Политика обработки персональных данных 2026: готовый образец и 6 обязательных разделов по статье 18.1 152-ФЗ

Политика обработки персональных данных — это обязательный документ для любого оператора ПДн в России, регулируемый частью 2 статьи 18.1 Федерального закона №152-ФЗ «О персональных данных». Содержит шесть обязательных разделов: цели обработки, правовые основания, категории субъектов и категории ПДн, способы и сроки обработки, перечень третьих лиц, контактную информацию ответственного. С 30 мая 2025 года штраф за отсутствие или неполноту политики по части 3 статьи 13.11 КоАП РФ в редакции 420-ФЗ от 30 ноября 2024 года — для юридических лиц 30 000–60 000 ₽, для ИП 10 000–20 000 ₽, для должностных лиц 6 000–12 000 ₽, для граждан 1 500–3 000 ₽. Политика должна быть общедоступной (ссылка в footer на каждой странице сайта), в HTML-формате (не PDF), и соответствовать фактической обработке данных на сайте — автоматизированный мониторинг РКН (АС МПДн) и проверки по жалобам могут сверять декларацию политики с реальными трекерами и формами на сайте. Ниже — готовый образец политики обработки персональных данных, сгенерированный нашей специализированной AI-моделью RKN-AI под актуальную нормативную базу 2026 года и адаптируемый под реальные результаты скана вашего сайта.

Сгенерировать политику под ваш сайт автоматически — за 30 секунд ←

Сайт детского сада или школы на платформе gosweb? На gosweb.gosuslugi.ru нельзя вставлять свой HTML или JS — стандартный шаблон политики не подходит. Адаптированная инструкция: «Политика ПДн на сайте gosweb.gosuslugi.ru».

🤖 Этот шаблон создан RKN-AI — нашей специализированной ИИ-моделью, обученной на полной нормативной базе: 152-ФЗ + 420-ФЗ от 30.11.2024 + ст.13.11 КоАП РФ + Приказ РКН №128 о трансграничной передаче.

Чем это лучше альтернатив: - vs шаблоны Tilda / Wix / Insales — у них общие шаблоны, не учитывают актуальные правки 420-ФЗ и отдельное согласие с 01.09.2025 - vs готовые политики из топ-10 Яндекса — большинство устарели (2023-2024 годов), штрафы устаревшие - vs юрист за 15-40 тыс ₽ — RKN-AI бесплатно и сразу, но не заменяет юриста для нестандартных случаев (см. отдельный раздел ниже)

Что AI делает уникально: динамически адаптирует политику под результаты скана именно вашего сайта — реальные категории ПДн, трекеры, формы. Юристу для этого нужно вручную аудитить сайт.

Зачем нужна политика обработки ПДн в 2026

Любая компания, ИП или физлицо, которые собирают на сайте имя, email, телефон, ИНН, IP-адрес посетителя через cookies или иные ПДн — это оператор персональных данных по части 2 статьи 3 152-ФЗ. Оператор обязан:

1. Уведомить РКН о намерении обработки — попасть в реестр операторов
2. Опубликовать политику обработки ПДн в общедоступном виде — это про эту статью
3. Получать согласие на обработку (с 01.09.2025 — отдельным документом, не как часть политики)
4. Обеспечить технические меры безопасности — HTTPS, защита от несанкционированного доступа

Без политики работа сайта = обработка без правового основания = нарушение части 1 статьи 6 152-ФЗ. Автоматизированный мониторинг РКН (АС МПДн) и проверки по жалобам могут выявлять отсутствие политики по типовым URL /privacy/, /policy/ и footer-ссылке. Это один из самых выявляемых пунктов в 14 типах нарушений.

6 обязательных разделов по ст.18.1 152-ФЗ

Часть 2 статьи 18.1 устанавливает строгий перечень. Отсутствие любого раздела = неполная политика.

1. Цели обработки персональных данных

Что писать: конкретные цели, под которые вы собираете данные. Не общие формулировки вроде «улучшение качества обслуживания», а конкретные:

• «отправка ответов на обращения, поступившие через форму обратной связи»
• «исполнение договора оказания услуг, заключённого через сайт»
• «информирование о новых продуктах путём email-рассылки (только при наличии согласия на маркетинговую коммуникацию)»
• «веб-аналитика и улучшение работы сайта посредством Яндекс.Метрики и собственных счётчиков»
• «обеспечение информационной безопасности (логирование IP-адресов посетителей)»

Каждая цель должна соответствовать реальной форме или функции сайта.

