Коротко. Если сайт собирает персональные данные — формы заявок, регистрацию, рассылку или даже только Яндекс Метрику, — нужна опубликованная политика обработки персональных данных (152-ФЗ, ст. 18.1 ч. 2) и отдельное согласие человека. В политике пишут, кто оператор, зачем и какие данные собираются, на каком основании, сколько хранятся, кто обрабатывает их по поручению, какие права у человека и как данные защищены. Ещё до начала обработки нужно уведомить Роскомнадзор. Это не юридическая консультация: в сложных случаях спросите юриста.
Когда политика нужна
Персональные данные — любые сведения, по которым можно определить человека. На обычном сайте это:
- имя, телефон и почта из формы заявки;
- регистрация и личный кабинет: личный кабинет на сайте;
- подписка на рассылку;
- письма на почту сайта;
- Яндекс Метрика. По условиям использования Метрики владелец сайта — оператор данных о посетителях (активность, cookie, устройство, ОС), а Яндекс обрабатывает их по его поручению.
Если на сайте есть хотя бы что-то из списка, политика нужна. По 152-ФЗ (ст. 18.1 ч. 2) оператор, который собирает данные через интернет, публикует политику и сведения о защите данных и обеспечивает к ним доступ.
Что писать в политике
- Оператор: кто вы и как с вами связаться.
- Цели обработки: например, «ответы на заявки», «статистика посещаемости». Для каждой цели — отдельно.
- Какие данные собираются для каждой цели.
- Основания: согласие, договор, требование закона.
- Сроки хранения и условие, когда обработка прекращается.
- Кто ещё обрабатывает данные по вашему поручению: хостинг, сервис рассылок, Яндекс (Метрика), CRM.
- Права человека: узнать, что о нём хранится, уточнить, отозвать согласие, — и как это сделать.
- Как вы защищаете данные и где они хранятся. Данные граждан России собирают в базы данных на территории России (152-ФЗ, ст. 18 ч. 5).
Политику размещают на отдельной странице и ставят ссылку на неё в подвале сайта и рядом с каждой формой.
Согласие — отдельный документ
Политика объясняет правила, а согласие даёт конкретный человек. По 152-ФЗ (ст. 9 ч. 1 в редакции закона № 156-ФЗ от 24.06.2025) согласие оформляют отдельно от других документов. На практике:
- рядом с формой — галочка согласия со ссылкой на текст согласия и на политику;
- галочка не стоит заранее;
- текст согласия — отдельная страница: что за данные, цели, сроки, как отозвать.
Что делать с Метрикой и cookie
Метрика ставит cookie и собирает данные о визите. Сайты решают это по-разному.
22 октября 2026 года наш робот открыл 13 сайтов и смотрел, загружается ли Метрика до того, как посетитель нажмёт что-нибудь в окне о cookie. Метрику сразу загружали 10 сайтов: hostinghub.ru, ru.hostings.info, vc.ru, Хабр, Timeweb, Beget, nic.ru, Спринтхост, Лента и Skillbox. Ждали согласия 3: tilda.ru, rbc.ru и reg.ru.
Самый осторожный вариант — загружать Метрику только после согласия: так делают tilda.ru, rbc.ru и reg.ru. Минус — часть посетителей не попадёт в статистику. Какой вариант выбрать, решает владелец сайта, понимая риски.
Чего не делать
- Не прятать согласие в мелкий текст «отправляя форму, вы соглашаетесь» без ссылки и без галочки.
- Не собирать лишнее. Если для заявки хватает имени и телефона, не просите дату рождения и адрес.
- Не включать то, что не описано. Мы, например, выключили Вебвизор Метрики (запись действий посетителей): он собирает больше, чем нужно для статистики.
- Не пересылать письма с сайта в зарубежные почтовые сервисы: данные должны храниться в России.
После политики — уведомление в РКН
До начала обработки оператор уведомляет Роскомнадзор (152-ФЗ, ст. 22). Подать уведомление можно онлайн через Госуслуги, бумага не нужна. Как мы это делали, по шагам и со скриншотами, — в статье уведомление в Роскомнадзор для сайта.
Наш опыт
Наша политика — на странице «Политика обработки персональных данных», а текст согласия — на отдельной странице «Согласие на обработку персональных данных». 20 октября 2026 года мы провели юридическую проверку сайта по текстам законов и переписали политику: две цели (статистика Метрики и ответы на письма), данные, основания, сроки, обработчики по поручению (Яндекс и хостинг), права, сроки ответа на запросы и меры защиты.
Метрика у нас загружается сразу. Внизу экрана появляется окно о cookie, а отключить Метрику можно в «Настройках cookie» внизу каждой страницы: тогда сайт удаляет её cookie и перезагружает страницу. Дата и версия согласия передаются в Метрику. Это решение владельца сайта, принятое с пониманием рисков: самый осторожный вариант, как у tilda.ru и reg.ru, — ждать согласия.
Читайте также
Источники
- Федеральный закон № 152-ФЗ «О персональных данных»: ст. 9 ч. 1 (в ред. 156-ФЗ от 24.06.2025), ст. 18 ч. 5, ст. 18.1 ч. 2, ст. 22 — тексты в редакции 2026 года, проверены при юридическом аудите 20.10.2026
- Условия использования Яндекс Метрики, п. 5.4 — владелец сайта оператор, Яндекс по поручению; проверено 19.10.2026
- Проверка загрузки Метрики на 13 сайтах — робот Fetch, 22.10.2026
Частые вопросы
Нужна ли политика конфиденциальности на сайте?
Да, если сайт собирает персональные данные: формы с именем и телефоном, регистрация, рассылка, Яндекс Метрика. По 152-ФЗ (ст. 18.1 ч. 2) оператор, который собирает данные через интернет, обязан опубликовать политику обработки персональных данных и дать к ней доступ.
Чем политика отличается от согласия на обработку данных?
Политика рассказывает, как вы обращаетесь с данными всех посетителей. Согласие — это действие конкретного человека: он разрешает обработать его данные. По 152-ФЗ в редакции закона № 156-ФЗ согласие оформляют отдельно от других документов, а не прячут внутри политики.
Нужна ли политика, если на сайте только Яндекс Метрика?
По условиям использования Метрики владелец сайта — оператор данных посетителей (активность, cookie, устройство), а Яндекс обрабатывает их по его поручению. Поэтому политика и согласие нужны и сайту, где из «данных» только Метрика.
Можно ли скопировать политику с другого сайта?
Как основу — можно, но политика должна описывать именно ваш сайт: какие формы, сервисы, сроки и кто обрабатывает данные по поручению. Чужая политика с чужими целями и сервисами не выполняет задачу и вводит людей в заблуждение.