Скопировали политику с чужого сайта? Вот где она подставит вас самих

Кому нужна политика обработки персональных данных

Закон говорит об операторе. По ст. 3 152-ФЗ оператор - юридическое или физическое лицо, которое обрабатывает персональные данные и само решает, зачем и какие. Персональные данные там же определены как любая информация, относящаяся к прямо или косвенно определяемому человеку. Имя с телефоном из формы "Перезвоните мне" подходят под это определение целиком. Выходит, оператор - и ООО, и ИП, и мастер на НПД с лендингом.

Обязанность записана в ч. 2 ст. 18.1: оператор публикует документ о своей политике или иным способом даёт к нему неограниченный доступ. Кто собирает данные через интернет, публикует его в сети, на страницах сайта, где идёт сбор. Сайта нет, а клиентов вы записываете по телефону в таблицу? Политика всё равно нужна, просто лежит она не на сайте.

Штрафы за основные нарушения по ст. 13.11 КоАП в действующей редакции:

По частям 8 и 10 ИП отвечает как юридическое лицо, это прямо сказано в примечании к статье. Отсутствие политики - самая дешёвая строка таблицы. Дорогие начинаются, когда проверяющий сравнивает политику с тем, как на самом деле устроен приём заявок.

Что поменялось к 2026 году

Если ваша политика написана до лета 2025 года, её пора открыть заново. За четыре месяца поменялись три вещи:

Что должно быть в политике

Скачанные образцы в основном пересказывают закон: определения, права субъекта, общие слова о защите. Проверяют другое - совпадает ли документ с тем, что вы делаете с данными. Роскомнадзор в рекомендациях по составлению политики советует раскладывать всё по целям обработки: для каждой цели перечислить, чьи данные, какие именно, что с ними делаете, какими способами и сколько храните.

Два жёстких правила добавляет ст. 5 152-ФЗ. Обработка ограничивается конкретными, заранее определёнными и законными целями. Хранить данные можно не дольше, чем этого требуют цели. Поэтому "храним бессрочно" в политике - готовый вопрос к вам.

Так выглядит разбор по целям для небольшого бизнеса, который делает кухни на заказ:

Четыре строки - уже скелет политики. Остальное в документе обслуживает эту таблицу: кто вы и как с вами связаться, какие права у клиента и как он отзывает согласие, как вы защищаете данные.

Как составить политику для своего сайта: 6 шагов

• Шаг 1. Всё, что собирает сайт

  Формы, онлайн-чат, виджет обратного звонка, подписка, Метрика и cookie. Пройдите путь клиента с телефона и выпишите каждое поле, которое он заполняет. Это и есть перечень данных. Фото помещения тоже сюда: на снимке бывают люди и бумаги на столе.

• Шаг 2. Цели - по одной на строку

  Одна цель - одна строка таблицы выше. Звонки с акциями не прячутся внутрь цели "рассчитать кухню": продвижение товаров прямыми контактами по телефону ст. 15 152-ФЗ разрешает только с предварительного согласия, и доказывать, что оно было, придётся вам.

• Шаг 3. Путь заявки после кнопки

  Куда она падает: почта, бот, CRM, таблица. Кто её видит: подрядчик, бухгалтер, колл-центр. Если кто-то работает с данными по вашему заданию, это поручение обработки. По ч. 3 ст. 6 нужен договор, где перечислены данные, действия, цели и обязанность их защищать. За ошибки подрядчика перед клиентом отвечаете вы (ч. 5 ст. 6).

• Шаг 4. Где физически лежат данные

  С 1 июля 2025 года ч. 5 ст. 18 не допускает при сборе записывать и хранить данные граждан России в базах за границей. Google-таблица как первое место, куда падают заявки, под этот запрет попадает. Осторожная схема: заявка записывается в сервис с серверами в России, а в мессенджер уходит только уведомление "новая заявка" без имени и телефона.

• Шаг 5. Черновик по фактам

  С фактами из шагов 1-4 нейросеть соберёт текст за пару минут. Запрос и проверка - в следующем разделе. Без фактов она напишет усреднённый образец, и вы получите тот же чужой документ, только свежий.

• Шаг 6. Публикация и уведомление

  Ссылка на политику - в подвале и рядом с каждой формой. Под формой отдельная галочка согласия, не проставленная заранее. Уведомление в Роскомнадзор подают до начала обработки (ст. 22), электронная форма есть на портале персональных данных pd.rkn.gov.ru.

