Объединение политики конфиденциальности и политики обработки персональных данных в один документ увеличивает риск получения штрафа по ст. 13.11 КоАП РФ в 2-3 раза из-за разницы в целях этих документов. Роскомнадзор при проверках трактует отсутствие детального описания процессов обработки (которые должны быть в политике обработки) как нарушение требований ФЗ-152, даже если на сайте висит общий текст «о конфиденциальности».
Правовая природа документов: маркетинг против комплаенса
Политика конфиденциальности — это публичная оферта о том, как компания бережет данные; она отвечает на вопрос «почему нам можно доверять». Политика обработки персональных данных (ПОПД) — это внутренний регламент, обязательный по ст. 18.1 ФЗ-152, который отвечает на вопрос «как именно технически и юридически происходит процесс».
Кейс: интернет-магазин объединил документы. При проверке РКН выявил, что в тексте указано «мы храним данные безопасно», но не прописаны конкретные сроки хранения для каждой категории данных и способы их уничтожения. Итог: предписание об устранении нарушений и риск штрафа до 60 000 рублей для юрлица (в первый раз). Экспертный вывод: слияние документов превращает строгий регламент в маркетинговый текст, что недопустимо с точки зрения надзора.
Критические разрывы в составе реквизитов
В политике конфиденциальности достаточно общих формулировок о целях. В ПОПД должны быть детально расписаны: конкретные действия (сбор, запись, систематизация, накопление, хранение), правовые основания обработки и четкие сроки. Если вы используете один документ, вы либо перегружаете пользователя 15 страницами юридического текста, либо недобираете обязательные реквизиты.
Различия в составе реквизитов: что должно быть в политике конфиденциальности, чего нет в политике обработки данных становятся очевидны при аудите: в ПОПД обязательно указывается порядок отзыва согласия и конкретные сроки обработки данных (например, «5 лет с момента заключения договора»), чего в «конфиденциальности» обычно нет. Экспертный вывод: попытка создать «универсальный документ» ведет к потере 30-40% обязательных по закону формулировок.
Позиция Роскомнадзора и практика штрафов
РКН при проверках ищет именно «Документ, определяющий политику оператора в отношении обработки персональных данных». Если он объединен с политикой конфиденциальности, инспектор часто квалифицирует это как отсутствие документа, так как структура общего файла не соответствует требованиям ст. 18.1 ФЗ-152.
Статистика по жалобам пользователей показывает, что до 15% претензий касаются непрозрачности условий обработки. В таких случаях объединение документов играет против владельца сайта: любое двусмысленное слово в «маркетинговой» части политики конфиденциальности трактуется как нарушение в части обработки данных. Экспертный вывод: разделение документов — это единственный способ создать «защитный слой» между пользовательским интерфейсом и жестким государственным контролем.
Сравнение затрат: один документ против двух
Разработка одного «гибридного» документа стоит в среднем 3 000 – 7 000 рублей у фрилансеров, но риск штрафа составляет от 60 000 до 100 000 рублей за первое нарушение. Профессиональная связка из двух документов (с перелинковкой) обходится в 10 000 – 20 000 рублей, но закрывает 100% рисков по ст. 18.1 ФЗ-152.
Пример: компания с оборотом 50 млн руб./год сэкономила 10 тысяч на документах, но потратила 120 тысяч на юриста для оспаривания предписания РКН о необходимости внедрения ПОПД. Экспертный вывод: экономия на разделении документов дает отрицательный ROI уже при первом запросе от регулятора.
Вывод
Мой вердикт: категорически избегайте слияния этих документов. Политика конфиденциальности должна остаться «лицом» компании для пользователя, а Политика обработки персональных данных — «щитом» для юриста. Начните с разделения текстов: вынесите все технические детали, сроки и правовые основания в ПОПД, а в политику конфиденциальности оставьте общие принципы и ссылку на первый документ. Это единственный способ пройти проверку РКН без штрафов и сохранить лояльность пользователей.