2. Правовые основания обработки

Перечень оснований из статьи 6 152-ФЗ. Применимые для большинства сайтов:

• ст.6 ч.1 п.1 — согласие субъекта ПДн (для форм со сбором ПДн)
• ст.6 ч.1 п.5 — необходимость для исполнения договора, стороной которого является субъект (заказ услуги)
• ст.6 ч.1 п.6 — необходимость для осуществления прав и законных интересов оператора (защита от мошенничества, юр.претензии)

Дополнительные основания указываются при наличии (госконтракт, лицензия, иной ФЗ).

3. Категории субъектов и категории обрабатываемых ПДн

Конкретный список тех, чьи данные вы обрабатываете:

• посетители сайта (IP-адрес, cookies, user-agent)
• клиенты (ФИО, email, телефон, адрес доставки)
• сотрудники (HR-данные — обычно отдельная политика)
• партнёры / контрагенты (наименование, ИНН, контактное лицо)

Для каждой категории — что именно из перечня ПДн обрабатывается. Не указывайте категории, которые не собираете (например, «биометрия» — если вы не банк/медцентр, у вас её нет).

4. Способы и сроки обработки

Способы (из ст.3 152-ФЗ): сбор, запись, систематизация, накопление, хранение, уточнение (обновление), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Срок: устанавливается оператором, типичные диапазоны:

• ПДн клиентов по договору — до окончания договора + срок исковой давности (3 года)
• ПДн посетителей через cookies — до отзыва согласия / до 1 года
• ПДн соискателей вакансий — до 3 месяцев (по разъяснению РКН) с момента отказа в трудоустройстве

После истечения срока ПДн уничтожаются или обезличиваются. Этот пункт критично прописать конкретно — РКН проверяет.

5. Перечень третьих лиц, которым передаются данные

Список всех подрядчиков, которым вы передаёте ПДн или предоставляете доступ:

• Платёжный провайдер — ЮKassa, Robokassa, Тинькофф (для приёма платежей)
• CRM-провайдер — Bitrix24, AmoCRM, HubSpot (хранение клиентских данных)
• Email-рассылка — Unisender, Mindbox, GetResponse
• Веб-аналитика — Яндекс (Я.Метрика — серверы РФ), Google (Google Analytics — США, требует отдельного уведомления о трансгран)
• Хостинг — наименование хостера и страна серверов
• Бухгалтерия — если ПДн клиентов выгружаются в 1С / на бухгалтерский аутсорсинг

Для каждого подрядчика указать: наименование, цели передачи, основание (договор / поручение). Все эти подрядчики должны быть в реестре операторов ПДн со своей записью.

6. Контактная информация ответственного за обработку ПДн

У оператора, являющегося юридическим лицом, обязательно назначается ответственный за организацию обработки ПДн (ст.22.1 152-ФЗ); индивидуального предпринимателя эта обязанность не касается, но контакт для запросов субъектов нужен и ему. В политике указать:

• ФИО ответственного
• Должность
• Email для запросов от субъектов ПДн (отдельный, не общий info@)
• Почтовый адрес (юр.адрес оператора)

Этот email — точка контакта при запросе на удаление ПДн, исправление, отзыве согласия, жалобах. Срок ответа на обращение субъекта — 30 дней (ст.20 152-ФЗ).

Где разместить политику на сайте

Технические требования (закреплены практикой РКН):

1. Общедоступность — ссылка из footer на КАЖДОЙ странице сайта
2. HTML, не PDF — иначе бот РКН не сможет прочитать содержимое
3. Постоянный URL — типично /privacy/, /policy/, /politika-pdn/
4. Без авторизации — нельзя прятать за логином/платежной стеной
5. Метатег <title> релевантный — например «Политика обработки персональных данных — [ваш бренд]»
6. Дата последнего обновления — внизу политики, желательно с обновлённой версией при изменениях

Дополнительно — упоминание политики в формах сбора ПДн: «Отправляя форму, я соглашаюсь с Политикой обработки ПДн».

