На сайтах часто пишут: «Политика конфиденциальности», «Политика обработки персональных данных», «Согласие на обработку персональных данных», «Нажимая кнопку, вы соглашаетесь с обработкой данных».
Для владельца сайта или онлайн-сервиса все это может выглядеть как один и тот же документ. Главное, чтобы внизу сайта была ссылка и рядом с формой стояла галочка.
На практике это разные вещи.
Политика обработки персональных данных — это публичное описание того, как компания работает с данными пользователей. Она объясняет, кто оператор, какие данные собираются, зачем, как хранятся, кому передаются, сколько обрабатываются и как пользователь может реализовать свои права.
Согласие на обработку персональных данных — это действие пользователя. Пользователь подтверждает, что согласен на конкретную обработку конкретных данных для конкретных целей.
Если политика есть, но согласие не получено там, где оно нужно, у сервиса остается риск. Если согласие есть, но политики нет или она не соответствует реальному сервису, риск тоже остается.
Для сайта, приложения, SaaS-сервиса, маркетплейса, онлайн-школы, Telegram-бота или цифрового продукта важно не просто поставить один файл в подвал сайта, а правильно разделить документы и действия пользователя.
ZLATA LEGAL помогает онлайн-сервисам, IT-проектам, предпринимателям и компаниям во Владивостоке, Приморском крае, на Дальнем Востоке и дистанционно по России подготовить политику обработки персональных данных, согласия, cookie-документы, тексты для форм, документы для рассылок и юридическую механику обработки данных.
Короткий ответ
Политика конфиденциальности или политика обработки персональных данных — это документ, который информирует пользователя о правилах обработки его данных. Она должна быть доступна пользователю до передачи данных: в подвале сайта, рядом с формами, при регистрации, оплате, подписке или использовании личного кабинета.
Согласие на обработку персональных данных — это подтверждение пользователя, что он разрешает обработку своих данных для определенных целей. Оно может быть оформлено через чекбокс, кнопку, электронную форму или иной способ, который позволяет подтвердить факт получения согласия.
Главная разница простая: политика объясняет, что делает оператор с данными, а согласие фиксирует волю пользователя на обработку данных.
Один документ не заменяет другой. Политика не является автоматическим согласием. А согласие без нормальной политики не дает пользователю полной информации о том, что происходит с его данными.
Почему их путают
Их путают потому, что на сайте они часто стоят рядом.
Например, под формой заявки написано: «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности и даете согласие на обработку персональных данных».
Для пользователя это один короткий текст. Для юриста — несколько разных действий.
Пользователь ознакомился с политикой. Пользователь дал согласие на обработку данных. Пользователь, возможно, принял оферту. Пользователь, возможно, согласился на рекламную рассылку. Пользователь, возможно, согласился на cookies. Это не одно и то же.
Если все объединить в одну фразу «согласен со всем», в споре может оказаться сложно доказать, что пользователь отдельно и осознанно согласился именно на нужную обработку, именно на рассылку или именно на передачу данных партнерам.
Что такое политика конфиденциальности
В российской логике правильнее говорить «политика обработки персональных данных».
Название «политика конфиденциальности» привычно из интернета и англоязычных privacy policy, но для российского сайта лучше прямо указывать, что документ касается обработки персональных данных.
Политика описывает общие правила обработки данных оператором. В ней указываются оператор, цели обработки, категории данных, категории субъектов, способы обработки, сроки хранения, основания обработки, права пользователей, порядок обращений, передача третьим лицам, cookies, трансграничная передача при наличии и меры защиты.
Политика должна быть не декоративным текстом, а отражением реальной работы сервиса. Если сайт собирает заявки, в политике должны быть заявки. Если есть личный кабинет, должны быть аккаунты. Если есть оплата, должны быть платежные данные. Если есть рассылка, аналитика, CRM, хостинг, поддержка и платежный агрегатор, это тоже нужно учитывать.
Что такое согласие на обработку персональных данных
Согласие — это волеизъявление пользователя.
Пользователь дает оператору разрешение обрабатывать его персональные данные для конкретных целей. Например, обработать имя и телефон для ответа на заявку, email для регистрации, данные аккаунта для работы личного кабинета, платежные сведения для оплаты, адрес для доставки, фото для публикации профиля или email для рекламной рассылки.
