Политика конфиденциальности из формального документа превратилась в ключевой инструмент compliance. С 1 сентября 2025 года к ней применяются новые требования - отсутствие или несоответствие грозит штрафом до 1 миллиона рублей.
Пример из практики: Сайт-агрегатор туров был оштрафован на 300 000 рублей за политику конфиденциальности, которая не содержала сведений о реализуемых требованиях к защите данных. При этом сама защита была организована надлежащим образом.
Новые обязательные элементы политики (ст. 18.1 152-ФЗ):
-
Цели обработки данных - детализированные и конкретные
-
Перечень обрабатываемых данных - с группировкой по категориям
-
ФИО и контакты ответственного за обработку ПДн
-
Сведения о реализуемых требованиях к защите данных
-
Порядок осуществления прав субъектов ПДн
-
Механизм отзыва согласия на обработку
-
Информация о трансграничной передаче (при наличии)
Структура политики конфиденциальности на 2025 год:
1. Общие положения 2. Основные понятия 3. Цели обработки персональных данных 4. Правовые основания обработки 5. Объем и категории обрабатываемых данных 6. Порядок и условия обработки 7. Сроки обработки данных 8. Передача персональных данных 9. Защита персональных данных 10. Права субъектов ПДн 11. Заключительные положения
Образец блока о целях обработки:
"Компания обрабатывает персональные данные пользователей в следующих целях:
Заключение и исполнение договоров оказания услуг (обработка заказов, доставка)
Маркетинговая рассылка информации об акциях и специальных предложениях
Проведение статистических исследований и анализ поведения пользователей
Выполнение требований законодательства Российской Федерации"
Типичные ошибки в политиках конфиденциальности:
-
❌ Использование шаблонов 2020-2023 годов
-
❌ Отсутствие конкретики в целях обработки
-
❌ Не указаны сроки хранения данных
-
❌ Нет описания мер защиты
-
❌ Не прописан порядок отзыва согласия
-
❌ Скрывается факт трансграничной передачи
Чек-лист проверки действующей политики:
-
Соответствует структуре ст. 18.1 152-ФЗ
-
Содержит все обязательные элементы
-
Цели обработки конкретизированы
-
Указаны сроки обработки по каждой цели
-
Описаны реальные меры защиты
-
Есть механизм отзыва согласия
-
Раскрыты сведения о трансграничной передаче
-
Указаны актуальные контакты ответственного
Кейс: Переработка политики для интернет-магазина
Было:
"Обработка данных для целей исполнения договора"
Стало:
"Обработка персональных данных (ФИО, контактный телефон, адрес электронной почты, адрес доставки) для целей:
-
Оформления и обработки заказов на товары
-
Организации доставки товаров через курьерские службы
-
Осуществления обратной связи по вопросам качества товаров и услуг
Срок обработки: 5 лет с момента выполнения заказа"
FAQ по политике конфиденциальности:
Вопрос: Нужно ли отдельно получать согласие на политику?
Ответ: Нет, политика - это информирование. Согласие получается на обработку данных.
Вопрос: Как часто нужно обновлять политику?
Ответ: При любом изменении процессов обработки данных, но не реже 1 раза в год.
Вопрос: Нужна ли политика, если я не собираю данные через сайт?
Ответ: Да, если вы обрабатываете данные сотрудников или контрагентов.
Наша услуга "Разработка политики конфиденциальности" включает:
-
Анализ ваших процессов обработки данных
-
Разработку индивидуального текста политики
-
Интеграцию с вашим сайтом
-
Консультации по размещению и применению