Генератор политики конфиденциальности: чем шаблон отличается от документа под ваш бизнес
«Зачем платить, если есть бесплатные генераторы?» Вопрос честный, и отвечу на него без рекламы. Генератор берет на себя самую трудную для новичка часть, структуру и формулировки. Но соответствие 152-ФЗ проверяют по тому, совпадает ли текст с вашим сайтом, а сайт генератор не видел. К тому же в шаблонах, написанных до 26 июля 2026 года, устарели формулировки о передаче данных за рубеж.
Что генератор делает хорошо
Онлайн-генератор берет на себя структуру и типовые формулировки, а новичку они даются тяжелее всего. Он знает, что в документе должны быть данные оператора, категории данных, цели, основания, сроки, права субъекта и порядок отзыва согласия. Перечень обязательных разделов есть в отдельной статье «Политика конфиденциальности для сайта».
Пишет генератор нормально, но он не видел ни ваших форм, ни счетчиков, ни хостинга. А проверяющий сравнивает политику именно с ними.
Четыре поля, которые нельзя заполнить «по умолчанию»
Каждое из них можно проверить снаружи, просто открыв сайт.
| Поле | Что ставит шаблон | Чем проверяется |
|---|---|---|
| Категории данных | Универсальный список из ФИО, почты и телефона | Полями ваших форм. Если собираете дату рождения или адрес доставки, а в политике их нет, это расхождение |
| Цели обработки | «Исполнение договора, информирование» | Рассылкой и ретаргетингом. Если есть подписка, нужна цель «маркетинг» и отдельное согласие на нее |
| Правовые основания | Одно основание на все случаи, «согласие субъекта» | Тем, как идет обработка. Заявка на сайте подпадает под п. 5 ч. 1 ст. 6 (договор по инициативе субъекта), рассылка под п. 1 (согласие), бухгалтерия под п. 2 (обязанность по закону) |
| Трансграничная передача | Ничего или устаревшая формулировка | Составом трекеров на странице. Если подключен хотя бы один зарубежный скрипт, передача уже идет |
Формулировки о передаче за рубеж устарели 26 июля 2026 года
Раньше страна считалась обеспечивающей адекватную защиту, если участвовала в Конвенции Совета Европы № 108, и шаблоны политик ссылались именно на это.
ФЗ-265 от 26.07.2026 убрал участие в Конвенции из критериев. С этого дня адекватность защиты определяет только перечень Роскомнадзора.
В октябре 2026 года перечень обновили. Приказ РКН от 16.09.2026 № 253 опубликован 19 октября и заменяет приказ № 128. Даты вступления в силу в самом приказе нет, поэтому он действует через десять дней после опубликования, с 30 октября. В новом перечне 88 государств одним списком, без деления на участников Конвенции и остальных. Исключили Украину, остальные страны остались, в том числе государства ЕС, Великобритания, Китай, Индия, Канада, Япония, Израиль, Беларусь и Казахстан.
Google Analytics, Google Fonts, Meta-пиксель, Zoom, Dropbox и Notion передают данные в страну вне перечня, поэтому начинать передачу сразу нельзя. Уведомление в РКН подают до начала передачи, а в страну вне перечня данные можно передавать только после того, как истекут 10 рабочих дней на рассмотрение уведомления. Разрешения Роскомнадзор не выдает, но в этот срок может запретить или ограничить передачу. В страны из перечня передачу можно начинать сразу после подачи уведомления.
Если в вашей политике написано, что данные передаются в страны, участвующие в Конвенции 108, документ ссылается на критерий, которого в законе больше нет. Само по себе это не катастрофа, но видно, что документ давно не обновляли. После такого проверяющий читает остальные разделы внимательнее.
Три ошибки, которые повторяют генераторы
1. Согласие внутри политики
С 1 сентября 2025 года действует ФЗ-156. Согласие на обработку персональных данных оформляют отдельно от иных информации и документов (ч. 1 ст. 9 152-ФЗ), его нельзя включать в политику, договор, оферту или пользовательское соглашение. Если форме на сайте нужна галочка согласия, она должна быть отдельной, без объединения с «принимаю условия» или ознакомлением с политикой. Для заявки и заказа галочка не нужна совсем, хватит строки со ссылкой на политику (п. 5 ч. 1 ст. 6 152-ФЗ). Согласие на рассылку оформляют отдельной добровольной галочкой.
Генератор, который выдает политику и согласие одним документом, формально создает нарушение. Требования к самому согласию описаны в статье «Согласие на обработку персональных данных».
2. «Получено разрешение Роскомнадзора»
Такая формулировка встречается в шаблонах неожиданно часто, хотя описывает режим, которого нет. Порядок трансграничной передачи уведомительный. РКН может запретить или ограничить передачу, но разрешений не выдает. Писать в публичном документе о разрешении, которого не бывает, хуже, чем не писать ничего.
3. Ничего о локализации
С 1 июля 2025 года действует ФЗ-23. При сборе данных граждан РФ записывать и хранить их в базах за рубежом нельзя (ч. 5 ст. 18). Записывать данные в российские базы требовалось и раньше, а с этой даты закон прямо запрещает использовать при сборе зарубежные. Если формы сайта отправляют заявки сразу в иностранный сервис, это нарушение, что бы ни было написано в политике.