Согласие должно быть понятным и подтверждаемым. В онлайн-сервисе это обычно чекбокс рядом с формой, отдельный текст под кнопкой, электронная форма, подтверждение при регистрации или иное действие, которое сервис может зафиксировать.
Важно не путать согласие с самим фактом заполнения формы. Если сервис хочет опираться именно на согласие, лучше сделать так, чтобы пользователь явно видел текст согласия и ссылку на политику.
Когда нужна политика
Политика нужна почти всегда, если сайт или сервис обрабатывает персональные данные.
Даже простая форма «имя и телефон» уже означает обработку персональных данных. Если есть регистрация, личный кабинет, оплата, подписка, рассылка, cookies, аналитика, чат, CRM, заявки, документы, отзывы, аккаунты исполнителей или пользователей, политика точно нужна.
Политика должна быть доступна неограниченному кругу лиц. Обычно ее размещают отдельной страницей на сайте и дают ссылку в подвале, рядом с формами, в приложении, в боте, на странице оплаты и при регистрации.
Ошибка — держать политику только в PDF, который пользователь не видит до отправки формы. Еще хуже — вообще не иметь политики, но собирать заявки, подключить аналитику и отправлять данные в CRM.
Когда нужно согласие
Согласие нужно тогда, когда обработка данных строится на согласии пользователя или когда закон требует отдельного согласия для конкретного действия.
Например, согласие часто используют для формы заявки, регистрации, обратного звонка, подписки на рассылку, публикации отзыва, размещения профиля, передачи данных партнерам, обработки специальных категорий данных, рекламной коммуникации или распространения персональных данных.
Но не всякая обработка всегда требует именно согласия. Иногда данные обрабатываются для исполнения договора, выполнения требований закона, ведения бухгалтерии, направления чека, защиты прав оператора или других законных целей.
Проблема в том, что владельцы сайтов часто используют согласие везде, не понимая основание обработки. Это не всегда ошибка, но согласие должно соответствовать реальной цели. Нельзя взять одно общее согласие «на все случаи жизни» и закрыть им любые будущие действия с данными.
Политика не заменяет согласие
Политика сообщает пользователю, что оператор делает с данными.
Но сама по себе политика не означает, что пользователь дал согласие на конкретную обработку.
Например, на сайте есть политика, где написано, что компания может использовать email для рекламной рассылки. Но если пользователь просто оставил заявку на консультацию, это еще не значит, что он отдельно согласился получать рекламу.
Или в политике написано, что данные могут передаваться партнерам. Но если пользователь не дал понятного согласия на такую передачу там, где оно требуется, одной политики может быть недостаточно.
Политика — это информационный документ. Согласие — это подтвержденное действие пользователя.
Согласие не заменяет политику
Обратная ошибка — поставить галочку «согласен на обработку персональных данных», но не подготовить нормальную политику.
Пользователь вроде бы согласился, но не понимает, кто оператор, какие данные собираются, зачем, кому передаются, сколько хранятся, как отозвать согласие и куда обращаться.
Такое согласие может выглядеть слабым, потому что оно не было достаточно информированным.
Согласие должно быть связано с политикой. Пользователь должен иметь возможность открыть документ до того, как отправил форму, зарегистрировался, оплатил подписку или передал данные.
Как это выглядит на форме сайта
Для простой формы заявки можно использовать понятную конструкцию.
Рядом с кнопкой отправки указывается, что пользователь дает согласие на обработку персональных данных для обработки обращения и ознакомлен с политикой обработки персональных данных. Слова «политика обработки персональных данных» должны быть ссылкой на документ.
Если есть отдельная рекламная рассылка, ее лучше вынести в отдельную галочку. Например, пользователь может отправить заявку без подписки на рекламу, а рекламные сообщения получает только при отдельном согласии.
Для формы обратного звонка цель одна: связаться с пользователем по его обращению. Для формы подписки на новости цель другая: направлять информационные или рекламные сообщения. Для регистрации цель третья: создать аккаунт и предоставить доступ к сервису. Поэтому тексты под формами не должны быть одинаковыми для всего сайта.
Одна галочка на все — плохая идея
На практике часто делают одну галочку: «Согласен с офертой, политикой конфиденциальности, обработкой персональных данных, рекламной рассылкой, cookies и передачей данных партнерам».
