Политика обработки персональных данных — не формальность для галочки, а документ, содержание которого прямо проверяется. Отсутствие любого из обязательных разделов — самостоятельное основание для претензии, даже если сама политика на сайте опубликована и на неё ссылается форма согласия.

Что обязательно должно быть в тексте

  1. Реквизиты оператора. Полное название организации или ИП, ИНН, юридический адрес, контакты для обращений по вопросам обработки данных.
  2. Цели обработки персональных данных. Конкретный список: обработка заявок, исполнение договора, информационная рассылка, — а не общая фраза «для улучшения сервиса».
  3. Категории обрабатываемых персональных данных. Какие именно данные собираются: ФИО, телефон, e-mail, адрес доставки и так далее.
  4. Правовые основания обработки. Согласие субъекта, исполнение договора, законный интерес — со ссылкой на соответствующую статью закона.
  5. Перечень действий с данными. Сбор, запись, систематизация, хранение, использование, передача, удаление — описание, что именно оператор делает с данными.
  6. Сведения о трансграничной передаче. Если данные передаются за границу — куда именно и на каком основании; если не передаются — это тоже стоит указать явно.
  7. Сведения о третьих лицах, которым передаются данные. Хостинг-провайдер, платёжный агрегатор, сервис рассылок, CRM — если данные проходят через сторонний сервис, это раскрывается в политике.
  8. Срок хранения персональных данных. Конкретный период или условие его определения (например, «до отзыва согласия» или «в течение срока действия договора и трёх лет после его окончания»).
  9. Меры по обеспечению безопасности данных. Хотя бы в общем виде — какие организационные и технические меры применяются.
  10. Порядок реализации прав субъекта. Как посетитель может запросить свои данные, потребовать их исправления или удаления, отозвать согласие.

Частые ошибки готовых шаблонов

Шаблон, скачанный из открытого источника, обычно написан под конкретную сферу (чаще всего — под интернет-магазин) и переносится на другой сайт без правок. В результате появляются несостыковки: политика упоминает «доставку товара» на сайте услуг, ссылается на реквизиты чужой компании, которые забыли поменять, или описывает передачу данных курьерской службе, которой у бизнеса вообще нет. Такие несостыковки выглядят некритично, но фактически означают, что политика не описывает реальную обработку данных на этом сайте, — а именно это и проверяется.

Вторая частая проблема — политика существует как документ, но на сайте не опубликована как отдельная страница: лежит PDF-файлом без ссылки в подвале сайта, или упоминается только в футере одной страницы, но не везде, где стоит форма. По закону политика должна быть опубликована — то есть доступна публично, а не спрятана.

Штраф за отсутствие или неполноту политики

Невыполнение обязанности по опубликованию политики — отдельный состав в статье 13.11 КоАП РФ. Формально штраф ниже, чем за обработку без согласия, но на практике проверяющие часто фиксируют сразу несколько связанных нарушений одним актом: нет политики → нет ссылки в форме → согласие формально недействительно, — и суммы складываются.

Наш плагин для WordPress умеет собирать политику конфиденциальности, текст согласия и уведомление о cookie под конкретные реквизиты и реальный набор сервисов, подключённых на сайте, — так документ описывает то, что на сайте есть на самом деле, а не типовой набор формулировок из чужого шаблона.