Политика конфиденциальности и политика обработки персональных данных: в чём разница

Один из самых частых вопросов владельцев сайтов: политика конфиденциальности и политика обработки персональных данных — это одно и то же? На одних сайтах в подвале висит «Политика конфиденциальности», на других — «Политика обработки персональных данных», на третьих — оба документа сразу. Разбираем, какой из них требует закон, в чём реальная разница и что смотрит Роскомнадзор при проверке.

Короткий ответ

Закон 152-ФЗ требует от оператора документ, определяющий политику в отношении обработки персональных данных (часть 2 статьи 18.1). Он должен быть опубликован на сайте, если вы собираете через сайт персональные данные.

Термина «политика конфиденциальности» в 152-ФЗ нет. Это название пришло из западной практики, где privacy policy — стандартный документ любого сайта.

Главное: Роскомнадзор оценивает не название документа, а его содержание. Документ может называться «Политика конфиденциальности», но если в нём есть всё, что требует закон для политики обработки ПДн, требование выполнено. И наоборот: правильное название с пустым содержанием не спасёт от штрафа.

В чём разница по смыслу

Что должно быть в документе, чтобы требование закона было выполнено

Независимо от названия, в документе должны быть:

1. Наименование оператора и его реквизиты
2. Цели обработки персональных данных — каждая отдельно
3. Категории субъектов — клиенты, посетители сайта, сотрудники, соискатели
4. Перечень обрабатываемых данных по каждой цели
5. Правовые основания обработки
6. Действия с данными и способы обработки
7. Сроки обработки и хранения, порядок уничтожения
8. Передача третьим лицам, если она есть — кому и зачем
9. Права субъекта и порядок обращения к оператору
10. Меры защиты персональных данных

Подробная структура с примерами — в статье «Политика обработки персональных данных: что должно быть в документе».

Типичные ошибки

Скачанная «политика конфиденциальности» из интернета

Шаблон из поиска почти всегда либо переведён с английского, либо написан до 2025 года. В нём нет целей и перечня данных вашего бизнеса, нет сроков хранения, а реквизиты оператора часто забыты. Роскомнадзор видит такие документы сразу.

Два документа, которые противоречат друг другу

Встречается часто: в «политике конфиденциальности» написано, что данные никому не передаются, а в «политике обработки ПДн» указана передача в службу доставки. Противоречие — повод для претензии, и оно же вызывает вопросы у ИИ-бота Роскомнадзора, который сверяет документы на сайте с уведомлением и реальным кодом.

Политика есть, но не та, что описывает сайт

В документе заявлено, что сайт собирает только имя и телефон, а форма запрашивает ещё email и город, а на сайте стоит аналитика. Расхождение между документом и реальностью — самостоятельное нарушение.

Политика спрятана

Документ должен быть в открытом доступе: ссылка в подвале каждой страницы и рядом с формой, где собираются данные. Политика, до которой нельзя добраться без поиска, формально не опубликована.

Можно ли обойтись одним документом

Да, и это самый практичный вариант для малого и среднего бизнеса. Один документ «Политика обработки персональных данных», который содержит все обязательные разделы, плюс отдельная политика использования cookie, если на сайте работает аналитика.

Если на сайте уже висит «Политика конфиденциальности», переименовывать её не обязательно — достаточно проверить, что содержание соответствует закону. Но если документов два, их нужно привести к одному смыслу или оставить один.

Не путайте с согласием. Политика — это публичный документ о том, как вы обрабатываете данные. Согласие на обработку — отдельный документ, который даёт сам человек. С 1 сентября 2025 года согласие должно быть отдельным документом, а галочка «согласен с политикой» согласием не является. Подробнее — в статье о согласии и галочке на сайте.

Сколько стоит ошибка

Отсутствие опубликованной политики обработки персональных данных — штраф до 60 000 рублей для юрлица (ч. 3 ст. 13.11 КоАП РФ). Но на практике отсутствие политики почти никогда не бывает единственным нарушением: обычно вместе с ним нет корректного согласия (до 700 000 рублей) и уведомления в Роскомнадзор (до 300 000 рублей). Полная таблица — в обзоре штрафов по 152-ФЗ.

Что делать прямо сейчас

1. Откройте подвал своего сайта: какой документ там опубликован и как он называется
2. Проверьте, есть ли в нём все десять обязательных разделов из списка выше
3. Сверьте документ с реальностью: какие поля собирает форма, какие сервисы стоят на сайте
4. Если документов два — устраните противоречия или оставьте один
5. Убедитесь, что ссылка на политику есть рядом с каждой формой сбора данных
6. Проверьте, что согласие на обработку оформлено отдельно, а не ссылкой на политику

Главный вывод

Политика конфиденциальности и политика обработки персональных данных — не одно и то же по происхождению, но для Роскомнадзора важно содержание, а не название. Закон требует документ о политике обработки ПДн с конкретным набором разделов. Если ваша «политика конфиденциальности» их содержит и совпадает с тем, что реально происходит на сайте, требование выполнено. Если это переведённый шаблон без ваших данных — его нужно переписать.

Источники

• Часть 2 статьи 18.1 Федерального закона № 152-ФЗ «О персональных данных»
• Часть 3 статьи 13.11 КоАП РФ (неопубликование политики)
• Рекомендации Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки ПДн

---

Не уверены, что ваша политика на сайте соответствует закону? Пройдите бесплатный экспресс-аудит или оставьте заявку — подготовим политику под реальные процессы вашего бизнеса.