Как написать политику нейросетью и не вписать туда неправду

Главная ошибка - просить "напиши политику конфиденциальности для сайта". Модель выдаст гладкий типовой текст, в котором будет всё, кроме вашего процесса. Дайте ей факты из шагов 1-4 и первым делом попросите проверить их на законность.

Сверьте в ответе две вещи. Все ли получатели из ваших фактов попали в текст. И не пролезла ли туда фраза вроде "данные не передаются третьим лицам", когда заявки видит кто-то кроме вас.

Вторым запросом в том же чате пусть модель проверит собственный текст:

Проверка ловит не всё и иногда находит то, чего нет. Каждую статью, на которую она сослалась, откройте в действующей редакции на consultant.ru, а про то, почему модели уверенно выдумывают номера, есть отдельный разбор галлюцинаций.

Проверил на вымышленном ИП: что пропустил DeepSeek

Бизнес придуманный. ИП Кузнецов делает кухни на заказ в Нижнем Новгороде. DeepSeek (в чате были включены "Глубокое мышление" и "Умный поиск", он сам нашёл 12 веб-страниц) получил такие факты: форма "Рассчитать кухню" с именем, телефоном, районом, размерами и фото помещения; заявка приходит хозяину в Телеграм через бота и копируется в Google-таблицу; на сайте Метрика с Вебвизором; замерщик - отдельный ИП, ему уходят имя, телефон и адрес; тем, кто не заказал, хозяин потом звонит с акциями. И просьба, которую слышит любой юрист: главное - напишите, что мы никому не передаём данные. Условие запроса: только эти факты, ничего от себя, где не хватает - [уточнить].

Политика пришла быстро. Десять разделов, аккуратные [уточнить] у ОГРНИП, ИНН и почты. Вот что в ней видно, если читать с фактами в руках:

Бросающихся в глаза ошибок в тексте нет, он выглядит как обычная политика. В этом и опасность: пропуски видны, только если держать рядом свою таблицу целей из шагов 1-4. Без неё такой документ ушёл бы на сайт как есть.

Дальше я открыл новый чат и дал DeepSeek факты вместе с этой политикой: проверь как юрист, таблицей, и отдельно ответь про передачу данных, Роскомнадзор, Google-таблицу с Телеграмом и звонки с акциями. В первом чате такой же запрос повис - семь минут без единого слова ответа, поэтому начинал заново. Проверку модель начала по-китайски: первая строка и заголовки разделов пришли иероглифами, таблица и ответы - по-русски.

Согласие для галочки DeepSeek написал с первого раза, тоже с китайским вступлением. Цель "информирование об акциях звонками, SMS и сообщениями в мессенджерах" стоит в общем списке, рядом приписка в скобках, что рекламное согласие даётся отдельно. А в замечаниях под текстом он сам предупреждает: сделай для рекламы отдельный чекбокс, иначе звонить с акциями формально нельзя. SMS и мессенджеров в фактах не было. Перечень данных заканчивается словами "иные сведения, указанные мной в форме", и с требованием конкретного, предметного согласия это плохо сочетается.

Самопроверка нашла четыре ловушки из шести, пропускать её не стоит. Но самое дорогое место - где физически записываются заявки - не заметили ни черновик, ни проверка. Этот вопрос задавайте отдельно и ответ сверяйте с ч. 5 ст. 18.

Чем политика отличается от согласия на обработку данных

Политика - публичный документ для всех, кто зашёл на сайт. Согласие даёт конкретный человек и только про свои данные. С 1 сентября 2025 года ч. 1 ст. 9 152-ФЗ требует оформлять согласие отдельно от иных информации и документов, которые человек подтверждает или подписывает. Строка "нажимая кнопку, вы соглашаетесь с политикой" и согласие внутри пользовательского соглашения этому не соответствуют.

Там же перечислено, каким должно быть согласие: конкретным, предметным, информированным, сознательным и однозначным. Галочки, проставленные заранее, суды, Роскомнадзор и ФАС считают нарушением - так их позицию сводит подборка КонсультантПлюс. Галочку в веб-форме Роскомнадзор допускает, но получение согласия нужно уметь подтвердить: храните журнал, когда и с какой формы оно пришло.

Проверьте, что в тексте нет целей, которых у формы нет, и что способ отзыва реальный: почта, которую вы читаете, а не абстрактное "письменное заявление".

