Как сделать политику конфиденциальности на сайт: план и проверка

Политика конфиденциальности для сайта должна описывать, какие персональные данные вы реально собираете, зачем, как обрабатываете и куда человеку обратиться. Начните с описи форм, аналитики и подрядчиков, затем составьте документ и дайте к нему доступ на страницах сбора данных. Это рабочий план для обычного сайта с формой заявки, а не готовый юридический текст для любого бизнеса.

Когда нужна политика и что она не заменяет

Если сайт собирает персональные данные через интернет, оператор должен опубликовать документ о своей политике обработки и сведения о реализуемых требованиях к защите данных. Закон прямо говорит и о страницах сайта, на которых идёт сбор (статья 18.1 закона 152-ФЗ в редакции от 26.07.2026 № 265-ФЗ). Название «политика конфиденциальности» привычно посетителю; в самом документе ясно укажите, что это политика обработки персональных данных.

Политика объясняет обработку, но сама по себе не является согласием человека на любую операцию. Когда основанием служит согласие, оно должно быть конкретным, информированным и оформляться отдельно от других подтверждений (статья 9 закона 152-ФЗ). Основание обработки для каждого сценария и необходимость уведомления надзорного органа лучше проверить с юристом до запуска сбора данных.

Если у вас уже есть форма заявки, пройдите путь данных от поля до получателя. Для регистрации пользователей дополнительно учитывайте аккаунты, письма и восстановление доступа. Политика, скопированная с чужого сайта, редко совпадает с этими процессами.

Как составить опись данных до написания текста

Сделайте таблицу «место сбора / данные / цель / получатель / срок / основание / способ удаления». Заполните её не по макету, а по работающему сайту. Если информация идёт одновременно владельцу, в почту, аналитику и систему заявок, перечислите каждый путь. Закон требует соотносить объём и содержание данных с заявленной целью и не обрабатывать избыточные данные (статья 5 закона 152-ФЗ).

• Форма обратной связи: имя и адрес ответа, цель связаться по обращению, получатель письма или система заявок.
• Личный кабинет: почта, данные аккаунта и история действий, цель входа и исполнения функций кабинета.
• Аналитика и встроенные виджеты: выясните, какие идентификаторы и адреса передаются поставщикам, прежде чем описывать их общими словами.
• Рассылка: выделите её отдельно от ответа на заявку. Не превращайте отправку вопроса в автоматическую подписку.

Практическая проверка описи: отправьте тестовую заявку, откройте почтовое уведомление и запись в административной панели. Запишите только категории полей, получателей и места хранения, без настоящих данных клиента. Так обнаруживается забытая интеграция. Если на сайте есть личный кабинет, повторите проверку для удаления аккаунта и сброса пароля.

Что включить в документ

Из описи соберите структуру, которую сможет понять посетитель. Не обещайте «данные никому не передаются», если их получает хостинг, почтовый сервис или CRM. Для перечня мер и содержания политики ориентиром служит сам закон 152-ФЗ (официальный текст закона); при сложной обработке нужен индивидуальный юридический разбор.

1. Укажите, кто оператор: название организации или данные ответственного лица и реальный канал связи для обращений.
2. Разделите цели обработки: ответ на сообщение, работа аккаунта, выполнение заказа, статистика, отдельная рассылка. Для каждой цели перечислите категории данных.
3. Опишите источники данных, способы обработки, сроки или понятные условия их определения и порядок прекращения обработки. Срок не придумывайте только ради заполнения шаблона.
4. Перечислите категории получателей и обработчиков, если они есть: хостинг, почта, CRM, аналитика. Проверьте, куда физически уходят данные и какие договоры заключены.
5. Объясните права человека и путь обращения: куда писать для доступа, исправления, отзыва согласия и иных требований.
6. Опишите меры защиты на понятном уровне без раскрытия ключей, схем доступа и другой информации, которая ослабит безопасность.

Если используются данные граждан России, проверьте место первичной записи и хранения до публикации: часть 5 статьи 18 содержит требования к базам данных на территории России (статья 18 закона 152-ФЗ). Длинное перечисление иностранных сервисов в документе не исправляет неверно устроенный поток данных. Отдельно проверьте актуальность формы уведомления на портале персональных данных Роскомнадзора.

Не выдавайте шаблон за юридическую проверку. Если сайт собирает чувствительные данные, данные детей, принимает платежи или передаёт сведения за границу, согласуйте документы и саму схему обработки с профильным юристом до запуска.

По теме: Как сделать интерактивный сайт: фильтр карточек с проверкой

Где разместить политику и как проверить доступ

Опубликуйте отдельную открытую страницу с постоянным адресом. Добавьте ссылку в подвал и рядом с каждой формой, где собираются данные. Посетитель должен открыть документ до отправки, в том числе с телефона и без входа в аккаунт. Это следует из обязанности обеспечить доступ к политике на страницах сбора (статья 18.1 закона 152-ФЗ).

• Откройте ссылку из формы в приватном окне: страница доступна без пароля и не ведёт на ошибку.
• Откройте главную, форму заявки, регистрацию и встроенную форму на телефоне: путь к документу виден до отправки.
• Сопоставьте каждое поле и подключённый сервис с таблицей целей. Если данные не отражены, исправьте документ или сам процесс.
• Проверьте адрес для обращений и сценарий ответа. Политика без рабочего канала связи не помогает человеку воспользоваться правами.
• После подключения новой аналитики, CRM, формы или рассылки заново проверьте опись и текст. Дата обновления должна соответствовать реальному изменению.

Частый сбой: ссылка есть только в подвале, а форма встроена на сторонней посадочной без ссылки. Дайте доступ рядом с этой формой тоже. Другой сбой: политика описывает только почту, но заявка уходит в мессенджер и CRM. Остановите передачу лишним получателям или обновите основание, договоры и документ до возобновления сбора. Общая проверка безопасности сайта дополняет документ техническими шагами.

Когда универсальная инструкция не подходит

Для медицинского кабинета, детского проекта, биометрии, крупных рекламных сегментов и международной передачи данных общая политика может упустить обязательные требования. Здесь нужен специалист, который видит договоры, архитектуру хранения и реальные потоки данных. Даже для простой формы эта статья помогает собрать исходные факты и вопросы к юристу, но не подтверждает соответствие сайта закону.

Частые вопросы

Можно ли взять готовую политику с другого сайта?

Используйте чужой текст только как список возможных разделов. Содержание должно совпадать с вашими формами, целями, получателями и сроками.

Достаточно ли ссылки в подвале?

Проверьте доступ и с каждой страницы, где собираются данные. Рядом с формой ссылка обычно заметнее и понятнее посетителю.

Политика заменяет галочку согласия?

Нет. Если для конкретной обработки нужно согласие, его оформляют отдельно и так, чтобы можно было подтвердить получение.

Что делать после подключения новой формы?

Обновите опись данных, проверьте основание обработки и получателя, затем исправьте документ и ссылки до начала сбора.