Конструктор политики конфиденциальности

1. Почему «договор Политика конфиденциальности» — не совсем точное название

В быту выражение «договор Политика конфиденциальности» встречается часто, но с точки зрения российского права оно неточно. По статье 420 ГК РФ договором признается соглашение двух или нескольких лиц об установлении, изменении или прекращении гражданских прав и обязанностей. Политика конфиденциальности для сайта, приложения или формы заявки обычно не является таким двусторонним соглашением. Это локальный документ оператора, в котором он раскрывает правила обработки персональных данных, порядок их защиты, права пользователя и способы связи.

Поэтому, если говорить строго, для сайта обычно нужен не один «договор», а комплект документов. В него могут входить политика в отношении обработки персональных данных, согласие на обработку персональных данных, согласие на рекламу, пользовательское соглашение, оферта, а при работе с подрядчиками — договор поручения на обработку персональных данных. Именно такой подход лучше соответствует Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных», нормам ГК РФ и сложившейся судебной практике РФ.

Практический вывод важен для читателя без юридического образования. Если вы хотите составить документ для сайта, интернет-магазина, сервиса записи, формы обратной связи или личного кабинета, не стоит искать волшебный типовой «договор на все случаи». Правильнее сначала понять, какой именно процесс вы описываете: сбор заявок, заключение договора, рассылка, реклама, аналитика, регистрация, трудоустройство, передача данных подрядчику. Только после этого имеет смысл брать образец, шаблон, конструктор или типовой текст.

2. Когда достаточно политики, а когда нужен комплект документов

Обязанность иметь и публиковать политику прямо следует из части 2 статьи 18.1 Закона № 152-ФЗ. Если оператор собирает персональные данные через интернет, документ о политике должен быть опубликован на сайте, а доступ к нему должен быть неограниченным. Но на практике одной политики часто недостаточно.

Если сайт только показывает контакты компании и не собирает данные, рисков меньше. Но если вы принимаете заявки, продаете товары, собираете контакты, оформляете личный кабинет, подключаете чат, мессенджер, коллтрекинг, CRM, email-рассылки или метрику, вам почти всегда нужен пакет документов. Политика отвечает на вопрос «как оператор в целом обрабатывает данные». Согласие отвечает на вопрос «разрешил ли конкретный человек ту обработку, для которой согласие требуется». Оферта или пользовательское соглашение отвечают на вопрос «на каких договорных условиях работает сервис». Договор с подрядчиком отвечает на вопрос «кто и на каких условиях обрабатывает данные по поручению».

Отсюда первая практическая ошибка, которую допускают чаще всего. Люди пытаются скачать один шаблон, заменить название компании и опубликовать его как универсальное решение. Такой шаблон почти никогда не учитывает реальные формы сайта, виды рассылок, работу внешних сервисов и порядок передачи данных. Поэтому даже хороший образец или конструктор нужно использовать только как стартовую заготовку, а не как готовый юридический результат.

3. На какие законы нужно опираться в 2026 году

Базовый нормативный каркас для такой статьи и для самой политики состоит из нескольких законов.

Во-первых, это Конституция РФ, прежде всего статьи 23 и 24, которые закрепляют неприкосновенность частной жизни и запрет на сбор, хранение, использование и распространение сведений о частной жизни без согласия лица, если иное не следует из закона.

Во-вторых, это Закон № 152-ФЗ. Для составления политики особенно важны:

• статья 3 — определения основных понятий;
• статья 5 — принципы обработки персональных данных;
• статья 6 — основания обработки;
• статья 7 — обязанность соблюдать конфиденциальность;
• статья 9 — требования к согласию;
• статья 10.1 — отдельные правила для данных, разрешенных для распространения;
• статья 12 — трансграничная передача;
• статья 18 и статья 18.1 — обязанности оператора при сборе данных и публикации политики;
• статья 19 — меры по защите персональных данных;
• статьи 20 и 21 — сроки реагирования на запросы, исправление, прекращение обработки и уничтожение данных;
• статья 22 — уведомление Роскомнадзора;
• статья 22.1 — назначение ответственного за организацию обработки в юридическом лице.

В-третьих, нужно учитывать Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», в частности статью 16 о защите информации.

В-четвертых, если вы планируете рассылки, звонки, сообщения в мессенджеры и иные рекламные коммуникации, обязательно смотрите статью 18 Федерального закона «О рекламе». В ней закреплено правило о предварительном согласии абонента или адресата на получение рекламы по сетям электросвязи.

