Нужна ли на сайте политика обработки персональных данных и что будет, если её нет

Разбираем обязанность из ст. 18.1 152-ФЗ, реальные суммы штрафов по ст. 13.11 КоАП и порядок действий для владельца сайта.

Вопрос «а точно ли нужна политика обработки персональных данных на нашем сайте» задают почти все владельцы интернет-магазинов, лендингов с формой заявки и даже блогов с формой подписки. Ответ короткий: да, если сайт собирает хотя бы имя и телефон или email через форму, счётчики аналитики или чат — политика обязательна. Разбираем, откуда берётся эта обязанность и что грозит, если документ на сайте не опубликован.

Откуда берётся обязанность

Требование прямо закреплено в части 2 статьи 18.1 152-ФЗ «О персональных данных»: оператор, собирающий персональные данные с использованием информационно-телекоммуникационных сетей (то есть через сайт), обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ. Это отдельная обязанность — она существует независимо от того, берёте вы согласие пользователя или нет, и распространяется на юрлиц, ИП и даже на физлиц, если они ведут сайт как оператор персональных данных.

Формально закон не требует именно кликабельного баннера с cookie — обязательна публикация самого документа политики и информации о реализуемых мерах защиты. Но если сайт использует аналитические или рекламные cookie, которые позволяют идентифицировать пользователя, на них дополнительно нужно получать согласие — это уже требования той же статьи 18.1 и статьи 9 152-ФЗ о согласии на обработку.

Что должно быть в документе

Минимальный состав политики: кто оператор (реквизиты), какие данные и с какой целью собираются, на каком правовом основании, кому передаются (в том числе иностранным сервисам аналитики и рекламы), срок хранения и порядок уничтожения, а также способ, которым пользователь может отозвать согласие или потребовать удаления данных. Документ должен реально соответствовать тому, что происходит на сайте: если в политике не упомянута интеграция с рекламной сетью, а данные туда фактически утекают через пиксель, это отдельное основание для претензий при проверке.

Какой штраф грозит за отсутствие политики

Санкция за неопубликование или необеспечение доступа к документу о политике обработки персональных данных предусмотрена частью 3 статьи 13.11 КоАП РФ: для граждан — от 1 500 до 3 000 рублей, для должностных лиц — от 6 000 до 12 000 рублей, для ИП — от 10 000 до 20 000 рублей, для юридических лиц — от 30 000 до 60 000 рублей. Это отдельный состав от штрафов за обработку данных без согласия (другая часть той же статьи) и тем более от «оборотных» штрафов за утечки — те суммы на порядки выше и применяются в других ситуациях. Отсутствие политики на сайте — само по себе формальное нарушение, которое РКН фиксирует быстрее и проще всего: достаточно зайти на сайт и не найти документ или ссылку на него в подвале.

Почему на это стали чаще обращать внимание

На практике проверки часто начинаются не с жалобы, а с автоматического сканирования сайтов Роскомнадзором на предмет форм сбора данных и наличия политики в футере. Для владельца сайта это означает, что риск не зависит от того, крупный у него бизнес или нет — попасть в выборку может любой сайт с формой обратной связи. Подробнее о том, как строится взаимодействие с надзорным органом и что считается нарушением по существу обработки данных, а не только по форме документа, — в разделе базы по 152-ФЗ.

Что делать владельцу сайта

• Проверить, есть ли на сайте документ «Политика в отношении обработки персональных данных» и работает ли ссылка на него из футера и форм сбора данных.
• Сверить состав данных и целей в политике с тем, что сайт реально собирает: формы, метрики, чаты, рекламные пиксели.
• Убедиться, что формы содержат отдельный чекбокс согласия на обработку данных, не объединённый с другими условиями.
• Для аналитических и рекламных cookie — добавить механизм согласия с возможностью отказа, а не только упоминание в тексте политики.
• Проверить, подано ли уведомление об обработке персональных данных в РКН, если сайт подпадает под эту обязанность, и актуальны ли реквизиты оператора в документе.

Штраф за отсутствие политики небольшой по сравнению с санкциями за утечку, но именно с этой проверки чаще всего начинается более глубокое разбирательство: если документа нет, у РКН появляется формальный повод запросить и остальные документы оператора.

Материал носит информационный характер и не является юридической консультацией. Суммы и нормы приведены на дату публикации; законодательство меняется — сверяйтесь с действующей редакцией.