Аудит политики обработки персональных данных по 152-ФЗ

Обновлено: 21 мая 2026

Почему политику нужно проверять вместе с сайтом

Политика обработки персональных данных — не отдельный текст, который существует сам по себе. Она должна описывать, как конкретный сайт собирает и использует данные пользователей. Если на сайте есть формы, cookie, аналитика, рекламные пиксели, чат, CRM или рассылки, эти процессы должны быть отражены в документах.

Риск появляется, когда политика остается формальной. Например, в документе написано только про обратную связь, а сайт фактически использует квиз, рекламный пиксель, онлайн-чат и передачу заявок в CRM. Пользователь передает данные в одном процессе, а документ описывает другой. Именно поэтому аудит политики должен начинаться с анализа сайта.

Что проверяется в политике обработки персональных данных

В рамках аудита проверяется, соответствует ли политика реальному сбору данных на сайте. Анализируются следующие элементы:

• корректно ли указан оператор персональных данных;
• указан ли сайт, через который собираются данные;
• описаны ли реальные цели обработки;
• перечислены ли категории персональных данных из форм;
• отражены ли технические данные и cookie;
• описаны ли формы, чаты, квизы, виджеты и обратные звонки;
• учтены ли CRM, почтовые сервисы и сервисы рассылок;
• раскрыты ли третьи лица и сервисы, которые получают доступ к данным;
• описаны ли сроки обработки или критерии их определения;
• указан ли порядок отзыва согласия;
• совпадает ли политика с текстами согласий рядом с формами;
• не смешиваются ли цели обратной связи и рекламы.

Цель аудита — найти не только юридические пробелы, но и несоответствия между документом и фактической работой сайта.

Как политика сопоставляется с формами

Каждая форма на сайте должна иметь понятную связь с политикой. Если форма собирает имя, телефон и email для консультации, политика должна отражать такую цель и такие категории данных. Если форма подписки используется для рассылки, эта цель должна быть описана отдельно. Если форма передает заявку в CRM или почтовый сервис, это тоже нужно учитывать.

При проверке важно ответить на вопросы:

• какие данные вводит пользователь;
• зачем эти данные собираются;
• где это описано в политике;
• есть ли согласие до отправки;
• куда данные попадают после формы;
• используются ли данные только для ответа или еще для рекламы;
• есть ли отдельное согласие на рекламные сообщения.

Если форма и политика говорят разными словами или описывают разные цели, пользователю сложнее понять условия обработки, а владельцу сайта сложнее подтвердить корректность процесса.

Как политика сопоставляется с cookie и аналитикой

Cookie и технические данные часто отсутствуют в старых политиках. При этом сайт может использовать аналитику, рекламные пиксели, ретаргетинг, чат и другие скрипты. Аудит проверяет, есть ли в политике или cookie-разделе описание:

• технических данных пользователя;
• cookie и похожих технологий;
• целей аналитики;
• рекламных и маркетинговых целей;
• сторонних сервисов;
• возможности управления cookie;
• связи cookie-баннера с документами.

Если cookie-баннер говорит одно, а политика другое, это отдельное замечание в отчете. Например, баннер предлагает отказаться от необязательных cookie, но политика не объясняет, что считается необязательными cookie и какие сервисы используются.

Типовые несоответствия в политике

Нет адреса сайта. Документ не привязан к конкретному ресурсу, через который собираются данные.

Цели обработки слишком общие. В политике указаны абстрактные цели, но не описаны заявка, консультация, подписка, регистрация, реклама или обратный звонок.

Не перечислены реальные данные. Форма собирает телефон, email, комментарий, сайт или сведения о компании, но в политике указан только общий термин «персональные данные».

Не описаны cookie и аналитика. На сайте есть счетчики, пиксели или ретаргетинг, но документ о них не говорит.

Не учтены внешние сервисы. Заявки уходят в CRM, почтовый сервис, чат или систему рассылок, но политика не раскрывает такие сервисы.

Не разделены цели обработки и рекламы. Пользователь оставляет заявку на консультацию, но документ формулирует цель так широко, что туда включается рекламная рассылка.

Нет понятного порядка отзыва согласия. Пользователь не понимает, куда обратиться, чтобы отозвать согласие или уточнить обработку данных.

Документ устарел. Сайт уже изменился, а политика была подготовлена под старую версию форм и сервисов.

Что получает клиент по итогам аудита

По итогам проверки клиент получает список правок к политике и связанным документам. В отчете можно указать:

• какие разделы политики требуют обновления;
• какие цели обработки нужно уточнить;
• какие категории данных добавить;
• какие формы и сервисы описать;
• что добавить про cookie, аналитику и рекламные пиксели;
• какие третьи лица или сервисы стоит раскрыть;
• где нужно разделить обработку заявки и рекламу;
• какие ссылки и чекбоксы на сайте нужно обновить;
• какие задачи передать юристу и разработчику.

Такой аудит помогает не просто переписать документ, а связать его с реальной структурой сайта.

Когда политику нужно обновлять

Политику обработки персональных данных стоит пересматривать каждый раз, когда меняется процесс сбора или использования данных на сайте. Например:

• добавлена новая форма;
• подключен онлайн-чат;
• появился квиз, калькулятор или попап;
• добавлена подписка или рассылка;
• подключена CRM или новый почтовый сервис;
• установлен рекламный пиксель;
• изменился cookie-баннер;
• изменились цели обработки;
• изменились реквизиты оператора;
• появились новые документы или согласия;
• изменилось законодательство или практика применения требований.

Отдельно стоит обновлять ссылки на политику рядом с формами. Даже корректный документ не работает как часть сайта, если пользователь не может открыть его до отправки данных.

Вопросы и ответы

Политика конфиденциальности и политика обработки персональных данных — это одно и то же?

На сайтах эти названия часто используют как близкие, но важнее не название, а содержание. Документ должен описывать, кто является оператором, какие данные собираются, для каких целей, какими способами, с кем могут передаваться данные, как пользователь может реализовать свои права и как документ связан с формами сайта.

Можно ли просто заменить старую политику новым шаблоном?

Шаблон может помочь, но его нужно адаптировать под фактический сайт. Если в шаблоне нет реальных форм, cookie, чатов, CRM, рассылок и рекламных целей, риск сохраняется. Аудит нужен именно для того, чтобы документ описывал конкретный сайт, а не типовую ситуацию.

Нужно ли проверять согласия вместе с политикой?

Да. Политика, согласия и формы должны работать вместе. Если политика обновлена, но рядом с формой стоит старый текст или ссылка ведет на другой документ, пользователь все равно не получает понятную информацию до отправки данных.

Что делать, если политика не описывает CRM или почтовый сервис?

Нужно проверить, участвует ли этот сервис в обработке заявок или рассылок. Если участвует, его роль стоит отразить в документах и согласиях. Также нужно убедиться, что форма и ссылка на политику связаны с актуальным документом.

Аудит политики включает подготовку нового текста?

Базовый аудит фиксирует несоответствия и список правок. Подготовка новой политики или полная юридическая переработка документа может быть отдельной задачей, если требуется не только отчет, но и новая редакция документа.