Политика конфиденциальности для сайта: что писать и что ещё нужно по закону

Сайт на конструкторе собирается за вечер: прайс, фото, форма «Записаться». Форма просит имя и телефон, и с первой заявки владелец сайта становится оператором персональных данных. Ниже — что писать в политике, чем она отличается от согласия, что делать с cookie и кнопками мессенджеров и какие реквизиты ещё нужны сайту. Нормы сверены по КонсультантПлюс 26 сентября 2026 года.

Что такое политика конфиденциальности и кто обязан её публиковать

Политика конфиденциальности — это публичный документ оператора: какие персональные данные он обрабатывает, с какой целью, на каком основании, сколько хранит, кому передаёт и как человек может узнать о своих данных или удалить их. В законе такого названия нет. Там это «документ, определяющий политику оператора в отношении обработки персональных данных».

Обязанность опубликовать его записана в части 2 статьи 18.1 закона № 152-ФЗ (редакция от 26.07.2026). Оператор, который собирает данные через интернет, публикует политику и «сведения о реализуемых требованиях к защите персональных данных» на страницах своего сайта, «с использованием которых осуществляется сбор». Значит, ссылка на политику нужна на каждой странице с формой, а сам документ открыт всем, без входа и пароля.

Кто оператор, определяет статья 3. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому человеку: имя, телефон, почта, адрес доставки. Оператор — госорган, юридическое или физическое лицо, которое организует обработку и само определяет её цели. ООО, ИП и самозанятый с формой заявки на сайте — операторы все трое.

У компании обязанностей больше: пункт 2 части 1 статьи 18.1 требует от юрлица ещё и локальных актов с перечнем данных, сроками и порядком уничтожения для каждой цели. Их не публикуют, а показывают Роскомнадзору по запросу (часть 4). Политику в ведомство не отправляют. Уведомление об обработке — отдельный документ, о нём и о штрафах — в статье «Закон о персональных данных для бизнеса в мессенджере».

Политика конфиденциальности и политика обработки персональных данных — одно и то же?

Для сайта малого бизнеса — да, это один документ под двумя названиями. «Политика конфиденциальности» пришла из англоязычного privacy policy, «политика обработки персональных данных» — формулировка закона. Заголовок закон документу не задаёт: он перечисляет, что в документе должно быть.

Пример — сам MAX. Его документ на legal.max.ru/pp (редакция от 25.09.2026) называется «Политика конфиденциальности сервиса „MAX“», ссылается на закон № 152-ФЗ и описывает, какие данные мессенджер получает, включая cookie. Что это значит для переписки, разобрано в статье «Безопасен ли MAX».

Держите на сайте один документ, чтобы не было двух версий с разным составом. Слово «конфиденциальность» в законе тоже есть: статья 7 запрещает раскрывать и распространять персональные данные без согласия человека, если закон не разрешает иное. Эта обязанность — один из пунктов политики.

Нужна ли политика конфиденциальности, если на сайте нет формы

Короткий ответ: почти всегда нужна. Первое предложение части 2 статьи 18.1 обязывает любого оператора опубликовать политику «или иным образом обеспечить неограниченный доступ» к ней — даже если данные он собирает не через сайт. Второе предложение добавляет требования к сайту, через который данные собираются.

Пример. Сайт мастера по ремонту ванных: прайс, 12 фотографий работ, кнопка MAX и Метрика. Формы нет, но по условиям использования Метрики (редакция от 07.08.2026, пункт 5.4) владелец сайта — оператор данных посетителей, а Яндекс обрабатывает их по его поручению. Значит, политика и уведомление о cookie нужны.

Что писать в политике обработки персональных данных

Структуру подсказывает сам Роскомнадзор. В его рекомендациях по составлению политики от 31 июля 2017 года (файл на сайте ведомства открывается и 26 сентября 2026 года) шесть блоков. Седьмой добавляет часть 2 статьи 18.1 — сведения о защите данных. Ниже все семь с примером для студии маникюра, у которой на сайте форма записи, Метрика и рассылка акций.

Десять рабочих дней на ответ даёт оператору часть 1 статьи 20, продлить можно ещё на пять с объяснением причины. Срок хранения студия выбирает сама под свою цель: держать данные дольше, чем нужно для неё, закон не разрешает.