Образец политики обработки ПДн 2026

Ниже — типовой шаблон, сгенерированный RKN-AI. Замените плейсхолдеры [В КВАДРАТНЫХ СКОБКАХ] на свои данные.

ПОЛИТИКА
в отношении обработки персональных данных
[НАИМЕНОВАНИЕ ОПЕРАТОРА]

Утверждена приказом [должность руководителя] [НАИМЕНОВАНИЕ] от [ДАТА] № [НОМЕР]
Действует с [ДАТА ВСТУПЛЕНИЯ В СИЛУ]
Последняя редакция: [ДАТА]


1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика разработана в соответствии с Федеральным законом
от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет
порядок обработки персональных данных в [НАИМЕНОВАНИЕ ОПЕРАТОРА] (далее —
Оператор).

1.2. Оператор: [НАИМЕНОВАНИЕ ЮРЛИЦА/ИП], ИНН [ИНН], ОГРН [ОГРН],
адрес: [ЮРИДИЧЕСКИЙ АДРЕС].

1.3. Сайт Оператора: [URL САЙТА].


2. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор осуществляет обработку персональных данных для следующих целей:

2.1. Заключение, исполнение и прекращение договоров с клиентами и контрагентами.
2.2. Обработка обращений субъектов персональных данных через формы обратной
     связи на сайте.
2.3. Информирование о продуктах, услугах и акциях Оператора через рассылку
     по email (при наличии отдельного согласия).
2.4. Веб-аналитика и улучшение работы сайта.
2.5. Обеспечение информационной безопасности сайта.
2.6. Выполнение обязанностей, предусмотренных законодательством РФ.


3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

Оператор обрабатывает персональные данные на следующих основаниях:

3.1. Согласие субъекта персональных данных (ст. 6 ч. 1 п. 1 152-ФЗ) —
     для маркетинговой коммуникации и cookie-аналитики.

3.2. Необходимость исполнения договора, стороной которого является
     субъект (ст. 6 ч. 1 п. 5 152-ФЗ) — для договорных отношений с клиентами.

3.3. Осуществление прав и законных интересов Оператора (ст. 6 ч. 1 п. 6
     152-ФЗ) — для защиты от мошенничества и обеспечения работы сайта.


4. КАТЕГОРИИ СУБЪЕКТОВ И ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Посетители сайта:
     — IP-адрес, идентификаторы cookies, user-agent, технические параметры
       устройства.

4.2. Клиенты (физические лица):
     — фамилия, имя, отчество;
     — контактный телефон;
     — адрес электронной почты;
     — почтовый адрес доставки.

4.3. Клиенты (юридические лица — представители):
     — наименование организации, ИНН;
     — фамилия, имя, отчество представителя;
     — должность, контактный телефон, email.

4.4. Соискатели:
     — данные резюме, направленного через сайт.


5. СПОСОБЫ И СРОКИ ОБРАБОТКИ

5.1. Обработка персональных данных осуществляется как с использованием
     средств автоматизации, так и без таковых, включая: сбор, запись,
     систематизацию, накопление, хранение, уточнение, использование,
     передачу (предоставление, доступ), обезличивание, блокирование,
     удаление и уничтожение.

5.2. Сроки обработки:
     — для клиентов по договору: до прекращения договора и истечения срока
       исковой давности (3 года), если иное не предусмотрено законом;
     — для cookie-данных посетителей: до отзыва согласия или 12 месяцев
       с момента последнего визита;
     — для соискателей вакансий: до 3 месяцев с момента подачи резюме,
       если иное не согласовано с соискателем.

5.3. По истечении сроков персональные данные подлежат уничтожению или
     обезличиванию.


6. ПЕРЕЧЕНЬ ТРЕТЬИХ ЛИЦ

Оператор передаёт персональные данные следующим третьим лицам:

6.1. [НАИМЕНОВАНИЕ ПЛАТЁЖНОГО ПРОВАЙДЕРА] — для приёма платежей.
     Основание: договор на оказание платёжных услуг. Цель: исполнение
     обязанностей по приёму платежей.

6.2. [НАИМЕНОВАНИЕ CRM] — для хранения клиентских данных и истории заказов.
     Основание: договор поручения обработки персональных данных.
     Цель: сопровождение клиентских отношений.

