Чем политика обработки отличается от согласия на обработку?

Политика — публичный документ оператора, который он публикует для всех и который не подписывается. Согласие — волеизъявление конкретного человека, оформляется отдельно от иных документов и подписывается. Одно не заменяет другое.

Можно ли взять готовый шаблон политики обработки персональных данных?

Как основу — да, как готовый документ — нет. Политика описывает ваши цели, категории субъектов и процессы. Проверяющий сравнивает написанное с действительностью, и расхождение вредит сильнее неидеальных формулировок.

Нужна ли политика, если на сайте только форма обратной связи?

Да. Форма собирает персональные данные, значит вы оператор. Обязанность опубликовать политику привязана к факту сбора данных через интернет, а не к размеру бизнеса.

Можно ли указать 152-ФЗ правовым основанием обработки?

Нет. По рекомендациям Роскомнадзора закон 152-ФЗ не может служить правовым основанием обработки, поскольку он регулирует отношения и устанавливает требования к операторам. Основанием служат договор, законы по вашей деятельности, уставные документы или согласие.

Политика обработки персональных данных: что в ней должно быть

действует Проверено 14.08.2026 Основание: ч. 2 ст. 18.1 закона 152-ФЗ

Что это за документ и зачем он нужен?

Политика — это публичный документ оператора, в котором он описывает, чьи данные обрабатывает, зачем, на каком основании и что с ними делает. Закон прямо обязывает опубликовать её или иначе обеспечить к ней неограниченный доступ.

Если данные собираются через интернет — а форма заявки на сайте это именно сбор, — политику нужно разместить на страницах сайта, с использованием которых идёт сбор. Не в подвале «когда-нибудь», а там, где стоит форма.

Обязанность публикации: ч. 2 ст. 18.1 152-ФЗ Структура: рекомендации Роскомнадзора от 31.07.2017

Политика и согласие — это разные документы

Их путают чаще всего, а разница принципиальная: за отсутствие каждого отвечают отдельно.

Политика

Чей документоператора
Кому адресованвсем сразу
Подписьне нужна
Публикуетсяобязательно

Согласие

Чей документконкретного человека
Кому адресованооператору
Подписьобязательна
Оформляетсяотдельно от прочего

Из этого следует

Одно вместо другогоне работает
Галочка «согласен с политикой»не согласие

Отметка «ознакомлен с политикой» согласием на обработку не является: политика описывает ваши процессы, а согласие выражает волю человека. Девять обязательных пунктов согласия и конструктор бланка — на отдельной странице.

Шесть разделов, которые рекомендует Роскомнадзор

Единой утверждённой формы нет, но у надзорного органа есть рекомендации по структуре. Проверяющий сверяется с ними, поэтому проще следовать этому составу:

1. Общие положения: Назначение документа, основные понятия, а также основные права и обязанности оператора и субъектов персональных данных.
2. Цели сбора персональных данных: Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Цели выводятся из вашей фактической деятельности и конкретных бизнес-процессов, а не переписываются из чужого документа.
3. Правовые основания обработки: Совокупность актов, во исполнение которых вы обрабатываете данные: федеральные законы по вашей деятельности, уставные документы, договоры с субъектами и согласия там, где иного основания нет.
4. Объём и категории данных, категории субъектов: Содержание и объём должны соответствовать целям и не быть избыточными. Категории субъектов перечисляются отдельно: работники, бывшие работники, кандидаты, родственники работников, клиенты и контрагенты — физлица, представители контрагентов-юрлиц. По каждой категории — свой перечень данных.
5. Порядок и условия обработки: Как именно вы обрабатываете данные: с автоматизацией или без, кому передаёте, как обеспечиваете безопасность, где хранятся базы.
6. Актуализация, исправление, удаление и ответы на запросы: Что вы делаете, когда человек просит уточнить или удалить данные, и в какой срок отвечаете на обращения. Сюда же рекомендуется включить регламент реагирования на запросы субъектов и надзорных органов вместе с формами обращений.

Ошибка, которая есть почти в каждой скачанной политике

«Федеральный закон от 27.07.2006 № 152-ФЗ „О персональных данных“ не может служить правовым основанием обработки персональных данных оператором, поскольку указанный Закон регулирует отношения, связанные с обработкой персональных данных, а также закрепляет требования, предъявляемые к операторам».
Рекомендации Роскомнадзора от 31 июля 2017 года

Формулировка «обрабатываем персональные данные на основании 152-ФЗ» встречается в огромном числе шаблонов и означает, что документ писали не глядя. Закон устанавливает правила обработки, а основанием служит то, ради чего вы обрабатываете: договор с клиентом, трудовое законодательство, ваши уставные документы или согласие человека.

Где размещать

На сайте, через который собираете данные. Закон говорит именно о страницах, с использованием которых осуществляется сбор. Ссылка рядом с формой заявки — минимум.
Доступ без ограничений. Ни авторизации, ни скачивания файла по запросу: документ должен открываться сразу.
В актуальной редакции. Изменились цели или состав данных — политика меняется вслед за ними, иначе она описывает несуществующие процессы.

Как проверить свою политику за пять минут

Указан 152-ФЗ как основание обработки Прямо противоречит рекомендациям надзорного органа. Основание — договор, закон по вашей деятельности или согласие.

Цели сформулированы общо «Улучшение качества обслуживания» не позволяет понять, что вы делаете с данными. Цели должны следовать из ваших процессов.

Нет категорий субъектов Работники, кандидаты, клиенты и представители контрагентов — разные категории с разным составом данных.

Документ не найти на сайте Опубликован в подвале одной страницы, а форма стоит на других. Требование привязано к страницам, где идёт сбор.

В тексте чужое название организации Прямое доказательство, что документ скачан и не адаптирован. Встречается чаще, чем кажется.

Вопросы, которые задают чаще всего

Можно ли взять готовый шаблон политики из интернета?

Как основу — да, как готовый документ — нет. Политика описывает ваши цели, категории субъектов и процессы; чужой текст описывает чужие. Проверяющий сравнивает написанное с тем, что происходит в действительности, и расхождение работает против вас сильнее, чем неидеальные формулировки.

Чем политика отличается от пользовательского соглашения?

Это разные документы с разными задачами. Соглашение регулирует отношения с сервисом, политика обработки — обязательный документ оператора персональных данных по 152-ФЗ. Совмещать их в одном тексте можно, но требования к политике при этом никуда не исчезают.

Нужна ли политика, если у меня только форма обратной связи?

Да. Форма собирает персональные данные, значит вы оператор, а обязанность опубликовать политику привязана к самому факту сбора через интернет, а не к объёму бизнеса.

Нужно ли утверждать политику приказом?

Закон этого прямо не требует, но приказ об утверждении показывает, с какой даты действует редакция, и снимает вопросы при проверке. Обычно его оформляют вместе с приказом о назначении ответственного за организацию обработки.

Как часто её обновлять?

Не по календарю, а по событиям: изменились цели обработки, состав собираемых данных, появились новые категории субъектов или подрядчики — политика обновляется. Документ, описывающий процессы трёхлетней давности, хуже, чем никакого.