В-пятых, нужно учитывать статью 22 Закона № 152-ФЗ. По общему правилу оператор до начала обработки уведомляет Роскомнадзор о своем намерении осуществлять обработку персональных данных, но часть 2 этой статьи содержит исключения. Поэтому в статье нельзя писать, что уведомление требуется всегда без разбора ситуации.

Для договорной части по-прежнему важны статьи 420, 421, 422 и 438 ГК РФ. Они нужны, чтобы правильно увязать политику с офертой, пользовательским соглашением, формой акцепта и общими условиями гражданско-правового договора.

4. Что именно должно быть в политике конфиденциальности

Хорошая политика начинается не с красивой вводной фразы, а с точного описания оператора и его процессов. Документ должен отвечать на практические вопросы пользователя, а не только на внутренние задачи компании.

В политике обычно нужно раскрыть:

• кто является оператором;
• какие категории субъектов данных есть у оператора;
• какие именно данные собираются;
• для каких целей они нужны;
• на каком основании ведется обработка;
• кому данные могут передаваться;
• как долго данные хранятся;
• какие меры защиты применяются;
• какие права есть у субъекта;
• как обратиться к оператору по вопросам персональных данных.

Если оператор — юридическое лицо, логично указывать полное наименование, адрес, контакты для обращений и порядок связи по вопросам персональных данных. Если оператор — ИП, указывают его Ф.И.О., статус, контактные данные и реквизиты в объеме, необходимом для идентификации.

Очень важно правильно описывать категории субъектов. Не стоит писать расплывчатое «пользователи и иные лица». Лучше разделять: посетители сайта, клиенты, потенциальные клиенты, подписчики рассылки, соискатели, представители контрагентов, работники, исполнители. Такой подход прямо вытекает из статьи 5 Закона № 152-ФЗ, потому что объем данных должен соответствовать целям их обработки.

5. Как сформулировать цели и правовые основания обработки

Это один из самых важных разделов. Статья 5 Закона № 152-ФЗ требует, чтобы цели обработки были конкретными, заранее определенными и законными. Значит, фразы вроде «для улучшения сервиса», «для ведения бизнеса», «для повышения качества услуг» в чистом виде недостаточны. Они слишком общие и плохо работают при проверке.

Правильный подход — разбить обработку на отдельные сценарии. Например:

• обработка заявки на обратный звонок;
• регистрация в личном кабинете;
• заключение и исполнение договора;
• доставка товара;
• направление кассового чека;
• обработка обращения в службу поддержки;
• направление рекламной рассылки при наличии отдельного согласия;
• ведение кадрового резерва по резюме соискателей;
• исполнение обязанностей, установленных законом.

Для каждого сценария надо указывать не только цель, но и правовое основание. Основанием может быть согласие субъекта, необходимость исполнения договора, обязанность по закону, защита законных интересов в пределах, допускаемых законом, и иные основания, перечисленные в статье 6 Закона № 152-ФЗ.

Судебная практика по этой теме устойчива. Верховный Суд РФ в обзорах практики и в отдельных делах исходит из того, что обработка данных в целях исполнения договора может быть допустима без отдельного согласия, если она действительно необходима для исполнения договора и не выходит за пределы такой цели. Одновременно Верховный Суд указывает, что раскрытие и распространение персональных данных без согласия допустимо только в прямо предусмотренных законом случаях. Поэтому как только оператор начинает использовать данные для рекламы, для публикации, для передачи в интересах третьего лица или для иных самостоятельных целей, ссылка только на договор уже становится ненадежной.

Если цель обработки сформулирована слишком широко, оператор почти всегда проигрывает в доказательственной части: ему трудно объяснить, зачем ему был нужен именно такой объем данных и почему без него нельзя было обойтись.

6. Когда нужно отдельное согласие и как его оформить

Статья 9 Закона № 152-ФЗ требует, чтобы согласие было свободным, своей волей и в своем интересе, а также конкретным, предметным, информированным, сознательным и однозначным. В действующей редакции закона прямо закреплено, что согласие должно быть оформлено отдельно от иных информации и документов, которые подтверждает или подписывает субъект.

Это означает важную вещь для практики 2026 года. Скрывать согласие внутри длинной оферты, пользовательского соглашения или текста под кнопкой «Отправить» — плохая идея. Если согласие требуется, его безопаснее оформлять отдельно: отдельным чекбоксом, отдельным текстом, отдельным электронным документом, отдельной бумажной формой или иным способом, который позволяет доказать его получение.

