Разработка политики конфиденциальности для организации

Политика конфиденциальности — это не просто текст для галочки на сайте. Это обязательный для юридических лиц документ, который определяет, как компания собирает, хранит, обрабатывает персональные данные и кому их передаёт. Без этого документа организация нарушает требования 152-ФЗ и рискует столкнуться с претензиями от Роскомнадзора.

В этом руководстве разбираем, что именно нужно включить в политику, какие требования предъявляет закон, и как разработать документ, который отражает реальные процессы вашего бизнеса.

Что такое политика конфиденциальности для организации?

Политика конфиденциальности — это документ, в котором оператор персональных данных (ваша организация) объясняет посетителям сайта и клиентам, какие данные вы собираете, для чего, на каком основании и что с ними происходит дальше. По сути, это контракт прозрачности между компанией и теми, чьи данные она обрабатывает.

Для юридических лиц разработка такой политики — требование закона, а не рекомендация, поэтому политика конфиденциальности для юридических лиц должна быть на сайте каждой организации. Отсутствие документа или его несоответствие 152-ФЗ может привести к претензиям от Роскомнадзора. Но важнее другое: политика должна отражать то, что на самом деле происходит в вашей компании. Если в документе написано одно, а вы делаете другое, это не только нарушение закона, но и риск для репутации.

Мы видим, что многие организации используют готовые шаблоны и не подстраивают их под свои процессы. Результат — документ не защищает бизнес, а создаёт новые вопросы при проверке.

Требования 152-ФЗ при разработке политики

Федеральный закон от 27.07.2006 N 152-ФЗ «О защите персональных данных» не даёт жёсткого единого формата для политики, но устанавливает обязательный минимум информации, которая там должна быть.

В политике нужно указать: наименование оператора и способ его контактирования (ФИО для ИП, название и юридический адрес для ООО); цели обработки персональных данных — что именно вы с ними делаете; правовое основание для каждой цели — на каком законном основании это происходит; категории собираемых данных — что вы собираете (ФИО, телефон, email, IP-адрес, cookies и т. д.); источники данных — откуда они поступают; способы обработки — что именно вы делаете; сроки хранения — как долго вы держите данные; третьи лица, которым передаются данные, и для чего; права субъектов персональных данных; способ реализации этих прав.

Рекомендации Роскомнадзора указывают, что политика должна быть написана ясно, без излишнего юридического жаргона, чтобы обычный человек понял, что происходит с его данными. Это не просто требование закона, это защита вашей организации: если вы ясно объясняете процессы, у людей меньше поводов для претензий, и меньше оснований для проверяющих заметить нарушения.

Структура политики: из чего она состоит

Единого официального шаблона политики конфиденциальности не существует. Закон требует определённой информации, но форма может быть разной. Однако есть логичная структура, которую признают как операторы, так и проверяющие.

Обычно политика состоит из таких разделов:

Общие положения — вводная часть, где вы представляетесь, указываете реквизиты организации, определяете используемые в документе термины.

Цели и основания обработки — развёрнутый список того, почему вы собираете данные. Это может быть: выполнение договора (продажа), маркетинг, аналитика, кадровая работа, статистика, безопасность.

Категории данных — что конкретно вы собираете. Список зависит от вашего бизнеса. Для интернет-магазина это ФИО, адрес, телефон, данные банковской карты. Для сайта с формой подписки — только email и имя. Для работодателя — ещё ИНН, СНИЛСы, медицинские сведения.

Источники данных — откуда вы их берёте. Людей просите заполнить форму? Это источник — сам субъект. Собираете cookies? Это технический источник. Получаете данные от партнёров, рекламных сетей, социальных сетей? Указываете их.

Способы и сроки обработки — как долго хранить каждый вид данных. Обычно это привязано к целям: пока действует договор, потом ещё 3–5 лет для налогового учёта, потом удалить.

Передача третьим лицам — если вы что-то передаёте: хостеру, рекламной сети, платёжной системе, юристам, бухгалтеру, указываете кому и для чего.

Права субъектов — люди могут требовать: дать им данные, исправить неточности, удалить информацию (право быть забытым), отозвать согласие.

Способ реализации прав — как им это сделать. Адрес, почта, форма на сайте, телефон.

Защита данных — как вы их защищаете: шифрование, ограничение доступа, антивирусы, обучение персонала.

Главное — не копировать чужую политику слово в слово. Она должна описывать именно ваш процесс, ваши системы, ваших партнёров. Это защищает вас при проверке и демонстрирует добросовестность перед регуляторами.

Пошаговый процесс разработки политики

Шаг 1. Аудит процессов в своей компании

Перед тем как писать политику, нужно понять, что реально происходит. Где вы собираете данные? На сайте (формы, cookies, аналитика)? В приложении? При продаже офлайн, но вводите в систему? Какие системы используете (CRM, Google Analytics, Яндекс.Метрика, платёжные системы)? Какие данные туда попадают? Кому из сотрудников есть доступ? Что вы отправляете хостеру, рекламной сети, курьеру? Без такого аудита политика станет фантастическим документом, не связанным с вашим бизнесом.

