До 70% штрафов Роскомнадзора (РКН) за работу с данными связаны не с самой утечкой, а с отсутствием или формальным заполнением локальных актов. В 2023-2024 годах регулятор перешел от массовых рассылок уведомлений к точечным проверкам, где отсутствие именно Политики обработки персональных данных становится фатальным триггером для штрафа по ч. 1 ст. 13.11 КоАП РФ.
Ловушка терминологии: почему «Политика конфиденциальности» не работает
Многие владельцы сайтов ошибочно полагают, что Policy (Политика конфиденциальности) — это универсальный документ. С точки зрения ФЗ-152, Политика конфиденциальности является декларативным документом, который сообщает пользователю о его правах. Однако ст. 18.1 ФЗ-152 прямо обязывает оператора опубликовать документ, определяющий его политику в отношении обработки персональных данных. Это разные юридические сущности.
Кейс: Интернет-магазин с оборотом 50 млн руб./год имел детальную Политику конфиденциальности на 10 страниц, но не имел документа, описывающего конкретные действия по обработке (сбор, хранение, уничтожение). Итог: предписание РКН и штраф от 60 000 до 100 000 рублей за нарушение требований к локализации и документированию процессов.
Экспертный вывод: Политика конфиденциальности — это «лицо» для клиента, а Политика обработки персональных данных — это «инструкция» для проверяющего. Игнорирование второго документа — прямой путь к административному делу.
Статистика нарушений: за что бьют чаще
Анализ практики РКН показывает, что в 85% случаев при проверке малого и среднего бизнеса выявляется отсутствие четкого разделения целей обработки. Когда компания использует один общий текст, она неизбежно допускает ошибку в формулировках. Например, объединение целей «маркетинга» и «исполнения договора» в одном абзаце делает согласие пользователя ненадлежащим (не конкретным и не сознательным).
Риски объединения политики конфиденциальности и политики обработки данных в один документ заключаются в том, что регулятор трактует такой гибрид как «несоответствие требованиям ст. 18.1», так как документ не содержит всех обязательных элементов (сроков хранения, способов уничтожения, перечня действий). Штрафы за это в 2024 году для юрлиц начинаются от 60 000 рублей за каждый выявленный эпизод.
Экспертный вывод: Разделение документов снижает риск признания согласия недействительным, что защищает бизнес от многократных штрафов за каждого обработанного пользователя.
Критические разрывы в реквизитах документов
Практика показывает, что главная ошибка — копирование структуры одного документа в другой. В Политике конфиденциальности достаточно указать общие принципы и права субъекта. В Политике обработки данных должны быть жесткие технические параметры: конкретные сроки хранения (например, «5 лет с момента расторжения договора») и методы уничтожения (например, «затирание данных в БД или шредер для бумажных носителей»).
Мини-кейс: Сервис по подбору персонала использовал общие фразы «данные хранятся в течение необходимого времени». РКН признал это нарушением, так как срок обработки не определен конкретно. Результат: предписание об устранении нарушений в течение 15 рабочих дней под угрозой блокировки ресурса.
Экспертный вывод: Различия в составе реквизитов определяют юридическую силу документа. Если в тексте нет конкретных сроков и методов — документ считается формальным и не существующим с точки зрения закона.
Стратегия защиты: как выстроить архитектуру документов
Оптимальная схема для сайта в 2024 году: короткая, понятная Политика конфиденциальности (для UX и доверия), которая ссылается на подробную Политику обработки персональных данных (для РКН). Это позволяет избежать перегруза интерфейса и одновременно закрыть требования законодательства. Стоимость разработки такого тандема документов у профильных юристов варьируется от 15 000 до 45 000 рублей в зависимости от сложности бизнес-процессов.
Пример: Сайт-агрегатор разделил документы и внедрил чек-лист проверки на соответствие. В итоге при плановой проверке РКН удалось доказать легитимность сбора данных, так как каждое действие было обосновано отдельной целью в Политике обработки, а пользователь видел прозрачные условия в Политике конфиденциальности.
Экспертный вывод: Не пытайтесь создать один «супер-документ». Лучше иметь два узкоспециализированных файла, чем один, который будет признан некорректным по обоим основаниям.
Вывод
Мой вердикт: штрафуют чаще всего за отсутствие полноценной Политики обработки персональных данных, так как владельцы сайтов путают её с Политикой конфиденциальности. Чтобы минимизировать риски, начните с разделения этих документов: создайте декларативную Политику конфиденциальности для пользователей и детальный регламент обработки для регулятора. Избегайте шаблонных текстов из интернета, где нет конкретных сроков хранения и методов уничтожения данных — именно на этих деталях РКН ловит 90% нарушителей в 2024 году.
