Актуально на 21 апреля 2026 года
Зачем вообще нужен этот документ
Начиная с 2025 года Роскомнадзор усилил контроль: теперь отсутствие утверждённой Политики обработки ПДн — это отдельное основание для штрафа до 150 000 ₽ для ИП и до 300 000 ₽ для юрлиц. Документ:
- является обязательным локальным актом по 152-ФЗ;
- должен размещаться в открытом доступе (обычно в подвале сайта);
- описывает цели, принципы и способы защиты ПДн;
- защищает компанию от претензий субъектов и регулятора.
Кому грозит проверка в первую очередь
- Интернет-магазины и маркетплейсы (Ozon, Wildberries).
- HR-агентства и кадровые службы.
- Медицинские и образовательные организации.
- Любые сайты, собирающие заявки, e-mail или cookies.
Какие данные считаются персональными
Любая информация, позволяющая прямо или косвенно идентифицировать человека:
- ФИО, телефон, e-mail, адрес, СНИЛС, ИНН;
- геолокация, cookies, IP-адрес;
- фотографии, голосовые сообщения, биометрия;
- даже просто номер карты «Мир» или номер заказа, если привязан к конкретному лицу.
Минимальный состав Политики (по 152-ФЗ, ст. 18.1)
| Раздел | Содержание |
|---|---|
| Общие положения | Цели и принципы обработки; ответственность оператора. |
| Правовые основания | Список конкретных законов и нормативных актов (152-ФЗ, 149-ФЗ, 187-ФЗ и т; д.); |
| Категории данных и субъектов | Кого и какие именно данные обрабатываем (например, клиенты → ФИО, e-mail). |
| Цели обработки | Конкретика: «для оформления заказа», «для рассылки новостей», «для начисления зарплаты». |
| Сроки хранения | Точные сроки либо критерии их определения (30 дней после отзыва согласия, 5 лет по аналогии с законодательством о бухгалтерии и т. д.). |
| Передача третьим лицам | Кому и на каком основании (партнёрские курьерские службы, банки, ФНС при аудите). |
| Меры защиты | Конкретика: шифрование TLS 1.3, разграничение доступа по ролям, DLP-система. |
| Права субъекта | Как получить доступ, исправить, удалить или забрать согласие. |
| Контакты ответственного лица | ФИО, должность, телефон, e-mail (требование 187-ФЗ). |
Как утвердить документ быстро и без лишних затрат
Шаг 1. Назначьте ответственное лицо (DPO) приказом руководителя.
Шаг 2. Скачайте официальный конструктор Политики на сайте КонсультантПлюс или используйте готовый шаблон ниже.
Шаг 3. Адаптируйте под свой бизнес: укажите ИНН, адрес сайта, список целей.
Шаг 4. Утвердите приказом или решением единственного участника (для ООО).
Шаг 5. Разместите на сайте + сделайте PDF-версию для офлайн-запросов.
Шаблон для копирования
<h3>Политика обработки персональных данных ООО «Ромашка»</h3> <p>1. Оператор: ООО «Ромашка», ИНН 7701234567, ОГРН 1234567890123, адрес: 123456, г. Москва, ул. Примерная, д. 1.</p> <p>2. Цели: оформление заказов, рассылка акций, исполнение договоров.</p> <p>3. Данные: ФИО, телефон, e-mail, адрес доставки.</p> <p>4. Сроки: 3 года с момента последней покупки.</p> <p>5. Ответственное лицо: Иванов И.И., e-mail: privacy@romashka.ru.</p> <p>6. Права субъекта: любые запросы направлять на privacy@romashka.ru.</p>
Типовые ошибки, за которые штрафуют
- Отсутствует ссылка на Политику в подвале сайта.
- Общие фразы вместо конкретных целей обработки.
- Нет раздела о DPO или не указан его e-mail.
- Забыли прописать порядок уничтожения ПДн по истечении срока.
- Используются cookies, но согласие не собирается через cookie-banner.
Что делать при проверке Роскомнадзора
- Немедленно предоставить утверждённую Политику, приказ о назначении DPO и журнал учёта обращений субъектов.
- Показать технические сертификаты (SSL, ISO 27001).
- Выдать копии согласий субъектов или документы о законных основаниях для обработки.
Напоминаем: с действует административная ответственность за:
- Нарушение порядка передачи ПДн за границу — до 6 млн ₽;
- Отказ в предоставлении информации субъекту — до 50 тыс. ₽ для ИП и до 200 тыс. ₽ для компаний.
Нужна помощь с адаптацией под вашу компанию? Пишите: help@datasec.ru