Оператору также нужно помнить о части 3 статьи 9 Закона № 152-ФЗ: именно на операторе лежит обязанность доказать наличие согласия или наличие иного законного основания для обработки. Это крайне практичный момент. Если вы не можете потом показать, когда именно пользователь поставил галочку, с каким текстом он согласился и какая редакция документа действовала в этот момент, значит вы создали себе доказательственную проблему.

Отдельное согласие особенно важно в следующих случаях:

• реклама по email, SMS, телефону, мессенджерам;
• использование данных для целей, не сводимых к исполнению договора;
• публикация персональных данных;
• передача данных, для которой нет самостоятельного законного основания;
• обработка специальных категорий данных и иные случаи, где закон предъявляет повышенные требования.

Если вы берете согласие на распространение данных, применяется статья 10.1 Закона № 152-ФЗ. Такое согласие оформляется отдельно, а молчание или бездействие субъекта не считается согласием ни при каких обстоятельствах. Это правило особенно важно для разделов с отзывами клиентов, фотографиями, кейсами, публикацией имени и изображения на сайте. Практический ориентир здесь дает и Обзор судебной практики Верховного Суда РФ № 3 (2025), утвержденный Президиумом Верховного Суда РФ 08.10.2025: в нем отражен подход, при котором лицо может требовать прекращения распространения своих персональных данных и их уничтожения, включая фотографию, если для дальнейшей обработки нет законного основания.

7. Как работать с формами на сайте, чекбоксами, cookies и аналитикой

На практике именно этот блок чаще всего делает документ слабым. Владельцы сайтов берут красивый типовой текст, но забывают описать реальные механизмы сбора данных. В результате политика говорит одно, а сайт делает другое.

Если у вас есть форма заявки, нужно проверить:

• какие поля в ней обязательны;
• какие данные действительно нужны для цели;
• есть ли рядом ссылка на политику;
• нужен ли отдельный чекбокс на согласие;
• фиксируется ли технически факт выражения согласия.

Если у вас есть рассылка, не смешивайте согласие на исполнение договора и согласие на получение рекламы. Для рекламы по сетям электросвязи действует статья 18 Закона о рекламе. Предварительное согласие должно быть доказуемым.

Если вы используете cookies, счетчики, пиксели, веб-аналитику и иные метрики, документ нужно адаптировать под фактическую архитектуру сайта. В ряде случаев такие данные могут участвовать в обработке персональных данных, особенно если они позволяют прямо или косвенно определить пользователя либо связать его действия с иными сведениями о нем. Поэтому политика должна описывать, какие технические данные собираются, для каких целей это делается и какие инструменты применяются.

Особенно рискованно бездумно скачать чужой шаблон и не проверить, что на сайте уже стоят формы, мессенджер, аналитика, CRM, коллтрекинг или сторонние виджеты. Если фактическая обработка не совпадает с текстом документа, при споре или проверке это работает против оператора.

8. Как описать передачу данных подрядчикам и партнерам

Многие предприниматели путают две разные ситуации. Первая — вы просто раскрываете данные другому лицу. Вторая — вы поручаете другому лицу обработку персональных данных от своего имени и в своих целях. Для второй ситуации действует часть 3 статьи 6 Закона № 152-ФЗ.

Если обработка поручается подрядчику, в договоре должны быть определены:

• перечень персональных данных;
• перечень действий или операций с данными;
• цели обработки;
• обязанность соблюдать конфиденциальность;
• требования части 5 статьи 18, статьи 18.1 и статьи 19 Закона № 152-ФЗ;
• обязанность подтверждать принятие мер защиты;
• обязанность уведомлять оператора об инцидентах, предусмотренных частью 3.1 статьи 21 Закона № 152-ФЗ.

Отдельно нужно помнить, что лицо, которое обрабатывает данные по поручению оператора, не обязано получать согласие субъекта самостоятельно. Но это не освобождает оператора от необходимости иметь законное основание для самой обработки и для передачи данных подрядчику.