6.3. ООО «Яндекс» — для целей веб-аналитики (Яндекс.Метрика).
     Основание: использование сервиса в соответствии с условиями ООО «Яндекс».
     Цель: анализ посещаемости и поведения пользователей на сайте.

6.4. [НАИМЕНОВАНИЕ ХОСТИНГ-ПРОВАЙДЕРА] — для размещения сайта на серверах.
     Серверы расположены на территории Российской Федерации.

6.5. Иные лица — по требованию государственных органов в порядке,
     установленном законодательством РФ.


7. МЕРЫ БЕЗОПАСНОСТИ

Оператор принимает следующие меры для защиты персональных данных:

7.1. Использование протокола HTTPS на сайте.
7.2. Ограничение доступа к персональным данным кругом сотрудников,
     которым доступ необходим для выполнения должностных обязанностей.
7.3. Регулярное обновление программного обеспечения и систем безопасности.
7.4. Резервное копирование данных и контроль целостности.
7.5. Обучение сотрудников требованиям 152-ФЗ.


8. ПРАВА СУБЪЕКТОВ ПДН

Субъекты персональных данных имеют право:

8.1. Получать информацию о факте обработки своих ПДн.
8.2. Знакомиться с обрабатываемыми персональными данными.
8.3. Требовать уточнения, блокирования или уничтожения ПДн.
8.4. Отзывать ранее данное согласие на обработку.
8.5. Обжаловать действия Оператора в Роскомнадзор или в суд.

Запросы направлять по адресу: [EMAIL ДЛЯ ЗАПРОСОВ].
Срок ответа: до 30 дней.


9. КОНТАКТНАЯ ИНФОРМАЦИЯ

9.1. Ответственный за организацию обработки персональных данных:
     [ФИО ОТВЕТСТВЕННОГО]
     Должность: [ДОЛЖНОСТЬ]
     Email: [EMAIL]
     Телефон: [ТЕЛЕФОН]
     Адрес для письменной корреспонденции: [АДРЕС]


10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

10.1. Настоящая Политика подлежит изменению в случае изменения
      законодательства РФ или внутренних процессов Оператора.

10.2. Актуальная редакция Политики всегда размещена по адресу:
      [URL СТРАНИЦЫ ПОЛИТИКИ].

10.3. Дата последнего обновления Политики: [ДАТА].

Получить заполненный шаблон под ваш сайт автоматически (4 990 ₽) — реквизиты из реестра по ИНН, категории ПДн из скана

Когда AI-шаблона недостаточно

Прямо и честно: RKN-AI закрывает 95% типичных случаев, но не заменяет юриста для следующих ситуаций:

1. Специальные категории ПДн — биометрия (банки, образование, мед), медицинские данные, политические взгляды, состояние здоровья, сведения о судимости. Требуют отдельной структуры политики и согласия в письменной форме (ст.10 152-ФЗ).
2. Работа с государственными системами — ЕСИА, ГИС, ГосЗакупки — повышенные требования к описанию мер безопасности и аттестации.
3. Крупный оператор — >100 000 субъектов ПДн или >50 сотрудников. Нужна полная документация, включая Положение об ответственном за обработку ПДн и регламент инцидентов.
4. Трансграничная передача в крупном объёме — за пределы РФ через несколько операторов. Каждая страна и каждый получатель — отдельное уведомление, юрист помогает сэкономить на отказах.
5. Споры и предписания РКН — когда уже пришло предписание, шаблон не поможет, нужен ответ от юриста с обоснованием по конкретному кейсу.

Для всех остальных случаев — типичный SaaS, e-commerce, корпоративный сайт, лендинг — AI-шаблон + 4 990 ₽ на автозаполнение из реестра дают тот же результат, что юр.услуга за 15-40 тыс ₽, но в 10 раз быстрее и без зависимости от расписания юриста.

Чем наш AI-шаблон точно лучше альтернатив

Перейти к генерации — данные подставляются автоматически из реестра по ИНН + результаты скана вашего сайта.

Связанные статьи

• Согласие на обработку ПДн — образец 2026
• Нужна ли политика на сайте без форм
• Можно ли скопировать политику с другого сайта
• Штраф за отсутствие политики конфиденциальности
• Реестр операторов ПДн — проверка по ИНН
• 14 типов нарушений 152-ФЗ