Генератор политики конфиденциальности: чем шаблон отличается от документа под ваш бизнес
«Зачем платить, если есть бесплатные генераторы» — вопрос честный, и отвечу на него без рекламы. Генератор действительно закрывает самую трудоёмкую для новичка часть: структуру и формулировки. Но соответствие 152-ФЗ проверяется не по качеству текста, а по совпадению текста с реальностью вашего сайта — а её генератор не видел. Разбираю, что именно он заполнить не может, какие формулировки шаблонов устарели 26 июля 2026 года, и как за десять минут проверить документ, который у вас уже стоит.
Что генератор действительно делает — и это не мало
Начну с честного: онлайн-генератор закрывает ту часть работы, которая новичку даётся тяжелее всего — структуру и юридические формулировки. Он знает, что в документе должны быть данные оператора, категории данных, цели, основания, сроки, права субъекта и порядок отзыва согласия. Перечень обязательных разделов разобран отдельно в статье «Политика конфиденциальности для сайта».
Проблема не в том, что генератор пишет плохо. Проблема в том, что соответствие 152-ФЗ проверяется не по качеству текста, а по совпадению текста с реальностью вашего сайта. Ровно этого генератор знать не может — он не видел ни ваших форм, ни ваших счётчиков, ни вашего хостинга.
Четыре поля, которые нельзя заполнить «по умолчанию»
Каждое из них проверяется снаружи, без доступа к вашей внутренней документации — достаточно открыть сайт.
| Поле | Что ставит шаблон | Чем проверяется |
|---|---|---|
| Категории данных | Универсальный список: ФИО, email, телефон | Полями ваших форм. Собираете дату рождения или адрес доставки, а в политике их нет — расхождение |
| Цели обработки | «Исполнение договора, информирование» | Наличием рассылки и ретаргетинга. Есть подписка — нужна цель «маркетинг», и отдельное согласие на неё |
| Правовые основания | Одно на всё — «согласие субъекта» | Логикой обработки: заявка на сайте — это ст. 6 ч. 1 п. 5 (запрос субъекта), рассылка — п. 1 (согласие), бухгалтерия — п. 2 (закон) |
| Трансграничная передача | Либо ничего, либо устаревшая формулировка | Составом трекеров на странице. Один зарубежный скрипт — и передача уже происходит |
Трансграничная передача: формулировки шаблонов устарели 26 июля 2026
Это самое свежее и самое недооценённое расхождение. До недавнего времени страна считалась обеспечивающей адекватную защиту, если она сторона Конвенции Совета Европы № 108 — и шаблоны политик ссылались именно на это.
ФЗ-265 от 26.07.2026 убрал участие в Конвенции как критерий. Теперь адекватность определяется исключительно перечнем Роскомнадзора — действует Приказ РКН № 128 от 05.08.2022, в нём 89 государств (55 сторон Конвенции и 34 прочих — Китай, Индия, Канада, Япония, Израиль, Беларусь, Казахстан и другие).
Google Analytics, Google Fonts, Meta-пиксель, Zoom, Dropbox, Notion — передача данных в страну вне перечня. Значит начинать её можно не сразу: уведомление в РКН подаётся до начала передачи, и по странам вне перечня нужно дождаться решения (срок рассмотрения — 10 рабочих дней). В страны из перечня передачу можно начинать сразу после подачи уведомления.
Практический вывод: если в вашей политике написано, что данные передаются в страны — участники Конвенции 108, документ ссылается на критерий, которого в законе больше нет. Это не смертельно само по себе, но показывает, что документ не обновлялся, — а дальше проверяющий смотрит остальные разделы уже внимательнее.
Три ошибки, которые генераторы воспроизводят системно
1. Согласие внутри политики
ФЗ-156 действует с 1 сентября 2025 года: согласие на обработку персональных данных — отдельный документ, его нельзя включать в состав политики, договора, оферты или пользовательского соглашения. На сайте это означает, что чекбокс «принимаю условия» и чекбокс согласия на обработку данных — два разных чекбокса, объединять их нельзя. Согласие на рассылку — третье, тоже отдельное и добровольное.
Генератор, который выдаёт «политику с согласием одним документом», формально создаёт нарушение. Требования к самому согласию — в статье «Согласие на обработку персональных данных».
2. «Получено разрешение Роскомнадзора»
Такой формулировки в шаблонах встречается неожиданно много — и она описывает режим, которого не существует. Порядок трансграничной передачи уведомительный, а не разрешительный: РКН может запретить или ограничить передачу, но разрешений не выдаёт. Утверждать в публичном документе наличие несуществующего разрешения — хуже, чем не писать ничего.
3. Молчание про локализацию
ФЗ-23 действует с 1 июля 2025 года: первичная запись персональных данных граждан РФ должна происходить в базах на территории России. Раньше допускалась схема «пишем в зарубежное облако, потом синхронизируем в РФ» — теперь нет. Если формы сайта складывают заявки сразу в иностранный сервис, нарушение возникает независимо от того, что написано в политике.