Это удобно для дизайна, но юридически слабее.
Оферта — это договор. Политика — это информирование. Согласие на обработку данных — это разрешение на обработку. Согласие на рекламную рассылку — отдельная история. Cookies — отдельный пользовательский слой. Автоплатежи — еще одна отдельная зона риска.
Лучше разделять ключевые действия. Минимум: оферта отдельно, персональные данные отдельно, рекламная рассылка отдельно. Если есть автоплатеж, его тоже нужно раскрывать отдельно и понятно.
Согласие на рекламную рассылку
Согласие на обработку персональных данных не равно согласию на рекламную рассылку.
Пользователь может оставить заявку, купить продукт, зарегистрироваться или оплатить подписку. Это не значит, что ему можно отправлять любые рекламные сообщения.
Для рекламы лучше получать отдельное согласие: email, SMS, мессенджеры, push-уведомления, Telegram-бот или иной канал. В тексте нужно указать, что пользователь соглашается получать информационные и рекламные сообщения, а также дать понятный способ отказаться от рассылки.
Сервисные уведомления и реклама — разные вещи. Письмо о чеке, заказе, восстановлении пароля, безопасности аккаунта или окончании подписки нужно для работы сервиса. Акции, новости продукта, допродажи и маркетинговые предложения — это уже рекламная коммуникация.
Cookies и политика
Cookies тоже часто путают с согласием на обработку персональных данных.
Если сайт использует cookies, аналитику, рекламные пиксели, ретаргетинг, чат-виджеты или продуктовую аналитику, это должно быть отражено в политике. Пользователь должен понимать, какие технические данные собираются и зачем.
Cookie-уведомление на сайте должно совпадать с реальностью. Если в баннере написано только «мы используем cookies для удобства», а фактически стоят рекламные пиксели и ретаргетинг, документ выглядит слабее.
Для простого сайта можно начать с понятного cookie-уведомления и описания cookies в политике. Для сложного сервиса лучше отдельно настроить категории cookies, аналитику, рекламные инструменты и управление предпочтениями пользователя.
Согласие на распространение персональных данных
Отдельная зона — персональные данные, разрешенные для распространения.
Это не то же самое, что обычное согласие на обработку.
Если сервис публикует профиль пользователя, фото, отзыв, имя, должность, карточку исполнителя, портфолио, рейтинг, описание специалиста или другие данные для неограниченного круга лиц, нужно отдельно оценивать согласие на распространение.
Это особенно важно для маркетплейсов услуг, каталогов специалистов, образовательных платформ, сервисов отзывов, сообществ, агрегаторов и платформ с публичными профилями.
Нельзя считать, что пользователь согласился на публикацию своего фото или профиля только потому, что зарегистрировался в сервисе.
Согласие при регистрации
Регистрация в онлайн-сервисе обычно включает несколько юридических действий.
Пользователь создает аккаунт. Принимает пользовательское соглашение или оферту. Дает согласие на обработку персональных данных, если обработка строится на согласии. Ознакомляется с политикой обработки данных. Иногда соглашается на рассылку. Иногда подключает подписку и автоплатеж.
Все это лучше не смешивать.
Для регистрации можно сделать отдельные чекбоксы: принятие условий сервиса и согласие на обработку персональных данных. Рекламную рассылку лучше сделать отдельной необязательной галочкой. Если пользователь подключает платную подписку, условия оплаты и автопродления нужно раскрывать рядом с платежом.
Согласие при оплате
При оплате сервис обычно обрабатывает данные пользователя для исполнения договора и проведения расчета: email, телефон, ID заказа, сумму, статус платежа, данные для чека и сведения от платежного агрегатора.
Если пользователь уже зарегистрирован и принимает оферту, не всегда нужно дублировать одинаковое согласие на каждом шаге. Но пользователь должен видеть политику, правила оплаты и понимать, какие данные передаются платежному агрегатору.
Если при оплате сервис дополнительно предлагает рекламную рассылку, бонусную программу, передачу данных партнерам или сохранение карты для автоплатежей, такие действия нужно раскрывать отдельно.
Особенно аккуратно нужно оформлять подписку и автосписания. Согласие на обработку данных не заменяет согласие на регулярные платежи.
