Политика обработки персональных данных — тот самый документ, ссылку на который вы видите в подвале почти любого сайта. Обязанность его иметь и опубликовать закреплена в статье 18.1 закона 152-ФЗ. Но с составом политики есть нюанс, который отличает её от согласия и уведомления.
Что требует закон
Часть 2 статьи 18.1 обязывает оператора опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите данных. То есть закон требует, чтобы документ существовал и был доступен, — но самого перечня разделов не диктует.
🪤 Находка: у политики нет закрытого перечня полей
Это ключевое отличие. Для согласия статья 9, а для уведомления в РКН статья 22 задают закрытый список обязательных сведений — там понятно, что должно быть внутри. У политики такого списка в законе нет. Из-за этого возникает ложное ощущение, что подойдёт любой скачанный шаблон. На деле состав политики выводится из рекомендаций Роскомнадзора и практики, а её содержание должно соответствовать тому, как оператор реально обрабатывает данные.
Что включают на практике
Стандартный состав политики, сложившийся из рекомендаций РКН и практики:
- цели обработки персональных данных;
- правовые основания обработки;
- категории субъектов и категории обрабатываемых данных;
- порядок и условия обработки, а также права субъекта данных;
- сведения о трансграничной передаче, если она есть;
- сроки хранения данных и порядок их уничтожения;
- контакты для обращений субъектов.
Разница между хорошей и бесполезной политикой не в наборе разделов — его несложно повторить. Разница в том, описывает ли документ реальные процессы конкретного бизнеса: какие данные он собирает, зачем, где хранит. Именно это проверяет РКН, и именно этого не даёт типовой шаблон.
Почему это связано с уведомлением и согласием
Политика, согласие и уведомление в РКН описывают одно и то же — как оператор обращается с данными, — но с разных сторон. Если в уведомлении заявлена одна цель обработки, в согласии — другая, а в политике — третья, это внутреннее противоречие, которое всплывает при проверке. Согласованность этих трёх документов важнее красоты формулировок в каждом.
Вопросы про содержание политики
Обязательно ли иметь политику обработки персональных данных?
Да. Часть 2 статьи 18.1 закона 152-ФЗ обязывает оператора опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику обработки персональных данных.
Есть ли в законе точный перечень разделов политики?
Нет. В отличие от согласия (ст. 9) и уведомления в РКН (ст. 22), закон не задаёт закрытый перечень содержания политики. Состав выводится из рекомендаций Роскомнадзора и практики.
Что обычно включают в политику?
Цели обработки, правовые основания, категории субъектов и данных, порядок и условия обработки, права субъекта, сведения о трансграничной передаче, сроки хранения и уничтожения, контакты для обращений.
Почему нельзя просто скачать типовую политику?
Закон требует, чтобы политика отражала реальные процессы оператора. Типовой шаблон формально закрывает обязанность иметь документ, но не описывает, какие данные и зачем собирает конкретный бизнес, — а именно это проверяет РКН.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18.1 ч. 2 (обязанность опубликовать документ политики) — consultant.ru
Обязанность по ст. 18.1 ч. 2 сверена с текстом на 11.07.2026. Состав политики — рекомендации РКН и практика, а не закрытый законный перечень; в статье это указано прямо.