Как обновить политику конфиденциальности в 2026 году

Политику конфиденциальности обычно пишут один раз, при запуске сайта, и больше не открывают. А сайт за это время обрастает формами, счётчиками и рассылками, и документ описывает уже не тот сайт, который работает. Ниже: какие события делают политику устаревшей в 2026 году, в каком порядке её править и что делать с версиями и уведомлением Роскомнадзора.

Когда нужно обновить политику конфиденциальности?

Политику нужно обновлять, когда меняется то, что в ней описано: цель обработки, состав данных, сервисы, которым передаются данные, ответственный за обработку, место хранения базы или закон. Срока «раз в год» в 152-ФЗ нет, а ответственность за актуальность текста лежит на владельце сайта.

Ниже типичные события на сайте, после которых документ устаревает.

• Новая форма или страница с формой. Появилась подписка, запись на консультацию, заявка на расчёт. Если форма собирает данные, которых раньше не собирали, их надо отразить в документе.
• Новая цель. Контакты, оставленные для обратного звонка, начали использовать для email-рассылки. Это другая цель, и обработка, несовместимая с целью сбора, закону не соответствует.
• Новый сервис. Подключили счётчик аналитики, чат-виджет, CRM, сервис email-рассылок, платёжный модуль. Каждый из них получает данные посетителя и должен быть учтён в тексте.
• Смена хостинга или места хранения базы данных: переехали к другому провайдеру или перенесли базу на другой сервер.
• Трансграничная передача: данные начали уходить в сервис, который находится за рубежом, или, наоборот, перестали.
• Смена ответственного: ушёл сотрудник, назначенный отвечать за обработку, изменились контакты для обращений.
• Прекращение цели: закрыли рассылку, отключили сервис. Из документа это нужно убрать, а данные, которые больше не нужны для цели, по закону уничтожаются или обезличиваются.
• Изменение закона. Например, с 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, поэтому тексты, где оно встроено в политику, пришлось править.

Почти все эти события происходят у разработчика или маркетолога, а юрист о них не знает. Поэтому первая мера против устаревания: договориться, что любое подключение нового сервиса или формы сопровождается вопросом «что с политикой».

Что требует закон при обновлении политики

Закон не описывает процедуру обновления, но задаёт рамки: документ должен оставаться опубликованным и доступным, а его содержание соответствовать реальной обработке: целям, составу данных и сервисам, которые получают данные посетителя. Оператор, собирающий данные через интернет, обязан опубликовать политику на страницах сайта, где идёт сбор, и обеспечить к ней доступ.

Из этого следует главное практическое правило: в момент замены версии сайт не должен оставаться без документа. Пока новая редакция не опубликована, доступна старая, затем она заменяется целиком.

Дальше работают принципы обработки. Данные обрабатываются для конкретных, заранее определённых целей, а хранятся не дольше, чем нужно для этих целей. Когда цель исчезла, данные уничтожаются или обезличиваются. Поэтому новая цель означает новую запись в политике, а ушедшая цель означает удаление записи и порядок уничтожения данных.

Для оператора-юрлица закон отдельно требует издать политику и локальные акты, определяющие для каждой цели категории и перечень данных, способы, сроки обработки и хранения, порядок уничтожения. Эта норма адресована именно юрлицам, и для самозанятых или физических лиц на сайте обязанность публикации следует из общего правила о политике. В любом случае такие документы не могут ограничивать права субъектов персональных данных.

Есть ещё одна обязанность, которая важна для хранения версий: документы и локальные акты оператор обязан представить по запросу Роскомнадзора. Хранить архив старых редакций закон не требует, но если запрос придёт, актуальную версию и подтверждение мер показать придётся.

Что именно должно стоять в политике, мы разбирали в статье о том, что должно быть в политике конфиденциальности. Здесь только жизненный цикл документа.

Какой штраф грозит за устаревшую политику?

Устаревшая политика сама по себе отдельного состава не образует. Но с ней связаны две нормы КоАП: часть 3 статьи 13.11, если политика или сведения о реализуемых требованиях к защите данных не опубликованы или недоступны, и часть 1 той же статьи, если обработка идёт без законного основания или несовместимо с целями сбора. Суммы ниже: это вилка по КоАП, не юридическое заключение.

Для части 1 мы не называем строку для индивидуальных предпринимателей: в тексте нормы её нет, и квалификацию для таких случаев определяет орган.

Какая часть применима, зависит от ситуации. Если при замене версии ссылка на политику оборвалась и документ несколько дней не открывался, это про часть 3. Если политика описывает одну цель, а данные фактически используются для другой, это про часть 1. Сам по себе устаревший текст при действующей публикации чаще всего штрафа не влечёт, это повод исправить текст.

