Нужна ли политика обработки персональных данных на сайте и какой штраф, если её нет
Коротко: если на сайте есть хотя бы одна форма, где человек оставляет имя, телефон или почту, — да, нужна. Закон требует опубликовать политику обработки персональных данных на самом сайте. Если её нет, компании грозит штраф от 30 до 60 тысяч рублей, ИП — от 10 до 20 тысяч.
Когда политика обязательна
Политика нужна каждому, кто собирает данные людей через сайт. Это требование части 2 статьи 18.1 закона о персональных данных (152-ФЗ): если данные собираются через интернет, документ о политике обработки нужно опубликовать на этом же сайте, в открытом доступе.
Сайт собирает персональные данные, если на нём есть:
- форма заявки, обратного звонка или записи — даже из одного поля «Телефон»;
- регистрация, личный кабинет, корзина или оформление заказа;
- подписка на рассылку;
- онлайн-чат или виджет, который просит контакты;
- счётчики посещаемости, которые сохраняют cookie, — Роскомнадзор считает такие данные персональными (подробнее — в статье про Метрику и cookie).
Если сайт — просто страница с текстом и номером телефона, без форм и счётчиков, политика формально может не понадобиться. Но таких сайтов почти нет: аналитика стоит почти везде.
Какой штраф, если политики нет
| Кто | Штраф за неопубликованную политику (ч. 3 ст. 13.11 КоАП) |
|---|---|
| Компания | от 30 000 до 60 000 ₽ |
| ИП | от 10 000 до 20 000 ₽ |
| Должностное лицо | от 6 000 до 12 000 ₽ |
Что должно быть в политике
Единой формы закон не устанавливает, но политика должна честно описывать, что происходит с данными именно на вашем сайте. Минимум, который стоит указать:
- Кто оператор — название компании или ФИО предпринимателя, ИНН, адрес, контакты для обращений.
- Какие данные собираются — имя, телефон, почта, данные из cookie и т. д.
- Зачем — ответить на заявку, выполнить заказ, отправлять рассылку, вести статистику посещений.
- На каком основании — согласие человека, договор, требование закона.
- Что с данными делают — сбор, хранение, передача (например, службе доставки), удаление.
- Кому передают — сервисам рассылки, CRM, счётчикам посещаемости.
- Сколько хранят и как удаляют.
- Как защищают — кто имеет доступ, какие меры безопасности приняты.
- Права человека — как узнать, какие данные о нём есть, исправить их или отозвать согласие.
Сделать свою политику бесплатно можно в нашем генераторе политики обработки персональных данных: укажите реквизиты и отметьте, что собирает сайт, — получите политику и отдельный текст согласия под ваш сайт. Подходит для ООО, ИП и самозанятых.
Где её разместить
- Отдельной страницей на сайте — например,
/policyили/privacy. - Ссылкой внизу каждой страницы — в подвале сайта, рядом с контактами.
- Ссылкой рядом с каждой формой — там, где человек ставит галочку согласия.
Проверьте, что ссылка действительно открывается: «битая» ссылка на несуществующую страницу — одна из самых частых находок при проверке сайтов.
Политика и согласие — не одно и то же
Политика — это документ «для всех»: как сайт обращается с данными. Согласие — это действие конкретного человека: он сам ставит галочку перед отправкой формы. Нужно и то, и другое. С 1 сентября 2025 года согласие нужно оформлять отдельно от других документов — подробно разобрали это в статье про галочку согласия.
Что ещё проверить, раз уж вы этим занялись
- Подано ли уведомление в Роскомнадзор — за его отсутствие компаниям грозит от 100 до 300 тысяч рублей (ч. 10 ст. 13.11 КоАП). Уведомление бесплатное.
- Не запускаются ли счётчики до согласия посетителя.
- Не уходят ли данные за границу через Google Analytics, шрифты Google или reCAPTCHA.
Проверьте свой сайт бесплатно
Введите адрес — за минуту покажем, есть ли на сайте эти нарушения и какие штрафы за них грозят.
Статья — общая информация, а не юридическая консультация. Суммы штрафов указаны по ст. 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года. Решение о штрафе принимает Роскомнадзор или суд.