Здесь же важно развести два вида документов. Если речь идет о персональных данных, нужен договор поручения или соответствующий раздел в основном договоре. Если речь идет о коммерческой тайне, закрытой деловой информации, условиях сделки, базе клиентов, финансовых моделях или иной чувствительной информации, дополнительно может потребоваться соглашение о конфиденциальности. Это уже не политика сайта, а классический договорный инструмент. Такой документ может заключаться между физическими лицами, если они передают друг другу чувствительные сведения в рамках совместного проекта, и между юридическими лицами, если бизнесы обмениваются данными и коммерчески значимой информацией.

9. Что писать о сроках хранения, локализации и трансграничной передаче

Политика не должна ограничиваться фразой «данные хранятся столько, сколько необходимо». Для практического документа этого мало. Лучше писать понятнее: данные хранятся до достижения целей обработки, до истечения сроков хранения по закону, до отзыва согласия, до прекращения договора, либо в течение срока, установленного бухгалтерским, налоговым, архивным или иным обязательным законодательством.

При этом нужно избегать формулировок, из которых следует бессрочная обработка без ясного основания. Если цель достигнута, данные должны быть уничтожены или обезличены, если иное не требуется законом.

Особое внимание в 2026 году нужно уделять локализации. Часть 5 статьи 18 Закона № 152-ФЗ запрещает при сборе персональных данных граждан РФ через интернет запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся за пределами территории РФ, кроме прямо предусмотренных законом исключений.

Если оператор намерен осуществлять трансграничную передачу, применяется статья 12 Закона № 152-ФЗ. Такая передача требует отдельной оценки и, как правило, предварительного уведомления Роскомнадзора о намерении ее осуществлять. Поэтому использовать иностранные сервисы «по умолчанию» без анализа правового режима уже нельзя.

В политике полезно отдельно указать:

• используются ли российские или иностранные сервисы;
• осуществляется ли трансграничная передача;
• где расположены базы данных;
• кто имеет доступ к информации внутри компании;
• каков порядок блокирования и уничтожения данных.

10. Какие права пользователя и сроки ответа нужно указать

Статья 14 Закона № 152-ФЗ дает субъекту право получать сведения о своих данных, требовать их уточнения, блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели обработки. Политика должна объяснять эти права человеческим языком.

Кроме того, оператору важно правильно указать сроки. По статьям 20 и 21 Закона № 152-ФЗ действуют конкретные периоды реагирования. По общему правилу информация о факте обработки и обрабатываемых данных предоставляется в срок до десяти рабочих дней, с возможностью продления не более чем на пять рабочих дней при мотивированном уведомлении. Требование о прекращении обработки исполняется в срок до десяти рабочих дней, также с возможностью продления не более чем на пять рабочих дней в предусмотренных законом случаях. Исправление неточных, неполных или незаконно обрабатываемых данных и их уничтожение осуществляются в сроки, которые зависят от основания обращения и прямо определены законом.

Лучше не пытаться перечислить в политике все возможные процессуальные детали, но обязательно нужно отразить:

• какие права есть у субъекта;
• куда он может направить запрос;
• как подтвердить свою личность или полномочия представителя;
• в какие ориентировочные сроки оператор отвечает;
• в каких случаях оператор может продолжить обработку и после отзыва согласия.

Последний пункт особенно важен. Отзыв согласия не всегда автоматически означает полную остановку любой обработки. Если у оператора есть иное законное основание из статьи 6 Закона № 152-ФЗ, он может продолжить обработку в соответствующем объеме. Но такая логика должна быть не произвольной, а строго правовой и соразмерной цели. Верховный Суд РФ в определении от 21.01.2026 № 5-АД25-119-К2 еще раз подчеркнул базовое правило статьи 7 Закона № 152-ФЗ: лица, получившие доступ к персональным данным, не вправе раскрывать их третьим лицам и распространять без согласия субъекта, если иное не предусмотрено федеральным законом.

11. Как связать политику с офертой, пользовательским соглашением и договором

Для сайта недостаточно просто опубликовать политику в подвале. Нужно правильно встроить ее в пользовательский сценарий. В гражданско-правовой части обычно работают механизмы оферты и акцепта, в том числе в электронной форме. Здесь важны статьи 432 и 438 ГК РФ. Но политика в отношении обработки персональных данных не заменяет ни оферту, ни пользовательское соглашение, ни отдельное согласие.

Практически это выглядит так. Пользователь оформляет заказ — он принимает оферту. Пользователь регистрируется — он принимает пользовательское соглашение. Пользователь соглашается на рекламу — он дает отдельное согласие. Пользователь знакомится с политикой — он получает информацию о том, как именно оператор обрабатывает данные.