Как проверить свою политику за десять минут
Порядок сверки, который использую сам. Проверяется именно совпадение документа с сайтом, а не красота текста:
- Откройте все формы на сайте и выпишите поля. Каждое поле должно найтись в перечне категорий политики.
- Есть подписка или рассылка — в политике должна быть цель «маркетинг» плюс отдельное согласие с отдельным чекбоксом.
- Посмотрите исходный код страницы на сторонние скрипты. Каждый сервис аналитики и рекламы должен быть назван в разделе о передаче третьим лицам.
- Найдите среди них зарубежные. Если есть — в политике нужен раздел о трансграничной передаче, а в РКН — отдельное уведомление о ней.
- Проверьте реквизиты: ИНН и наименование должны быть ваши. Чужой ИНН в скачанном шаблоне — частая и заметная снаружи ошибка.
- Сверьте сроки хранения с тем, что реально делаете. «Бессрочно» — не срок.
- Проверьте, что описанный порядок отзыва согласия действительно работает: письмо на указанный адрес доходит и на него отвечают.
Что грозит: важный нюанс про то, за что штрафуют
Распространённое заблуждение — «политика есть, значит по этой части претензий не будет». Отсутствие опубликованной политики и её несоответствие реальности квалифицируются по-разному, и вторая часть дороже.
| Основание | Самозанятый | ИП | Организация |
|---|---|---|---|
| Политика не опубликована ст. 13.11 ч. 3 КоАП |
1 500–3 000 ₽ | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
| Обработка без надлежащего согласия ст. 13.11 ч. 2 КоАП |
10 000–15 000 ₽ | 100 000–300 000 ₽ | 300 000–700 000 ₽ |
Суммы приведены по ст. 13.11 КоАП в редакции ФЗ-420 (действует с 30 мая 2025 года). Разница принципиальная: формально размещённая политика закрывает часть 3 — самую дешёвую. Но если согласие собрано ненадлежащим образом (одним чекбоксом на всё, предустановленной галочкой, без отдельного согласия на рассылку), это уже часть 2, и для ИП порядок сумм другой. Полная таблица оснований — в разборе «Штрафы за нарушение 152-ФЗ».
Когда генератора достаточно, а когда нет
Без иллюзий в обе стороны:
- Генератора достаточно, если у вас одна форма обратной связи, нет рассылки, нет рекламных пикселей, нет зарубежных сервисов, а данные лежат на российском хостинге. Такой сайт закрывается типовым текстом с подставленными реквизитами.
- Генератора не хватит, если есть хотя бы одно из: рассылка, ретаргетинг, оплата на сайте, зарубежная аналитика, данные о здоровье или несовершеннолетних, сотрудники. Каждый пункт добавляет цель, основание, срок хранения — а часть требует отдельных документов внутреннего контура, которых в политике нет вообще.
И третий случай, о котором забывают: политика — это публичная часть комплекта. Роскомнадзор при проверке запрашивает внутренние документы — приказ о назначении ответственного, положение о защите ПДн, перечень обрабатываемых данных, акт уничтожения. Ни один генератор политики их не выдаёт, потому что они не про сайт.
Проверьте, совпадает ли политика с вашим сайтом
Бесплатный аудит смотрит на сайт снаружи, как проверяющий: найдена ли политика, совпадает ли перечень трекеров с заявленным, есть ли зарубежные сервисы и отдельное согласие. Отчёт приходит на email.
Проверить сайт бесплатноЧасто задаваемые вопросы
Можно, и для простого сайта этого достаточно: одна форма обратной связи, без рассылки, без рекламных пикселей, без зарубежных сервисов, российский хостинг. Как только появляется рассылка, ретаргетинг, оплата на сайте или зарубежная аналитика, типовой текст перестаёт совпадать с реальностью — а проверяется именно совпадение.
Четыре поля: конкретные категории данных (зависят от полей ваших форм), цели обработки, правовые основания по ст. 6 ч. 1 152-ФЗ для каждой категории отдельно и раздел о трансграничной передаче (зависит от состава трекеров на сайте). Все четыре проверяются снаружи, без доступа к внутренним документам.
ФЗ-265 от 26.07.2026 убрал участие страны в Конвенции Совета Европы № 108 как критерий адекватной защиты. Теперь адекватность определяется только перечнем Роскомнадзора — Приказ № 128 от 05.08.2022, 89 государств. США в перечень не входят, поэтому Google Analytics, Meta-пиксель и подобные сервисы означают передачу в страну вне перечня.
Нет, это закрывает только самое дешёвое основание — ст. 13.11 ч. 3 КоАП: 10 000–20 000 ₽ для ИП, 30 000–60 000 ₽ для организации. Если согласие при этом собрано ненадлежащим образом, применяется ч. 2 той же статьи: 100 000–300 000 ₽ для ИП и 300 000–700 000 ₽ для организации.
Нет. Политика — публичная часть комплекта. При проверке Роскомнадзор запрашивает внутренние документы: приказ о назначении ответственного за обработку, положение о защите персональных данных, перечень обрабатываемых данных, акт уничтожения. Генераторы политики их не создают, потому что они относятся не к сайту, а к внутреннему контуру оператора.