В 2024 году средний штраф за некорректное оформление документов по персональным данным для юрлиц может достигать 700 000 рублей при повторном нарушении, а Роскомнадзор перешел к точечному анализу соответствия целей обработки конкретным действиям на сайте. Ошибка в разграничении политики конфиденциальности и политики обработки данных теперь стоит не простого предписания, а реальных финансовых потерь и риска блокировки ресурса.
Фундаментальный разрыв: для кого пишутся документы
Политика конфиденциальности — это внешний, публичный документ (Privacy Policy), который сообщает пользователю, как компания бережет его тайны. Политика обработки персональных данных (ППД) — это внутренний регламент, который детально описывает технические и организационные меры защиты данных согласно ст. 18.1 ФЗ-152. Ошибка многих владельцев сайтов в том, что они пытаются объединить их, что приводит к избыточности данных для клиента и недостаточности для проверяющего.
Кейс: Интернет-магазин с оборотом 50 млн руб./год объединил документы. При проверке РКН выявил отсутствие описания мер по уничтожению данных (требование к ППД), что привело к штрафу в 60 000 руб. Хотя в «Политике конфиденциальности» было написано «мы удаляем данные по запросу», этого недостаточно для выполнения норм закона о внутреннем регламенте.
Экспертный вывод: Политика конфиденциальности — это маркетинг безопасности и уведомление, а политика обработки данных — это технический паспорт ваших процессов. Смешивать их опасно.
Критические отличия в составе реквизитов 2024
В 2024 году акцент сместился на детализацию. В политике конфиденциальности достаточно перечислить категории данных (например, «email, телефон») и цели (например, «для обратной связи»). В ППД должны быть прописаны конкретные сроки хранения для каждой категории данных и методы их уничтожения (например, «удаление из БД через 3 года после последнего заказа»).
Разница в деталях: если в публичном документе вы пишете «мы используем cookies», то в ППД вы обязаны указать, какой именно софт (например, Яндекс.Метрика или Google Analytics) осуществляет сбор и куда передаются логи. Различия в составе реквизитов определяют, пройдет ли сайт проверку по критериям ФЗ-152.
Экспертный вывод: Отсутствие в ППД конкретных сроков хранения данных — самая частая причина предписаний в этом году. Используйте жесткие временные интервалы (например, 5 лет для бухгалтерских документов), а не размытые формулировки «до достижения целей обработки».
Трансграничная передача и новые требования РКН
С 2023-2024 гг. правила трансграничной передачи данных ужесточились: теперь необходимо уведомлять Роскомнадзор до начала передачи. Это требование напрямую влияет на содержание ППД. В политике конфиденциальности вы просто уведомляете пользователя о факте передачи данных зарубежному провайдеру (например, в облако AWS или Mailchimp), а в ППД фиксируете правовой статус страны-получателя и номер уведомления в РКН.
Пример: SaaS-платформа использует зарубежный CRM-сервис. В публичной политике написано: «Данные могут храниться на серверах партнеров». Для РКН это нарушение. В ППД должна быть запись: «Передача осуществляется в юрисдикцию [Страна], обеспечивающую адекватную защиту, уведомление №ХХХ от дата».
Экспертный вывод: Если ваш сайт использует любой иностранный скрипт или сервис, политика обработки данных должна содержать детальный реестр трансграничных потоков, иначе риск штрафа возрастает на 40-60% при любой проверке.
Риски объединения документов в один файл
Многие выбирают путь наименьшего сопротивления, создавая один документ «Политика конфиденциальности и обработки данных». Это создает юридический конфликт: вы раскрываете внутренние инструкции по безопасности (которые должны быть в ППД) широкому кругу лиц, что может быть использовано злоумышленниками для поиска уязвимостей в вашей системе защиты.
Сравнение подходов: Вариант А (разные документы) — чистый интерфейс для клиента и полный комплаенс для РКН. Вариант Б (один документ) — риск перегрузить пользователя текстом на 15 страниц, что снижает конверсию в регистрацию на 2-3%, и риск получить штраф за неполноту одного из компонентов. Риски объединения политики конфиденциальности и политики обработки данных в один документ часто недооцениваются, пока не приходит запрос из надзорного органа.
Экспертный вывод: Разделяйте документы. Ссылку на ППД можно дать в футере или внутри политики конфиденциальности, но физически это должны быть разные страницы с разными целями.
Вывод
Мой вердикт: в 2024 году стратегия «один документ на всё» официально мертва. Для любого коммерческого сайта обязателен тандеум: лаконичная Политика конфиденциальности для пользователя и детальная Политика обработки персональных данных для регулятора. Начните с аудита ППД на предмет наличия конкретных сроков хранения и реестра трансграничной передачи. Избегайте шаблонных конструкторов за 500 рублей — они не учитывают специфику ваших бизнес-процессов и гарантированно приведут к штрафам при первой же проверке РКН.
