Политика конфиденциальности для сайта: что в ней должно быть

Ссылка «Политика конфиденциальности» в подвале есть почти у каждого сайта, но при проверке выясняется, что за ней лежит чужой шаблон с чужим ИНН, а описанные в нём цели не имеют отношения к тому, что сайт делает. Между тем политика обработки персональных данных это первый документ, который смотрит Роскомнадзор при дистанционной проверке, и первый, который попросит клиент, когда захочет узнать, что вы о нём храните. Ниже разбираем, из чего она состоит и как написать её под свой бизнес.

Зачем нужна политика, если сайт маленький

Закон обязывает оператора персональных данных опубликовать документ, определяющий его политику в отношении обработки данных, и обеспечить к нему свободный доступ. Оператором вы становитесь в момент, когда сайт принимает первую заявку с телефоном. Размер бизнеса значения не имеет: у ИП с сайтом-визиткой обязанность та же, что у сети магазинов.

Практический смысл тоже есть. Политика фиксирует, что именно вы собираете и зачем, и на неё ссылаются согласия в формах, cookie-баннер и уведомление в Роскомнадзор. Если в этих четырёх местах написано разное, проверяющий увидит противоречие сразу. Поэтому политику пишут первой, а остальное подгоняют под неё.

Есть и коммерческая сторона. Покупатели всё чаще смотрят, кому оставляют телефон, а корпоративные клиенты просят политику до подписания договора. Внятный документ с реальными реквизитами и понятными сроками хранения выглядит как признак нормальной компании, а шаблон с чужим названием вызывает вопросы ещё до первого звонка.

Из каких разделов состоит политика

Жёсткой формы нет, но набор разделов на практике сложился. Ниже то, что мы включаем в политику для сайтов клиентов.

Каждый раздел должен описывать реальность. Если в политике сказано «данные не передаются третьим лицам», а заявки уходят в amoCRM и в СДЭК, документ уже неверный.

Чем шаблон из интернета отличается от рабочего документа

Скачанный шаблон обычно грешит тремя вещами. Во-первых, в нём остаются чужие реквизиты или пустые скобки вроде «[наименование организации]». Во-вторых, в нём перечислены цели и данные, которых у вас нет: паспортные данные, геолокация, биометрия. Лишние пункты не защищают, а создают обязанности, которые вы не выполняете. В-третьих, шаблон не знает ваших сервисов: он не упоминает Яндекс Метрику, платёжный сервис и Telegram-бота, через которые у вас проходят данные.

Рабочая политика короче шаблона и конкретнее. Её можно написать самостоятельно, если сесть и честно выписать: какие формы есть на сайте, какие в них поля, куда уходят данные после отправки, где хранятся и сколько. Из этого списка политика собирается почти сама.

Если хочется проверить готовый документ быстро, задайте ему четыре вопроса. Указан ли в нём ваш ИНН и рабочая почта для обращений? Совпадает ли список данных с полями ваших форм? Названы ли по именам сервисы, куда уходят заявки? Есть ли сроки хранения в месяцах или годах, а не словами «до достижения целей»? Если хотя бы на один вопрос ответ «нет», документ требует правки, даже если выглядит солидно.

Где размещать и как ссылаться

• Отдельная страница с понятным адресом вида /privacy-policy, открывается без регистрации и без скачивания файла.
• Ссылка в подвале каждой страницы, чтобы документ был доступен отовсюду.
• Ссылка из каждой формы рядом с чекбоксом согласия: «Отправляя форму, вы соглашаетесь с политикой обработки персональных данных».
• Ссылка из cookie-баннера, потому что баннер тоже опирается на политику.
• Дата редакции внизу документа: при изменениях меняется и дата.

Отдельно стоит вопрос согласия. Политика сама по себе согласием не является: она описывает правила, а согласие посетитель даёт действием, обычно галочкой в форме. Как правильно оформить чекбоксы, мы разбирали в чек-листе по 152-ФЗ.

Как политика связана с другими документами

Политика не живёт одна. Уведомление в Роскомнадзор повторяет её разделы: цели, категории данных, меры защиты, и эти описания должны совпадать по смыслу. Как подать уведомление, читайте в статье об уведомлении в РКН. Cookie-баннер ссылается на раздел про аналитику. Согласие на рассылку опирается на цель «информирование о товарах и акциях», которая должна быть в политике заранее. Внутренний приказ о назначении ответственного за обработку данных называет ту же почту, что и политика.

Поэтому при любом изменении на сайте, например при подключении новой службы доставки или чата с ИИ-менеджером, политика обновляется первой, а вслед за ней при необходимости уведомление в Роскомнадзор.

Типичные ошибки

1. Политика есть, но ссылка на неё стоит только на странице «Контакты».
2. В формах галочка согласия проставлена заранее или форма отправляется без неё.
3. Не указана почта или адрес для обращений граждан, и человек не может отозвать согласие.
4. Не названы сроки хранения: формулировка «храним, пока нужно» проверку не пройдёт.
5. Не упомянуты системы аналитики и рекламные пиксели, хотя они стоят на каждой странице.
6. Документ выложен картинкой или файлом на стороннем диске, а не текстом на сайте.

Сколько стоит и что делаем мы

Написать политику самостоятельно можно, если вы готовы разобраться с формулировками и потом поддерживать документ в актуальном состоянии. Если времени нет, юридическая проверка сайта у нас стоит от 10 000 ₽ и включает политику под ваши реквизиты и реальные процессы, согласия во всех формах, cookie-баннер, текст уведомления в Роскомнадзор и внутренние документы. Для сайтов по подписке эти документы мы закладываем на старте, чтобы не переделывать формы после запуска.

С чего начать

• Выпишите все формы на сайте, их поля и куда уходят данные после отправки.
• Соберите список сервисов, которые получают данные: хостинг, CRM, доставка, оплата, аналитика.
• Напишите политику по разделам из таблицы выше, под свои реквизиты и свои сроки хранения.
• Поставьте ссылку в подвал, в каждую форму и в cookie-баннер.
• Сверьте политику с уведомлением в Роскомнадзор, чтобы описания совпадали.