Как проверить свою политику за десять минут
Сам я сверяю политику с сайтом в таком порядке:
- Откройте все формы на сайте и выпишите поля. Каждое поле должно найтись в перечне категорий политики.
- Если есть подписка или рассылка, в политике нужна цель «маркетинг», а на форме отдельная галочка согласия.
- Посмотрите в исходном коде страницы сторонние скрипты. Каждый сервис аналитики и рекламы назовите в разделе о передаче третьим лицам.
- Найдите среди них зарубежные. Если они есть, в политике нужен раздел о трансграничной передаче, а в РКН отдельное уведомление о ней.
- Проверьте реквизиты, ИНН и наименование должны быть ваши. Чужой ИНН в скачанном шаблоне встречается часто, и его видно снаружи.
- Сверьте сроки хранения в политике с тем, как долго вы храните данные. «Бессрочно» сроком не считается.
- Проверьте, что порядок отзыва согласия работает. Письмо на указанный адрес должно доходить, и на него должны отвечать.
За что штрафуют, если политика есть
Многие думают, что раз политика опубликована, по этой части претензий не будет. Но отсутствие политики и ее несоответствие сайту квалифицируют по-разному, и второе обходится дороже.
| Основание | Самозанятый | ИП | Организация |
|---|---|---|---|
| Политика не опубликована ст. 13.11 ч. 3 КоАП |
1500-3000 ₽ | 10 000-20 000 ₽ | 30 000-60 000 ₽ |
| Обработка без законного основания ст. 13.11 ч. 1 КоАП |
10 000-15 000 ₽ | 50 000-100 000 ₽ | 150 000-300 000 ₽ |
Суммы приведены по ст. 13.11 КоАП в редакции ФЗ-420, которая действует с 30 мая 2025 года. Опубликованная политика закрывает только ч. 3, самую дешевую. Если согласие собрано неправильно, например одной галочкой на все, заранее поставленной галочкой или без отдельного согласия на рассылку, у рассылки и счетчиков нет законного основания. Это уже ч. 1, и суммы там в пять раз выше. Полная таблица оснований есть в статье «Штрафы за нарушение 152-ФЗ».
Когда генератора достаточно, а когда нет
Ответ зависит от того, что подключено к сайту.
- Генератора достаточно, если у вас одна форма обратной связи, нет рассылки, рекламных пикселей и зарубежных сервисов, а данные лежат на российском хостинге. Такому сайту хватит типового текста с вашими реквизитами.
- Генератора не хватит, если есть рассылка, ретаргетинг, оплата на сайте, зарубежная аналитика, данные о здоровье или о несовершеннолетних либо сотрудники. Каждый такой пункт добавляет цель, основание и срок хранения, а часть из них требует внутренних документов, которых в политике нет совсем.
Даже на простом сайте политика остается только публичной частью комплекта. При проверке Роскомнадзор запрашивает и внутренние документы, например приказ о назначении ответственного, положение о защите ПДн, перечень обрабатываемых данных и акт уничтожения. Генератор политики их не выдает, они не про сайт.
Проверьте, совпадает ли политика с вашим сайтом
Бесплатный аудит смотрит на сайт снаружи, как проверяющий. Он ищет политику, счетчики, зарубежные сервисы и отдельное согласие. Первые находки видны сразу.
Проверить сайт бесплатноЧасто задаваемые вопросы
Можно, и для простого сайта этого достаточно, если на нем одна форма обратной связи, нет рассылки, рекламных пикселей и зарубежных сервисов, а хостинг российский. Как только появляются рассылка, ретаргетинг, оплата на сайте или зарубежная аналитика, типовой текст перестает совпадать с сайтом, а проверяют именно совпадение.
Четыре поля. Это категории данных, которые зависят от полей ваших форм, цели обработки, правовые основания по ч. 1 ст. 6 152-ФЗ для каждой категории и раздел о трансграничной передаче, который зависит от трекеров на сайте. Все четыре можно проверить снаружи, без доступа к внутренним документам.
ФЗ-265 от 26.07.2026 убрал участие страны в Конвенции Совета Европы № 108 из критериев адекватной защиты. Адекватность определяет только перечень Роскомнадзора. С 30.10.2026 действует перечень по приказу РКН от 16.09.2026 № 253, в нем 88 государств, Украину исключили. США в перечень не входят, поэтому Google Analytics, Meta-пиксель и похожие сервисы означают передачу в страну вне перечня.
Нет, политика закрывает только самое дешевое основание, ч. 3 ст. 13.11 КоАП. Это 10 000-20 000 ₽ для ИП и 30 000-60 000 ₽ для организации. Если при этом счетчики работают без согласия или рассылка идет без отдельной галочки, это обработка без законного основания по ч. 1 той же статьи. За нее ИП платит 50 000-100 000 ₽, организация 150 000-300 000 ₽.
Нет. Политика составляет только публичную часть комплекта. При проверке Роскомнадзор запрашивает внутренние документы, например приказ о назначении ответственного за обработку, положение о защите персональных данных, перечень обрабатываемых данных и акт уничтожения. Генераторы политики их не создают, потому что они относятся к внутреннему контуру оператора, а не к сайту.