Так может выглядеть раздел о целях — замените примеры своими:

Мы обрабатываем персональные данные для трёх целей.
1. Запись на услуги: имя, телефон, выбранная услуга и время. Основание — заключение договора по вашей инициативе (пункт 5 части 1 статьи 6 закона № 152-ФЗ).
2. Напоминание о визите за сутки: имя и телефон. Основание — исполнение договора.
3. Рассылка акций раз в месяц: имя и телефон. Основание — ваше отдельное согласие на рекламу. Отозвать его можно ответом «стоп» на любое сообщение.

Как составить политику конфиденциальности: генератор, образец или юрист

Генератор быстро даёт каркас. У Тильды есть бесплатный конструктор политики: вводите адрес сайта, название или ФИО, почту, цели, состав данных и основания — и получаете текст. Соответствие закону Тильда не гарантирует, инструмент отдают «как есть». Образец с чужого сайта опаснее: в нём чужие цели, сервисы и иногда реквизиты.

1. Составьте опись: какие формы есть на сайте, какие поля в каждой, куда уходят заявки (почта, CRM, таблица), какие сервисы стоят на страницах — Метрика, чат, рассылка.
2. Для каждой формы запишите цель и основание: заявка — заключение договора, рассылка — отдельное согласие.
3. Соберите каркас в генераторе или по семи разделам из таблицы выше.
4. Уберите всё, чего у вас нет: чужие сервисы, «передачу партнёрам», зарубежные хранилища.
5. Поставьте дату редакции и опубликуйте политику текстом на отдельной странице сайта.
6. Дайте ссылку в подвале и рядом с кнопкой каждой формы — так требует часть 2 статьи 18.1.
7. Обновляйте политику при каждом новом сервисе и храните прежние редакции.

Образец, скачанный до осени 2025 года, проверьте на четыре изменения: согласие с 1 сентября 2025 года оформляется отдельно (статья 9), часть 5 статьи 18 о базах данных в России переписана законом № 23-ФЗ от 28.02.2025, трансграничная передача в статье 12 уточнена законом № 265-ФЗ от 26.07.2026, а для интернет-магазинов с 1 сентября 2026 года действуют новые Правила продажи товаров.

Юрист нужен, когда данные чувствительные: сведения о здоровье, биометрия, клиенты за границей. Для специальных категорий и биометрии в законе отдельные правила — статьи 10 и 11, — и генератор их не покрывает.

Чем политика конфиденциальности отличается от согласия на обработку данных

Политика одна на весь сайт, она сообщает правила. Согласие даёт каждый человек, и это его решение. По части 1 статьи 9 согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а с 1 сентября 2025 года — «оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Это предложение добавила статья 5 закона от 24.06.2025 № 156-ФЗ.

Формулировка «согласие на политику конфиденциальности» поэтому неточна: с политикой знакомятся, согласие дают на обработку своих данных. Галочка «Принимаю политику и даю согласие на обработку» склеивает два документа в одно действие. Что писать в самом согласии, с образцом, — в статье о законе о персональных данных.

Нужно ли согласие для простой заявки? Закон разрешает обработку без него, если она нужна «для заключения договора по инициативе субъекта персональных данных» (пункт 5 части 1 статьи 6): человек сам попросил перезвонить. Рассылка, база «на потом» и передача партнёру в это основание не входят, поэтому в формах берут согласие.

Как оформить галочки в форме

Галочки ставит сам человек: справка Тильды прямо запрещает отмечать чекбокс по умолчанию и советует задать полю имя переменной, например personal_data_consent. По нему в заявке видно, что согласие получено, а доказывать это по части 3 статьи 9 придётся оператору. Когда можно писать человеку после заявки — в статье «Рассылки в мессенджере и закон».

Cookie и Яндекс Метрика: что добавить в политику и на сайт

Слова «cookie» в законе № 152-ФЗ нет. Яндекс в условиях Метрики считает их персональными данными: по пункту 5.4 владелец сайта — оператор данных посетителей, в том числе «файлов cookie, данных об устройстве», а пункт 2.1 обязывает его сообщить посетителям об обработке «в краткой, понятной и легкодоступной форме». Как поставить счётчик и настроить цели — в статье «Яндекс Метрика для малого бизнеса».

Роскомнадзор на cookie тоже смотрит. Управление по Архангельской области за первый квартал 2023 года проанализировало 39 сайтов и среди типовых нарушений назвало формы без механизма получения согласия, отсутствие информирования об использовании cookie и неопубликованную политику.

В политику добавьте раздел о cookie:

• какие сервисы их ставят: Метрика, онлайн-чат, счётчик рекламного кабинета;
• зачем: статистика посещений, цели и заявки, показ рекламы;
• кто получает данные: например, Яндекс по поручению оператора;
• как отказаться: настройки браузера или выбор на плашке.