Согласие в мобильном приложении
В мобильном приложении документы должны быть доступны до передачи данных и покупки.
Пользователь должен видеть политику обработки персональных данных, условия сервиса, информацию о подписке, оплате, возвратах и разрешениях приложения.
Если приложение запрашивает доступ к геолокации, камере, фото, контактам, микрофону, push-уведомлениям или файлам, нужно понимать, зачем это нужно и как это отражено в политике.
Разрешение операционной системы на доступ к камере или геолокации не всегда закрывает все вопросы персональных данных. Это техническое разрешение, а не полноценная политика и не всегда достаточное юридическое согласие на все цели обработки.
Согласие в Telegram-боте
Telegram-бот, закрытый канал или мессенджер тоже могут обрабатывать персональные данные.
Бот может получать username, ID пользователя, имя, телефон, сообщения, документы, платежи, заявки и историю действий. Поэтому ссылки на политику и согласие должны быть встроены в сценарий бота до передачи данных или оплаты.
Плохо, когда бот сразу просит телефон, а документы спрятаны где-то в описании канала.
Нормальная механика: перед отправкой телефона, регистрацией или оплатой пользователь видит короткий текст согласия и ссылку на политику. Для рекламной рассылки или уведомлений через бота лучше отдельно объяснить, какие сообщения пользователь будет получать и как от них отказаться.
B2B-сервисы и сотрудники клиента
В B2B-сервисах часто кажется, что персональные данные не важны, потому что клиент — юридическое лицо.
Это ошибка.
В сервисе могут быть данные сотрудников клиента: ФИО, должности, email, телефоны, роли, логи входа, действия в личном кабинете, переписка, документы, заявки и отчеты. Также могут быть данные клиентов, водителей, подрядчиков, представителей и контрагентов клиента.
Поэтому политика и согласия должны учитывать не только физиков-покупателей, но и пользователей корпоративного аккаунта.
В договоре с B2B-клиентом нужно отдельно определить, кто оператор, кто поручает обработку, какие данные передаются, для каких целей, как защищаются, кто отвечает на запросы субъектов и что происходит после прекращения договора.
Подрядчики и передача данных
Политика должна учитывать не только самого владельца сайта, но и тех, кто помогает обрабатывать данные.
Хостинг, CRM, платежный агрегатор, email-рассылка, SMS-сервис, чат-виджет, сервис поддержки, аналитика, облачное хранилище, разработчики, техподдержка и бухгалтерия могут получать доступ к данным.
Если сервис передает данные подрядчикам, это нужно отражать в политике и договорах. Пользователь должен понимать категории получателей и цели передачи.
Согласие не всегда нужно получать отдельно на каждую техническую передачу, если обработка идет в рамках договора и поручения оператора. Но схема передачи должна быть юридически оформлена и соответствовать политике.
Трансграничная передача
Если данные уходят за пределы России, возникает вопрос трансграничной передачи.
Это может происходить через иностранную CRM, email-сервис, аналитику, облачное хранилище, сервис поддержки, мессенджер, AI-инструмент или другую внешнюю платформу.
В политике нельзя автоматически писать «трансграничная передача не осуществляется», если фактически используются иностранные инструменты.
Если трансграничная передача есть, нужно проверить уведомления, страны, получателей, цели передачи, категории данных и договорную базу. Для онлайн-сервиса это лучше сделать до запуска, пока архитектуру еще можно изменить без боли.
Отзыв согласия
Пользователь может отозвать согласие на обработку персональных данных.
В согласии и политике нужно указать, как это сделать: email, форма, личный кабинет, письменное обращение или иной канал.
Но отзыв согласия не всегда означает мгновенное удаление всех данных. Если данные нужны для исполнения договора, бухгалтерии, чека, защиты прав, ответа на претензию или выполнения требований закона, оператор может продолжить обработку на другом основании в пределах необходимого.
Это нужно объяснять аккуратно. Нельзя обещать пользователю «удалим все сразу», если сервис обязан хранить часть данных. Но и нельзя игнорировать отзыв согласия.
Как хранить доказательства согласия
Для онлайн-сервиса важно не только получить согласие, но и доказать его.
