).
• 8
  Cookie-политика выделена или есть отдельный документ. Категории cookie (strictly necessary, functional, analytics, advertising), способ согласия, ссылка на cookie banner.
• 9
  Дата редакции и changelog присутствуют. Дата последнего обновления — в шапке документа. История изменений — на отдельной странице или в архиве.
• 10
  Для детской аудитории — COPPA / GDPR Art.8 блок. Если продукт допускает регистрацию лиц до 16 лет — обязательны механизм верификации возраста и описание родительского согласия.
• 11
  Для калифорнийцев — CCPA/CPRA секция. Do Not Sell/Share, список категорий PI за 12 месяцев, права резидентов CA, механизм запроса, GPC-совместимость.
• 12
  PP согласована с фактической практикой. Проведён технический аудит: все трекеры на сайте соответствуют заявленному в PP. Расхождения исправлены до публикации.

?Частые вопросы