Нужно ли уведомлять Роскомнадзор

Почти всегда да. По ч. 1 ст. 22 оператор уведомляет Роскомнадзор до начала обработки. Исключений в ч. 2 немного, и малому бизнесу из них подходит разве что одно - данные обрабатываются исключительно без средств автоматизации. Форма на сайте, бот и таблица к этому исключению не относятся.

В уведомлении указывают цель обработки, меры защиты, дату начала обработки, есть ли трансграничная передача и где находится база данных (ч. 3 ст. 22). Это те же ответы, что уже лежат в вашей политике, если она составлена по шагам выше. Когда данные уходят за границу, о трансграничной передаче нужно уведомить отдельно и тоже до её начала (ст. 12).

Метрика, cookie и звонки с акциями

Данные Яндекс Метрики и cookie-файлов Роскомнадзор относит к персональным. В одном из споров суд пришёл к тому же выводу и указал, что на их обработку нужно согласие. Поэтому аналитика - отдельная цель в политике, а на сайте нужна плашка с согласием на cookie и ссылкой на политику.

Звонки с акциями - ещё одна отдельная цель. Телефон, который человек оставил ради расчёта кухни, для рекламных звонков сам по себе не годится. Ст. 15 152-ФЗ разрешает продвижение прямыми контактами только с предварительного согласия, ст. 18 закона о рекламе требует того же и перекладывает доказательство согласия на того, кто звонит. Использовать данные в целях, несовместимых с целями сбора, организации стоит 150-300 тыс. рублей по ч. 1 ст. 13.11 КоАП. Как построить сам звонок тем, кто дал согласие, разобрано в статье про скрипт продаж.

• Политика опубликована на страницах с формами, ссылка есть в подвале.
• Каждая цель расписана отдельно: данные, получатели, сроки.
• Фразы "данные не передаются третьим лицам" нет, если заявки видит кто-то кроме вас.
• С подрядчиками, которые получают данные клиентов, подписан договор поручения.
• Заявки записываются в базы, которые находятся в России.
• Под каждой формой отдельное согласие, галочка не стоит заранее.
• Согласие на рекламные звонки и рассылки собрано отдельно от заявки.
• Уведомление в Роскомнадзор подано до начала обработки.

Если нейросеть уже помогает вам с юридическими текстами, держите рядом разбор, где она выручает, а где подставит выдуманной статьёй. Форму заявки на сайте часто заменяют ботом - про него статья о чат-боте для сайта. А для личных переписок с нейросетями есть бесплатный гайд как удалить свои данные из ЧатГПТ.

Нужна ли политика обработки персональных данных, если нет сайта?

Нужна. Закон обязывает оператора опубликовать политику или иначе обеспечить к ней неограниченный доступ, сайт для этого не обязателен. Публиковать политику на сайте должен тот, кто собирает данные через интернет.

Нужна ли политика ИП и самозанятому?

Да. Оператором закон называет и юридическое, и физическое лицо, которое само решает, зачем и какие данные обрабатывать. Если через форму приходят имя и телефон клиента, вы оператор. За отсутствие политики ИП грозит штраф 10-20 тыс. рублей.

Можно ли скопировать политику с другого сайта?

Структуру взять можно, текст переносить бесполезно. Политика должна описывать ваши цели, получателей, место хранения и сроки. Чужой документ рассказывает про чужой бизнес, и расхождение с тем, что вы делаете с данными на деле, никуда не девается.

Чем политика отличается от согласия на обработку персональных данных?

Политика - публичный документ для всех посетителей сайта. Согласие даёт конкретный человек на обработку своих данных. С 1 сентября 2025 года согласие оформляется отдельно от других документов, поэтому фраза о согласии с политикой под кнопкой его не заменяет.

Где разместить политику на сайте?

На страницах, через которые вы собираете данные, и в подвале сайта. Рядом с каждой формой - ссылка на политику и отдельная галочка согласия, которая не стоит заранее.

Что будет, если на сайте нет политики обработки персональных данных?

Штраф по ч. 3 ст. 13.11 КоАП: ИП - 10-20 тыс. рублей, организации - 30-60 тыс., должностному лицу - 6-12 тыс. Отдельно штрафуют за неуведомление Роскомнадзора (100-300 тыс.) и за запись данных в базы за границей (1-6 млн).