«Политику все равно никто не читает» — как компании теряют деньги, игнорируя базовое требование закона

05/09/25

Б-152

«Политику все равно никто не читает» — как компании теряют деньги

Распространенная фраза «никто не читает политику конфиденциальности» звучит почти как оправдание. Действительно, большинство пользователей не открывают этот документ.

Но проблема не в том, читают его или нет, а в том, что его отсутствие является формальным нарушением закона, зафиксированным в КоАП РФ. Особенно часто на этом «пустом месте» теряют деньги малые и средние компании, для которых штраф может стать не просто уроком, а началом серьезных разбирательств.

Как только на сайте появляется форма, в которую можно ввести имя, адрес электронной почты или номер телефона, организация автоматически становится оператором персональных данных. Это означает, что она подпадает под действие Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

И одно из его базовых требований закреплено в части 2 статьи 18.1: оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, в котором изложена политика в отношении обработки персональных данных.

Это не рекомендация, не условие «при определенных обстоятельствах» и не право выбора. Закон устанавливает императивную норму, которая подлежит исполнению вне зависимости от масштаба бизнеса, структуры сайта или сферы деятельности. Наличие формы сбора данных — достаточное основание для исполнения этой обязанности.

Многие компании по-прежнему относятся к политике конфиденциальности как к необязательной формальности. Но с точки зрения закона № 152-ФЗ и практики проверок Роскомнадзора, отсутствие опубликованной политики — это прямое административное правонарушение, а не просто недоработка.

Если документ не размещен в открытом доступе, регулятор вправе квалифицировать это как нарушение установленного порядка публикации политики в отношении обработки персональных данных. Такой состав закреплен в части 3 статьи 13.11 КоАП РФ.

И хотя сама сумма может показаться незначительной (особенно для крупной организации), именно с этого часто начинается более глубокая проверка.

Политика обработки персональных данных — один из самый важных документов оператора, который:

Если политика отсутствует, это воспринимается как признак системного несоблюдения законодательства. А значит, у регулятора появляются основания заподозрить и другие нарушения:

Часто такая ситуация приводит к каскадным последствиям:

– цели обработки;
– категории обрабатываемых данных;
– категории субъектов;
– сведения о получателях данных;
– права субъекта;
– информация о мерах защиты.

В компаниях, где нет опубликованной политики, часто отсутствуют и другие элементы комплаенс-системы. Нет корректно оформленного согласия на обработку данных;  описания целей и перечня третьих лиц, которым передаются персональные данные; договоров с подрядчиками, которые технически получают доступ к заявкам с сайта или данным клиентов. Как следствие, в случае жалобы или внеплановой проверки ситуация из простой становится критической.

Когда проверка начинается с отсутствующей политики, она может быстро перейти в анализ всех остальных аспектов обработки персональных данных: основания, объемы, безопасность, архитектура систем. Компания оказывается в положении, где необходимо срочно реагировать, предоставлять документы, доказывать добросовестность, объяснять технические детали. А если эти документы не готовы или не соответствуют требованиям, последствия могут быть гораздо серьезнее, чем формальный штраф по части 3 статьи 13.11 КоАП РФ.

Миф о том, что Роскомнадзор приходит только по жалобам или «только к крупным игрокам», давно устарел. На практике регулятор использует многоуровневую систему контроля, которая позволяет отслеживать нарушения не только по обращениям, но и проактивно, с помощью автоматизированных инструментов.

Любой человек может оставить жалобу в Роскомнадзор в несколько кликов: через сайт, Госуслуги или форму обратной связи. Основанием могут быть:

Даже одна жалоба может запустить проверку, в рамках которой инспекторы запросят полную документацию: политику, согласия, договоры поручения, внутренние регламенты, схему ИСПДн и пр.

Роскомнадзор активно использует автоматизированные инструменты сканирования интернет-ресурсов. Алгоритмы анализируют:

Регулятор особенно внимательно относится к ресурсам, где используются:

Инспекторы нередко проверяют, насколько заявленное в политике соответствует:

Если, например, политика не содержит информации о передаче данных подрядчикам, а на сайте стоит Google Tag Manager с подключением к рекламным платформам — это повод копнуть глубже.

Все это — индикаторы возможной передачи данных третьим лицам. Если такие действия не описаны в политике и не подкреплены соответствующими согласиями и договорами, Роскомнадзор рассматривает это как признак неправомерной обработки.

Оператор, согласно ст. 22 закона № 152-ФЗ, обязан подать уведомление в Роскомнадзор до начала обработки. Отсутствие такой записи в реестре, при этом наличие сайта с формами или активной обработки — нестыковка, которая фиксируется автоматически и может стать основанием для внеплановой проверки.

Такой аргумент звучит часто, особенно от компаний, которые формально разместили документ с заголовком «Политика конфиденциальности» и считают, что этим вопрос исчерпан. Но по факту наличие текста как такового не означает соблюдение требований закона № 152-ФЗ.

Отсутствие любого из этих элементов делает документ юридически уязвимым и с точки зрения закона

Даже если текст подготовлен правильно, важно, чтобы он был реально доступен пользователям:

Одно из самых распространенных и опасных нарушений — расхождение между тем, что написано в политике, и тем, что происходит на практике.

Примеры:

Все это означает одно: документ не отражает действительность, а значит, не исполняет свою функцию — информировать субъектов данных. Такой подход трактуется регулятором как отсутствие надлежащей политики, даже если текст формально существует.

Все эти случаи вправе квалифицироваться Роскомнадзором как нарушение требований ст. 18.1 закона № 152-ФЗ и п. 3 ст. 13.11 КоАП РФ.

Политика конфиденциальности — это часть правовой инфраструктуры, которая:

Наличие политики не отменяет необходимости в согласии, договорных условиях, внутренних регламентах и системной работе с персональными данными. Но это публичная линия обороны, доступная и понятная, которая становится ключевым элементом при любой проверке или разбирательстве.

Если вы не уверены в корректности вашей политики или не знаете, соответствует ли она действующему законодательству, лучше проверить это сейчас.

Иметь политику конфиденциальности — это уже шаг в нужном направлении. Но сам факт ее наличия недостаточен, если документ не соответствует требованиям закона № 152-ФЗ или не привязан к фактическим бизнес-процессам.

Вот минимальный перечень того, что нужно проверить немедленно:

При проверке именно политика конфиденциальности становится первым объектом внимания регулятора. Этот документ:

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

реклама

бизнес

юридические вопросы

маркетинг

Материалы по теме