Нужно хранить дату и время согласия, версию текста, форму или страницу, через которую оно получено, ID пользователя, email, IP-адрес при необходимости, действие пользователя и связь с конкретной целью обработки.
Если через год пользователь говорит: «Я не соглашался», сервис должен показать, когда и на что он согласился.
При этом хранение доказательств тоже является обработкой персональных данных. Поэтому сроки и объем хранения должны соответствовать целям и политике.
Как обновлять политику и согласия
Сервис меняется: появляются новые формы, новая CRM, рассылка, подписка, мобильное приложение, платежный агрегатор, аналитика, партнеры, личный кабинет или новые категории пользователей.
Документы должны меняться вместе с продуктом.
Если политика обновилась, нужно указать дату редакции. Если изменения существенные, пользователей лучше уведомить. Если меняются цели обработки или появляются новые действия, для которых нужно согласие, старого согласия может быть недостаточно.
Главная ошибка — один раз повесить политику на сайт и больше к ней не возвращаться.
Что должно быть на сайте
На сайте должны быть видимые юридические точки.
В подвале — ссылка на политику обработки персональных данных. Рядом с формами — текст согласия и ссылка на политику. При регистрации — принятие условий сервиса и согласие на обработку данных. При оплате — оферта, политика, правила возврата и платежные условия. Для рассылки — отдельное согласие. Для cookies — уведомление и описание в политике.
Если есть личный кабинет, пользователь должен понимать, как изменить данные, удалить аккаунт, отписаться от рассылки и обратиться по вопросам персональных данных.
Если есть приложение или Telegram-бот, ссылки на документы должны быть доступны там же, где пользователь передает данные.
Частые ошибки
Первая ошибка — считать политику и согласие одним документом. Вторая — использовать одну галочку на все: оферту, данные, рекламу, cookies и автоплатежи. Третья — поставить политику в подвал сайта, но не получить согласие под формами. Четвертая — получить согласие, но не дать пользователю нормальную политику до отправки данных. Пятая — отправлять рекламу без отдельного согласия. Шестая — не описать cookies и аналитику. Седьмая — не учитывать подрядчиков, CRM, хостинг, платежный агрегатор и сервисы рассылки. Восьмая — писать в политике одно, когда сервис фактически делает другое. Девятая — не хранить доказательства согласия. Десятая — не обновлять документы после изменения продукта.
Обычно риск появляется не потому, что у сайта вообще нет документа. Риск появляется потому, что документ не связан с реальными формами, кнопками, платежами, рассылками и сервисами.
Как правильно оформить
Сначала нужно понять, какие данные собирает сервис и для каких целей. Затем разделить документы: политика обработки персональных данных описывает общую картину, согласия фиксируют волю пользователя на конкретные действия, оферта регулирует оплату и договор, отдельное согласие закрывает рекламную рассылку, cookie-уведомление объясняет технические данные.
После этого нужно встроить документы в интерфейс. Не просто положить PDF в подвал сайта, а поставить ссылки и тексты там, где пользователь передает данные: формы, регистрация, оплата, подписка, личный кабинет, приложение, бот, рассылка.
Затем нужно настроить хранение доказательств: когда пользователь согласился, с какой редакцией, на какой форме, для какой цели и каким действием.
Так персональные данные становятся не набором формальных файлов, а рабочей частью продукта.
Локальный аспект: Владивосток, Приморье и Дальний Восток
Во Владивостоке и Приморском крае онлайн-сервисы часто запускаются вокруг практических задач: заявки, доставка, логистика, ВЭД, поставки из Китая, склады, обучение, B2B-услуги, ремонт, морская отрасль, Telegram-боты, CRM, сервисы автоматизации и маркетплейсы.
На старте кажется, что достаточно простой формы и политики из интернета. Но как только появляются заявки, рассылка, платежи, личный кабинет, исполнители, корпоративные клиенты или подписка, персональные данные становятся отдельным юридическим блоком.
Для бизнеса важно не только «чтобы Роскомнадзор не придрался». Нормальные документы по данным помогают проходить проверку платежных агрегаторов, работать с B2B-клиентами, подключать подрядчиков, объяснять пользователю правила и снижать риск претензий.