На Тильде плашку собирают из блоков T657, T886, T887 и T972; справка Тильды советует T972 — он даёт выбрать, какие cookie разрешить. Нужно ли для аналитических cookie согласие или хватает уведомления, закон прямо не говорит, и юристы расходятся. Плашка с выбором закрывает оба варианта.

Если включён Вебвизор, проверьте поля формы. По пункту 4.1.2 условий Метрики через запись визитов нельзя собирать имена, адреса и финансовые данные без специальных согласий. Справка Метрики говорит, что счётчик сам распознаёт такие поля и заменяет их содержимое звёздочками. Чтобы не зависеть от распознавания, выключите опцию «Записывать все поля» — звёздочки будут во всех полях — или пометьте поля классом ym-disable-keys.

Формы, кнопки мессенджеров и виджеты: кто собирает данные

Политика описывает путь данных от посетителя до вашей таблицы. Таких путей обычно три.

Форма на конструкторе. По справке Тильды, для профилей из России заявки хранятся на серверах Selectel и Яндекс Облака, а подключённые к форме сторонние сервисы получают их на свои серверы. Здесь работает часть 5 статьи 18: при сборе данных граждан России их запись и хранение в базах за пределами страны не допускаются, кроме нескольких случаев из закона. Отправка данных за границу — трансграничная передача, о ней оператор заранее отдельно уведомляет Роскомнадзор (часть 3 статьи 12).

Кнопка «Написать в MAX». Сайт ничего не собирает: человек переходит по ссылке и пишет вам в мессенджере. Обязанности оператора появляются там, где вы сохраняете его контакт. Как поставить кнопку и считать переходы — в статье «Виджет MAX на сайт». Ссылка на канал согласия не требует, это разобрано в статье о переходе подписчиков с сайта в канал. А форма «Получить чек-лист» с полем для почты — уже сбор данных, даже если это лид-магнит.

Онлайн-чат и обратный звонок. Сервис хранит переписку и номера у себя, то есть обрабатывает данные по вашему поручению. Часть 3 статьи 6 требует, чтобы в поручении были перечень данных, цели, конфиденциальность и хранение в России. Тильда пишет, что её поручение заключается при регистрации, и советует найти такой документ у каждого стороннего сервиса. Впишите сервис в политику.

Пользовательское соглашение: когда оно нужно сайту

Пользовательское соглашение — это договор между владельцем сайта и посетителем о правилах пользования: что можно публиковать, как работает личный кабинет, кто отвечает за загруженные материалы, за что блокируют. Закон № 152-ФЗ его не требует, и сайту-визитке с формой заявки оно обычно не нужно.

Соглашение пригодится, если посетители регистрируются, пишут отзывы или загружают файлы. Согласие на обработку данных в него не вшивают — оно оформляется отдельно.

Что ещё должно быть на сайте по закону

Политика и согласие закрывают персональные данные. Остальные требования к сайту малого бизнеса — в одной таблице, по состоянию на 26 сентября 2026 года.

Если на сайте есть оплата, нужна оферта — что в неё включить, разобрано в статье «Публичная оферта». Какие слова на сайте оставить по-английски, а какие перевести, — в статье «Запрет иностранных слов 2026». Для одностраничника тот же набор сжато собран в статье «Лендинг: что это простыми словами».

Самозанятый без статуса ИП в пункте 22 Правил продажи не назван. Но часть 2 статьи 10 закона № 149-ФЗ касается любого владельца сайта, а политику публикует любой оператор. ИНН можно указать добровольно: по нему покупатель проверит статус плательщика налога на профессиональный доход на сайте ФНС.

Частые ошибки

• Политика скопирована с чужого сайта. В ней сервисы, которых у вас нет, чужой срок хранения и иногда чужая почта для запросов.
• Согласие вшито в политику, оферту или соглашение. С 1 сентября 2025 года это нарушает часть 1 статьи 9.
• Галочка стоит заранее. Такое согласие трудно назвать сознательным и однозначным.
• Политика только в подвале главной. Форма живёт на лендинге или во всплывающем окне, и рядом с ней ссылки нет.
• Основанием обработки указан сам закон № 152-ФЗ. Роскомнадзор в рекомендациях пишет, что закон основанием быть не может: основание — договор, согласие или конкретная обязанность по закону.
• Нет реквизитов. Сайт без наименования, адреса и почты нарушает часть 2 статьи 10 закона № 149-ФЗ, даже если формы на нём нет.

Чек-лист