Политика конфиденциальности
Политика конфиденциальности (Privacy Policy, Положение об обработке персональных данных) — это публичный официальный юридический документ и локальный нормативный акт владельца веб-ресурса (оператора персональных данных), определяющий цели, правовые основания, состав, порядок сбора, систематизации, хранения, защиты и уничтожения личной информации пользователей. В российском правовом поле публикация Политики в открытом доступе строго предписана статьёй 18.1 Федерального закона № 152-ФЗ «О персональных данных», а в международной практике — европейским регламентом GDPR и американским актом CCPA. Документ выступает базовой гарантией законности сбора данных через веб-формы, авторизацию и счётчики веб-аналитики, защищая бизнес от блокировок Роскомнадзора и миллионных штрафов.
Правовой фундамент: 152-ФЗ, GDPR и штрафы
Наличие Политики конфиденциальности — это прямое императивное требование законодательства:
- Статья 18.1 ФЗ № 152-ФЗ: оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ с любой страницы сайта.
- Административная ответственность (ст. 13.11 КоАП РФ): неразмещение Политики или отсутствие согласия пользователя влечет штрафы для юридических лиц до 60 000–100 000 рублей, а повторные нарушения и утечки — до оборотных штрафов.
- Регламент GDPR (Европейский союз): для сайтов, взаимодействующих с гражданами ЕС, действуют строгие нормы статей 12–14 GDPR (право на забвение, прозрачность передачи данных третьим лицам) со штрафами до 20 млн евро.
- Блокировки Роскомнадзора: ведомство вправе внести сайт в Реестр нарушителей прав субъектов персональных данных с последующим ограничением доступа через ТСПУ.
Обязательные разделы и структура документа
Роскомнадзор предъявляет строгие требования к содержанию локального нормативного акта оператора:
Типовая структура Политики конфиденциальности:
1. Реквизиты оператора: полное наименование компании или ИП, ИНН, ОГРН, юридический и фактический адреса, контактный e-mail ответственного лица.
2. Категории субъектов и состав данных: детальный перечень собираемых сведений (ФИО, номера телефонов, e-mail, технические cookie, IP-адреса).
3. Цели сбора данных: дифференциация целей (обработка входящих заявок, доставка заказов, клиентская поддержка, рекламная рассылка).
4. Сроки и порядок хранения: регламент хранения данных и процедура их безвозвратного уничтожения при достижении целей или отзыве согласия.
5. Права пользователя: порядок направления запросов на уточнение, блокировку или удаление персональных данных.
6. Локализация баз (ч. 5 ст. 18): прямое указание на то, что запись и хранение данных граждан РФ ведутся на серверах, физически расположенных в России.
Размытые формулировки («собираем любые данные для улучшения сервиса») признаются регулятором незаконными.
Файлы cookie, IP-адреса и Яндекс Метрика
Сетевые цифровые идентификаторы законодательно признаны персональными данными субъекта:
- Статус файлов cookie: файлы cookie, уникальные идентификаторы сессий (
_ym_uid в Яндекс Метрике) и статические IP-адреса позволяют идентифицировать устройство конкретного пользователя.
- Cookie-баннеры (Consent Bar): при первом входе посетителя на сайт необходимо отображать уведомление об использовании cookie со ссылкой на Политику конфиденциальности.
- Категоризация cookie: разделение на технически необходимые (для авторизации и корзины), аналитические (статистика Метрики) и маркетинговые (ретаргетинг Яндекс Директа).
- Регламент сбора: в Политике должен присутствовать отдельный раздел, подробно объясняющий, какие метрические программы установлены на сайте и как пользователь может отключить сохранение cookie в своем браузере.
Политика vs Согласие: ключевые отличия
Вебмастера и юристы часто путают два юридически самостоятельных правовых инструмента:
Разграничение двух документов оператора:
Политика конфиденциальности: статический регламентирующий документ, описывающий правила игры оператора. Она доступна для ознакомления всем желающим в подвале сайта.
Согласие на обработку данных (ст. 9 152-ФЗ): персонализированное волеизъявление пользователя, подтверждающее разрешение на сбор его данных для конкретной цели.
Правило активного действия: согласие должно быть конкретным, предметным, информированным и сознательным. Чекбокс согласия под формой не должен быть предзаполнен галочкой по умолчанию.
Юридическая подпись формы: под кнопкой отправки заявки обязательно размещается текст: «Нажимая кнопку, вы принимаете условия Политики конфиденциальности и даете согласие на обработку персональных данных» со ссылками на оба документа.
Нарушение правил сбора согласий является самым частым основанием для вынесения штрафов Роскомнадзором.
Реестр Роскомнадзора, утечки и локализация
Обязанности оператора персональных данных выходят далеко за рамки простого размещения текста на сайте:
- Уведомление РКН о начале обработки: практически любая организация или ИП, собирающие контактные данные клиентов через сайт, обязаны направить официальное уведомление в Роскомнадзор для включения в Реестр операторов ПДн.
- Регламент при утечках (24/72 часа): при любом инциденте безопасности оператор обязан уведомить РКН в течение 24 часов о факте утечки и в течение 72 часов предоставить результаты расследования.
- Физическая локализация серверов: базы данных сайта (MySQL/PostgreSQL) обязаны первично записываться и храниться в дата-центрах на территории РФ (как сервер Timeweb 92.53.127.70).
- Уничтожение по требованию: по запросу пользователя оператор обязан безвозвратно стереть его данные из БД в срок до 30 дней и составить внутренний акт об уничтожении.
Технический чек-лист для CMS Joomla и UIkit 3
Для гарантированной защиты веб-ресурса вебмастер обязан реализовать технический комплекс мер:
Чек-лист безопасности и соответствия на reklama-no.ru:
Сквозная ссылка в футере: прямая текстовая ссылка на страницу /privacy-policy размещается в нижнем колонтитуле (Footer) на всех страницах сайта.
Обвязка форм обратной связи: интеграция чекбокса согласия во все формы компонента обратной связи с блокировкой отправки до простановки отметки.
Принудительный HTTPS: использование криптографического протокола SSL/TLS (Let's Encrypt в FastPanel) для шифрования персональных данных при передаче от браузера к серверу.
Разметка UIkit 3: четкое визуальное структурирование юридического документа карточками uk-card, аккордеонами и оглавлением для максимального удобства чтения пользователями.
Грамотно составленная Политика конфиденциальности защищает бизнес от проверок и формирует высокий уровень доверия клиентов.
Политика конфиденциальности