Как ZLATA LEGAL помогает с политикой и согласиями
ZLATA LEGAL помогает сайтам, онлайн-сервисам, SaaS-проектам, приложениям, маркетплейсам, Telegram-ботам и цифровым продуктам подготовить документы по персональным данным.
Мы анализируем, какие данные собирает сервис, какие формы используются, есть ли регистрация, оплата, подписка, личный кабинет, cookies, аналитика, CRM, рассылка, платежный агрегатор, подрядчики, трансграничная передача, публичные профили и B2B-клиенты.
Готовим политику обработки персональных данных, согласия для форм, согласие на рекламную рассылку, cookie-документы, тексты для сайта, блоки для оферты и пользовательского соглашения, рекомендации по хранению доказательств согласия и порядку обработки запросов пользователей.
Проверяем не только документы, но и пользовательский путь: где пользователь видит политику, где дает согласие, где принимает оферту, где подписывается на рассылку, где оплачивает, где управляет аккаунтом и как сервис фиксирует эти действия.
Работаем с проектами во Владивостоке, Приморском крае, на Дальнем Востоке и дистанционно по России.
Политика и согласие — это разные инструменты. Политика объясняет правила обработки данных, согласие фиксирует волю пользователя. Если они правильно разделены и встроены в сервис, проект выглядит аккуратнее, безопаснее и понятнее для пользователей, партнеров, платежных сервисов и регулятора.
Частые вопросы
Политика конфиденциальности и политика обработки персональных данных — это одно и то же?
В быту часто да, но для российского сайта точнее использовать название «политика обработки персональных данных». Оно лучше отражает требования закона и содержание документа.
Чем политика отличается от согласия?
Политика информирует пользователя о том, как оператор обрабатывает данные. Согласие — это подтверждение пользователя, что он разрешает обработку конкретных данных для конкретных целей.
Может ли политика заменить согласие?
Нет. Политика сама по себе не означает, что пользователь дал согласие на конкретную обработку, рассылку или публикацию данных.
Может ли согласие заменить политику?
Нет. Пользователь должен понимать, кто и как обрабатывает его данные. Без политики согласие может быть недостаточно информированным.
Нужно ли ставить галочку под формой заявки?
Если обработка строится на согласии, лучше да. Рядом с формой нужно дать текст согласия и ссылку на политику обработки персональных данных.
Можно ли сделать одну галочку на оферту и персональные данные?
Лучше разделять. Оферта — это договор, согласие на обработку данных — отдельное действие. Рекламную рассылку тем более лучше выносить в отдельную галочку.
Нужно ли отдельное согласие на рекламную рассылку?
Да, лучше получать отдельное согласие. Заявка, регистрация или покупка продукта не должны автоматически означать согласие на рекламные сообщения.
Нужно ли согласие на cookies?
Cookies и аналитика должны быть отражены в политике и cookie-уведомлении. Если используются рекламные пиксели, ретаргетинг и поведенческая аналитика, этот блок нужно оформлять особенно внимательно.
Что писать в согласии на обработку данных?
Кто оператор, какие данные обрабатываются, для каких целей, какие действия совершаются с данными, срок согласия, способ отзыва и ссылка на политику обработки персональных данных.
Нужно ли отдельное согласие на публикацию отзыва или профиля?
Часто да. Публикация имени, фото, профиля, отзыва, рейтинга или карточки специалиста может требовать отдельного подхода, особенно если данные становятся доступными неограниченному кругу лиц.
Что делать, если пользователь отозвал согласие?
Нужно прекратить обработку на основании согласия, если нет другого законного основания продолжать обработку. При этом часть данных может храниться для договора, бухгалтерии, споров или выполнения закона.
Нужно ли хранить доказательства согласия?
Да. Сервису полезно хранить дату, время, версию текста, форму, действие пользователя и связь согласия с конкретной целью обработки.
Какие документы нужны сайту?
Обычно нужны политика обработки персональных данных, согласия под формы, согласие на рекламную рассылку, cookie-уведомление, блоки по данным в оферте или пользовательском соглашении и документы по подрядчикам, если они получают доступ к данным.
Когда обращаться к юристу?
Лучше до запуска сайта, форм заявок, регистрации, оплаты, подписки, рассылки, приложения, Telegram-бота или личного кабинета. На этом этапе документы можно встроить в продукт без переделки интерфейса.
Связанные материалы