Шаг 2. Определите правовые основания для каждой цели

152-ФЗ требует не просто целей, а оснований. Вот основные: согласие субъекта (человек сам согласился через галочку, форму); выполнение договора (данные нужны, чтобы исполнить услугу или продать товар); соблюдение закона (обязывает налоговый кодекс, трудовое право, 152-ФЗ); защита интересов оператора (например, сведения о недобросовестных клиентах в стоп-листе); выполнение функций органа власти (если вы работаете с гос. структурами).

Для каждой цели в политике указывается своё основание. Маркетинг — основание согласие. Отправка счёта — выполнение договора. Хранение налоговых документов — соблюдение закона.

Шаг 3. Определите категории и объём данных

Не надо собирать больше, чем нужно. Если вам для доставки товара нужны ФИО, адрес и телефон — не просите email, паспортные данные и соцсети. Но будьте честны в политике — если вы их всё-таки собираете (через cookies, ID браузера, IP), напишите об этом.

Шаг 4. Установите сроки хранения

Операционные данные (заказы, кредиты) хранят до исполнения плюс срок по налоговому кодексу (обычно 3–5 лет). Технические данные (cookies, logs) — дней 30–90. Маркетинг, если человек отписался, — немедленно. Данные для судебного спора — весь период и ещё 3 года после его окончания.

Шаг 5. Опишите защиту данных

Что вы делаете, чтобы их не украли? Шифрование в транспортировке (HTTPS), в хранилище (БД с паролями). Ограничение доступа по должностям. Обучение персонала. Запреты на копирование на флешки. Договоры с подрядчиками. Резервные копии. Процедуры при подозрении на утечку.

Шаг 6. Напишите текст в соответствии с аудитом

Используйте простой язык. Избегайте лишнего юридического жаргона. Человек должен понять, что происходит с его данными, прочитав документ в спокойном темпе.

Шаг 7. Разместите на сайте и убедитесь в доступности

Политика должна быть легко найти. Обычно ссылка в подвале сайта, отдельная страница. На мобильной версии тоже должна быть видна и читаемая.

Когда и как обновлять политику

Политика — это живой документ. Если что-то меняется в вашем бизнесе, нужно обновить и политику. Обновлять требуется, если: изменилось законодательство (внесены поправки в 152-ФЗ или другие законы); вы начали использовать новую систему (например, внедрили CRM или новую платформу для обработки данных); изменилась цель обработки (захотели начать маркетинг, когда раньше его не было); появились новые партнёры или третьи лица (подключили новую платёжную систему, рекламную сеть); расширили или сузили категории собираемых данных; изменились сроки хранения.

Даже небольшие правки требуют новой версии политики. Рекомендуем указывать дату последнего обновления в верхней части документа, чтобы была ясность. Так проверяющие видят, что вы отслеживаете изменения и ответственно относитесь к документу.

Типичные ошибки при разработке политики

Ошибка 1: Копируют чужую политику целиком. Результат — документ не отражает реальные процессы вашей компании. При проверке Роскомнадзор видит, что вы обещаете одно, а делаете другое. Часто копируют политику конкурента или скачивают случайный шаблон, не вникая в содержание.

Ошибка 2: Пишут слишком сложно. Политика написана таким юридическим языком, что обычный человек не понимает, что происходит с его данными. Это не только нарушает букву закона (требование понятности), но и раздражает пользователей и может создать недоверие.

Ошибка 3: Забывают про cookies и аналитику. На сайте есть Google Analytics, Яндекс.Метрика, cookies рекламных сетей, но в политике про них ни слова. Это серьёзное нарушение, которое легко выявить при проверке.

Ошибка 4: Не указывают сроки хранения. Пишут, что собирают данные, но молчат, когда их удалят. Закон требует указать сроки — это опорная точка как для вас, так и для субъектов данных.

Ошибка 5: Не упоминают третьих лиц. Вы передаёте данные хостеру, платёжной системе, курьеру — но об этом ни слова в политике. Люди не знают, кому передаются их данные, и это нарушение требования прозрачности.

Ошибка 6: Не предусматривают способ реализации прав. Пишут, что люди могут запросить свои данные или удалить их, но в политике не сказано, как это сделать. К кому обращаться? На какой адрес? По какой форме? Без этого право становится фиктивным.

Разработка политики — начало соблюдения 152-ФЗ

Политика конфиденциальности для организации — это не формальность, а инструмент защиты бизнеса и уважения к людям, чьи данные вы обрабатываете. Правильно разработанный документ отражает реальные процессы, соответствует требованиям закона и помогает при проверках.

Если вы не знаете, с чего начать или чувствуете неуверенность в полноте документа, есть смысл обратиться к специалистам. Разработка пакета документов включает проверку ваших процессов, подбор нужных документов и подготовку политики под ключ. Так вы будете уверены, что документ защищает вас, а не создаёт новые вопросы.

Подробнее по теме: Документы для сайта по 152-ФЗ — разработка | Роском 24, Аудит персональных данных по 152-ФЗ | Роском 24.