Важная оговорка: для впервые совершённого нарушения, выявленного в ходе государственного контроля (надзора), статья 4.1.1 КоАП предусматривает замену штрафа предупреждением. Она работает при условиях, которые перечисляет часть 2 статьи 3.4 КоАП, и не распространяется на каждый случай автоматически. Конкретное решение принимает орган, рассматривающий дело.

Как проверить, что политика устарела?

Сверьте документ с тем, что сайт делает сегодня: пройдите по формам, подключённым сервисам, контактам и датам. Если хотя бы один пункт описывает то, чего на сайте больше нет, или не описывает то, что появилось, политику пора обновлять. Начните с форм и внешних сервисов: именно там расхождения возникают чаще всего.

Короткий порядок такой проверки:

1. Составьте список всех форм сайта и данных, которые каждая просит. Сравните с разделом о составе данных и целях.
2. Составьте список внешних сервисов: аналитика, чаты, рассылки, CRM, платежи, карты, шрифты и видео с чужих серверов. Сравните с перечнем обработчиков и сведениями о передаче данных.
3. Проверьте, где физически находятся сервер сайта и база данных, и совпадает ли это с текстом.
4. Проверьте контакты ответственного за обработку и адрес для обращений.
5. Посмотрите, какие изменения закона вышли с даты последней редакции, и открыта ли политика по ссылке без регистрации.

Подробный разбор того, как искать расхождения между текстом и практикой, есть в статье о том, что проверяют в политике конфиденциальности. Здесь нужен только быстрый ответ: изменилось ли что-то с последней редакции.

Список внешних сервисов вручную собирать долго, особенно если сайт старый. На странице проверки политики конфиденциальности сайта сканер находит формы и подключённые сервисы и показывает, чего в документе не хватает, чтобы вы могли это исправить. Юриста для индивидуальных случаев это не заменит, но покажет, с какого раздела начать.

Как обновить политику конфиденциальности по шагам

Сначала выясните, что изменилось на сайте, потом поправьте документ и опубликуйте новую версию поверх старой без перерыва доступа. Порядок ниже подходит и для небольшой правки, и для замены документа целиком, а для работы понадобятся доступ к админке сайта и текст действующей редакции.

1. Зафиксируйте изменение. Что появилось или исчезло: форма, сервис, цель, ответственный, хостинг. Одно предложение на каждое.
2. Определите, какие разделы затронуты. Цели и состав данных, перечень сервисов, сроки хранения, место хранения, контакты. Остальное не трогайте, чтобы не создавать новых расхождений.
3. Поправьте текст. Новая цель получает своё описание и срок хранения. Прекращённая цель убирается, и в документе остаётся порядок уничтожения данных, которые для неё собирались.
4. Проверьте согласия. Не встраивайте согласие в политику: оно оформляется отдельно. Проверьте, не изменилась ли цель, на которую согласие было дано. Если цель изменилась, согласие может не покрывать новую обработку. Как оформлять согласие отдельно от иных документов, описано в материале про отдельное оформление согласия по 156-ФЗ.
5. Проставьте дату редакции. Это практика, а не требование закона, но читателю и проверяющему так проще понять, какая версия действует.
6. Подготовьте новую версию заранее. Загрузите её на сервер как черновик, проверьте верстку и ссылки.
7. Замените версию на том же адресе. Ссылки в подвале и у форм ведут на один и тот же URL, поэтому подменяется содержимое, а не адрес. Так посетитель никогда не увидит ошибку 404, а ссылки у форм не придётся менять.
8. Откройте страницу из внешней сети. Без авторизации и без кэша: документ действительно открывается и показывает новую редакцию.
9. Сохраните предыдущую версию. Об этом ниже.

Если обновление связано с новым сервисом, правьте политику до его включения на сайте или в тот же день. Иначе между запуском сервиса и обновлением документа образуется период, когда сайт делает то, чего политика не описывает.

Что делать с уведомлением в Роскомнадзор, если изменились сведения?

Уведомление об изменениях нужно только тому оператору, который подавал уведомление об обработке, и только если изменились сведения, названные в нём. Тогда об изменениях надо сообщить не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. Редактура текста политики сама по себе поводом не служит.

Закон обязывает уведомлять не всех операторов: в части 2 статьи 22 есть исключения, и подавал ли оператор уведомление, зависит от его ситуации. Если уведомление подавалось, посмотрите перечень сведений в нём. Среди них цель обработки, категории данных и субъектов по каждой цели, правовое основание, перечень действий и способы обработки, ответственный за организацию обработки с контактами, сведения о трансграничной передаче, место нахождения базы данных.