Поэтому лучше избегать формулы «одна галочка на все». Когда одной отметкой подтверждается и принятие оферты, и ознакомление с политикой, и согласие на рекламу, и согласие на передачу данных партнерам, и согласие на публикацию отзыва, такой механизм становится слишком спорным. Чем важнее последствия для пользователя, тем более раздельными должны быть волеизъявления.

Чекбокс сам по себе ничего не спасает. Юридическое значение имеет не картинка с галочкой, а то, какой текст стоял рядом, какое действие совершил пользователь и может ли оператор это потом доказать.

12. Можно ли взять образец, скачать шаблон или использовать конструктор

Да, но только как рабочую основу. В 2026 году разумно использовать образец, типовой шаблон или конструктор, если вы понимаете их пределы. Удобно скачать шаблон для структуры, затем адаптировать его под конкретный бизнес и только после этого публиковать.

У такого подхода есть плюсы. Образец помогает не забыть разделы. Шаблон ускоряет первую сборку текста. Конструктор позволяет быстро создать черновик. Типовой документ помогает увидеть общую логику. Но ни один образец, ни один шаблон и ни один конструктор не знают за вас:

• какие именно формы стоят на сайте;
• какие интеграции реально подключены;
• куда уходят данные;
• какие рассылки запускаются;
• какие сроки хранения продиктованы законом и внутренними процессами.

Поэтому ответ на популярный вопрос «можно ли просто скачать типовой документ и не проверять» — нет. Можно скачать образец, можно взять шаблон, можно запустить конструктор, можно использовать типовой каркас, но нельзя публиковать документ без ручной юридической настройки.

Именно здесь чаще всего встречается разрыв между формой и содержанием. На сайте висит аккуратный образец, но он не соответствует фактической обработке. Или выбран красивый шаблон, но он ничего не говорит о подрядчиках. Или используется модный конструктор, но он не учитывает отдельное согласие на рекламу. В итоге документ внешне выглядит достойно, а по сути не решает проблему.

13. Какие ошибки чаще всего допускают и как проверить итоговый текст перед публикацией

Перед тем как публиковать документ, полезно пройти финальный чек-лист. Он помогает понять, удалось ли вам действительно составить качественную политику, а не просто создать формальный текст.

Проверьте следующие вопросы:

• правильно ли назван документ;
• не подменяет ли он собой сразу и политику, и согласие, и договор;
• указан ли оператор и его контакты;
• перечислены ли категории субъектов данных;
• соотнесены ли цели обработки и объем собираемых данных;
• есть ли правовые основания по каждому сценарию;
• выделено ли отдельное согласие там, где оно нужно;
• описаны ли подрядчики и поручение обработки;
• раскрыты ли cookies, аналитика, формы и рассылки;
• указаны ли права субъекта и порядок обращения;
• прописаны ли сроки хранения и основания прекращения обработки;
• согласован ли текст с фактической работой сайта и внутренними процессами.
• Самые распространенные ошибки на практике такие:
• документ называется договором, хотя по сути это политика;
• цели сформулированы слишком широко;
• в тексте нет разделения между договорной обработкой и рекламой;
• отсутствует порядок отзыва согласия;
• не описана передача данных подрядчикам;
• используется типовой текст без адаптации;
• фактическая архитектура сайта не совпадает с документом;
• нет доказуемого механизма получения согласия.

Если говорить о судебной практике РФ, для этой темы безопаснее опираться на несколько устойчивых выводов. Первый: обработка в целях исполнения договора допускается без отдельного согласия только в пределах, действительно необходимых для исполнения договора. Второй: обязанность доказать наличие согласия лежит на операторе. Третий: данные нельзя раскрывать и распространять без законного основания. Четвертый: после требования о прекращении обработки или после отзыва согласия оператор должен действовать в рамках статей 6, 9, 20 и 21 Закона № 152-ФЗ, а не по собственному усмотрению.

Итоговый практический совет такой. Если вам нужно составить политику конфиденциальности на 2026 год, используйте образец, шаблон, конструктор и типовой каркас только как вспомогательные инструменты. Не пытайтесь заменить ими правовой анализ. Хороший документ не тот, который легко скачать, а тот, который совпадает с реальной работой сайта, бизнеса и подрядчиков. Только такой текст действительно помогает снизить риски и соответствует законодательству РФ и судебной практике РФ.