Есть ли у вас эти 5 документов?

Если вы продаёте товары или услуги через сайт, социальные сети, мессенджеры или чат-боты, условия сделки должны быть заранее определены.

Для массовых продаж обычно используют публичную оферту. Если вы оказываете индивидуальные услуги и можете обмениваться документами с каждым клиентом, можно заключать отдельный договор.

Проверьте, указаны ли в документе:

• кто оказывает услугу или продаёт товар;
• что именно получает клиент;
• стоимость и порядок оплаты;
• сроки оказания услуги или доставки;
• условия возврата денег;
• порядок предъявления претензий;
• права и обязанности сторон.

Если вы получаете имя, номер телефона, электронную почту, сведения о заказе или любую другую информацию о клиенте, вы обрабатываете персональные данные.

Политика нужна:

• самозанятым;
• индивидуальным предпринимателям;
• юридическим лицам.

Наличие сайта не имеет значения. Персональные данные могут собираться через мессенджеры, электронную почту, телефон, CRM-систему или бумажные документы.

В политике нужно объяснить:

• какие данные вы собираете;
• для каких целей их используете;
• где храните;
• кому передаёте;
• когда уничтожаете;
• какие права есть у клиента.

При первичном сборе персональных данных граждан РФ необходимо использовать базы данных, находящиеся на территории России. Это требование установлено частью 5 статьи 18 Федерального закона № 152-ФЗ.

Проверьте, где находятся базы:

• сайта и форм заявок;
• CRM-системы;
• платформы онлайн-обучения;
• сервиса рассылок;
• чат-бота;
• телефонии;
• системы аналитики и метрики.

Cookie и метрики помогают сохранять настройки пользователя, анализировать посещаемость и оценивать эффективность рекламы. Но при их использовании посетителя нужно информировать о соответствующей обработке данных.

На сайте важно предусмотреть:

• уведомление об использовании cookie - баннер;
• описание целей их применения;
• разделение обязательных и необязательных cookie;
• возможность отказаться от аналитических и рекламных инструментов;
• отдельное согласие на использование метрик.

Фразы «Продолжая пользоваться сайтом, вы соглашаетесь» может быть недостаточно, особенно если посетителю не предоставили реальной возможности отказаться и ознакомиться с содержанием согласия и политики.

Одна из частых ошибок — использовать одно универсальное согласие «на всё» или включать все согласия в договор, оферту. Но обработка персональных данных для консультации или заключения договора, получения рекламы (поздравительных рассылок) и публикация отзыва — разные цели. Для них требуются отдельные документы.

Согласие на рекламные и информационные сообщения нельзя автоматически включать в оферту или общее согласие на обработку персональных данных.

Также нельзя ставить получение услуги в зависимость от согласия на рекламу. Клиент должен иметь возможность воспользоваться услугой, даже если он не хочет получать рассылки.

Правильный вариант — отдельный чекбокс, который:

• не отмечен заранее;
• содержит ссылку на текст согласия и на текст политики;
• позволяет отказаться от сообщений;
• не объединён с принятием оферты.

Если в отзыве указаны имя, фамилия, фотография, должность, город или другие сведения, по которым можно узнать человека, необходимо получить согласие на распространение персональных данных, а в некоторых случаях может еще потребоваться и согласие в общедоступные источники.

Если отзыв публикуется на сайте, в социальных сетях и мессенджерах, эти источники желательно прямо указать в согласии.

Для согласия на распространение персональных данных нужно учитывать требования приказа Роскомнадзора от 24 февраля 2021 года № 18 — согласие должно быть составлено в письменной форме и по форме этого приказа.

Для публикации изображения гражданина, как правило, требуется согласие по статье 152.1 ГК РФ. В нём желательно указать:

• где будет опубликовано изображение;
• можно ли использовать его в рекламе;
• срок и территорию использования;
• допускается ли редактирование материала.

Если материал создал клиент или другой автор, одного согласия на использование изображения может быть недостаточно. Для коммерческого использования желательно отдельно оформить лицензионный договор или договор об отчуждении исключительного права.
В договоре нужно определить способы использования материала: размещение на сайте и в социальных сетях, воспроизведение, переработку, включение в рекламу и доведение до всеобщего сведения.

Например, клиент оставляет имя, телефон и описание своего вопроса. В согласии нужно указать:

• оператора персональных данных;
• конкретные цели обработки;
• перечень данных;
• действия с данными;
• срок действия согласия — обработки персональных данных;
• порядок его отзыва.

Уведомление должны подавать операторы, которые обрабатывают персональные данные, в том числе:

• самозанятые;
• ИП;
• юридические лица.

Сайт для этого не нужен. Обработка данных может происходить через договоры, мессенджеры, электронную почту, телефон или бумажные анкеты.

Подать уведомление и проверить сведения в реестре можно на официальном портале Роскомнадзора:
Реестр операторов персональных данных
Электронная форма уведомления

В уведомлении указываются цели обработки, категории данных и субъектов, способы обработки, используемые информационные системы и другие сведения.

Согласия можно получать:

• на бумаге;
• по электронной почте;
• через форму на сайте;
• с помощью отдельных чекбоксов;
• через личный кабинет или чат-бот.

Отсутствие одного документа не означает автоматического назначения штрафа. Но обработка персональных данных без законного основания, отсутствие уведомления, нарушение требований к локализации, неправильные согласия или утечка данных могут привести к ответственности.

В 2026 году за отдельные нарушения по статье 13.11 КоАП РФ для юридических лиц предусмотрены, в частности:

• за обработку персональных данных без законного основания (то есть без согласия) — от 150 000 до 300 000 рублей;
• за отдельные нарушения, связанные с письменным согласием (отсутствие согласий на распространение, включение в общедоступные источники, передачу третьим лицам), — до 700 000 рублей;
• за нарушение требования о локализации — от 1 до 6 млн рублей, а при повторном нарушении — от 6 до 18 млн рублей;
• за утечку данных — от 3 до 15 млн рублей в зависимости от количества затронутых лиц или идентификаторов;
• за повторную утечку — от 1 до 3% годовой выручки, но не менее 20 млн и не более 500 млн рублей.

Если вы хотите понять, каких документов не хватает именно вам, запишитесь на правовой разбор. Мы поможем адаптировать комплект документов под вашу модель работы: проверим сайт, соцсети и используемые сервисы, разработаем недостающие документы с учётом специфики вашего бизнеса.