Примеры событий, которые меняют такие сведения:

• добавилась новая цель, например рассылка;
• сменился ответственный или его контактные данные;
• началась трансграничная передача, например подключён зарубежный сервис;
• база данных переехала в другое место.

Если обработка прекращена полностью, оператор обязан уведомить об этом Роскомнадзор в течение десяти рабочих дней с даты прекращения (часть 7 статьи 22).

За невыполнение обязанности уведомить о намерении обрабатывать данные в КоАП есть отдельный состав в статье 13.11. Отдельную вилку именно за опоздание с уведомлением об изменениях мы здесь не называем: обязанность есть, а квалификацию в конкретном случае определяет орган. Чтобы не гадать, сверяйте изменения на сайте с перечнем сведений из своего уведомления в тот же день, когда правите политику.

Как хранить версии политики и как часто её сверять?

Сохраняйте каждую действующую редакцию с датой, а сверку с сайтом проводите по событиям и ещё по расписанию, например раз в полгода. Всё это практика, а не требование закона: ни архива версий, ни даты редакции на странице, ни годового срока обновления закон не устанавливает.

Зачем это нужно: если Роскомнадзор запросит документы, оператор обязан их представить, и с архивом проще показать, какая редакция действовала в нужный период. А при споре с посетителем архив покажет, что именно он видел в момент заполнения формы.

Как хранить версии:

• Каждая редакция сохраняется отдельным файлом, а в названии стоит дата, например politika-2026-10-03.pdf.
• В начале или конце документа указывается дата действующей редакции.
• Рядом хранится короткий журнал: дата, что изменилось, кто внёс изменение.
• Архив лежит там, где к нему есть доступ у ответственного, а не только у разработчика.

Сверку лучше привязать к тому, что и так происходит: к квартальному или полугодовому пересмотру сайта. Тогда она случается, даже если об изменении никто не сообщил. Раз в полгода достаточно для небольшого сайта, а у интернет-магазина с постоянными интеграциями события случаются чаще.

Частые вопросы

Ниже короткие ответы на вопросы, которые чаще всего возникают при обновлении политики: про срок, согласия, уведомление и дату.

Нужно ли обновлять политику раз в год? Нет, такого срока в 152-ФЗ нет. Повод для обновления дают изменения на сайте и в законе. Периодическая сверка по расписанию остаётся удобной практикой, но не требованием.

Нужно ли после обновления политики собирать согласия заново? Не всегда. Это зависит от основания обработки и от того, изменилась ли цель. Если цель осталась той же, на которую согласие было дано, повторный сбор обычно не нужен. Если появилась новая цель, проверьте, покрывает ли её имеющееся согласие.

Нужно ли уведомлять Роскомнадзор при каждой правке политики? Нет. Обязанность уведомить об изменениях связана не с текстом политики, а со сведениями из уведомления об обработке: цель, ответственный, трансграничная передача, место базы данных и другие. Изменилась формулировка без изменения сведений, значит, уведомление не нужно.

Можно ли просто поставить новую дату на старой политике? Дата без изменений документа не помогает. Она показывает, что редакцию просмотрели, но не заменяет сверку с тем, что сайт делает на самом деле. Если за период что-то менялось, поправьте и текст.

Что делать, если сайт собирает данные, а политику забыли опубликовать при смене версии? Верните доступ к документу как можно скорее и проверьте, что ссылка открывается без авторизации. Затем настройте процесс так, чтобы подмена версии шла на том же адресе без перерыва.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», часть 2 статьи 18.1 - обязанность опубликовать политику и обеспечить к ней доступ, представить документы по запросу Роскомнадзора (часть 4).
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», части 3 и 7 статьи 22 - перечень сведений в уведомлении и обязанность сообщать об их изменении до 15-го числа следующего месяца.
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», части 2 и 7 статьи 5 - конкретные цели обработки, срок хранения, уничтожение данных.
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», часть 1 статьи 9 - согласие оформляется отдельно от иных документов.
• КоАП РФ, статья 13.11 - составы и размеры штрафов, части 1 и 3.
• КоАП РФ, статья 4.1.1 - замена штрафа предупреждением для впервые совершённого нарушения, выявленного в ходе контроля.

Коротко

Политику конфиденциальности обновляют после событий: новая форма или сервис, новая или закрытая цель, смена ответственного, хостинга или места базы данных, трансграничная передача, изменение закона. Срока «раз в год» в 152-ФЗ нет, периодическая сверка и хранение версий с датами остаются практикой. Новую редакцию публикуйте на прежнем адресе без перерыва доступа и не встраивайте в неё согласие. Если вы подавали уведомление в Роскомнадзор и изменились указанные в нём сведения, сообщите об этом до 15-го числа следующего месяца.