Отказ от использования сайта при отказе от политики

Пользователь нажал «Не соглашаюсь» — и что дальше? Ни закон, ни регулятор не прописали единственный правильный ответ на этот вопрос. Но прецеденты и позиция РКН дают чёткую логику: без согласия нет законного основания для обработки, а значит, сайт обязан либо ограничить функционал, либо вовсе отказать в доступе. В этой инструкции — шаги для юриста, который выстраивает корректный порядок отказа и документирует его в ОРД оператора.

Шаг 1. Зачем нужна политика и что происходит при её отклонении?

Политика обработки персональных данных — это обязательный документ по ч. 2 ст. 18.1 ФЗ-152. Оператор публикует её в открытом доступе до начала сбора ПДн. Пользователь, переходя на сайт, должен иметь возможность ознакомиться с ней и выразить своё отношение.

Согласие с политикой — самостоятельное правовое основание. По ст. 6 ФЗ-152 обработка допустима только при наличии хотя бы одного из оснований. Если пользователь отказывается от политики, оснований по п. 1 ст. 6 (согласие) у оператора нет. Это не просто технический момент: РКН при плановой или внеплановой проверке смотрит именно на наличие правового основания для каждого действия с ПДн.

Когда пользователь не принимает политику, логика обработки ПДн на сайте рушится: формы обратной связи, счётчики, cookies-аналитика, передача данных подрядчикам — всё требует отдельного основания. Именно поэтому порядок отказа нужно закрепить в ОРД — и технически реализовать на стороне сайта.

Шаг 2. Как правильно оформить порядок отказа в документах оператора?

Юридическая основа порядка отказа — три документа: политика обработки ПДн, форма согласия (с 01.09.2025 — отдельный документ по ст. 9 ФЗ-152) и внутренний регламент работы с сайтом. Последний определяет, что происходит технически при нажатии «не соглашаюсь».

Что должно быть зафиксировано в документах:

• Перечень ПДн, которые сайт собирает при каждом визите (включая технические — IP, cookies).
• Правовое основание для каждой категории обработки — согласие, договор, закон.
• Действие системы при отсутствии согласия: блокировка формы, ограничение функционала, перенаправление на страницу-заглушку.
• Порядок уведомления пользователя об ограничениях при отказе от политики.
• Ответственный за организацию обработки по ст. 22.1 ФЗ-152 — с подписанным приказом о назначении.

Типовая ошибка: политика описывает порядок отказа в общих чертах («пользователь вправе не давать согласие»), но не раскрывает последствий. РКН при проверке запрашивает как документ, так и доказательства его технической реализации.

Шаг 3. Какие технические меры реализовать на сайте?

Документы без технической реализации не защитят от штрафа. Если политика говорит об ограничении функционала при отказе, а сайт продолжает собирать cookies и передавать данные в GA4 — это нарушение ст. 5 ФЗ-152 (обработка сверх объёма, необходимого для цели).

Минимальный технический порядок при отказе пользователя:

• Отключение аналитических и маркетинговых счётчиков (GA4, Яндекс.Метрика, Meta Pixel) до получения согласия.
• Блокировка форм, собирающих контактные данные — при отсутствии акцепта политики.
• Сохранение выбора пользователя (cookie с флагом отказа) с указанием срока хранения в документации.
• Доступность информационных страниц сайта без передачи ПДн — если это технически возможно.

Ряд операторов практикует полный запрет на использование сайта при отказе от политики — это законно. Другие ограничивают только те функции, которые требуют ПДн. Выбор модели фиксируется в политике и регламенте; оба варианта допустимы при условии корректного документирования.

Шаг 4. Что указать в уведомлении в РКН и как связать с порядком отказа?

Уведомление о намерении осуществлять обработку ПДн по ст. 22 ФЗ-152 подаётся через портал pd.rkn.gov.ru. В нём указываются цели, категории субъектов, правовые основания и меры защиты. Порядок отказа напрямую связан с правовыми основаниями: если согласие является основанием для обработки через сайт, уведомление должно отражать именно этот факт.

Критически важно: если уведомление подано с указанием «договор» как основания, а реально обработка идёт только при согласии — РКН выявит несоответствие при сопоставлении уведомления с фактической практикой сайта. Штраф за неуведомление или несвоевременное уведомление — 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

Для юриста, который ведёт нескольких операторов: порядок отказа должен быть синхронизирован между политикой, уведомлением в РКН и техническими настройками сайта. Любое расхождение — риск при внеплановой проверке по жалобе субъекта.

Шаг 5. Как назначить ответственного и закрыть комплаенс по ст. 22.1?

Ответственный за организацию обработки ПДн по ст. 22.1 ФЗ-152 — обязательная роль для операторов-юрлиц. Без приказа о назначении пакет ОРД формально неполон, а сам факт отсутствия назначения фиксируется при проверке как нарушение.

Ответственный обязан знать содержание политики, контролировать соблюдение порядка отказа, обрабатывать запросы субъектов по ст. 20 ФЗ-152 (срок ответа — 10 рабочих дней с возможностью продления ещё на 5 рабочих дней) и участвовать во взаимодействии с РКН. На практике в малом и среднем бизнесе эту роль часто совмещает юрист или руководитель — это допустимо, если функция закреплена приказом.

Что входит в полный пакет ОРД для закрытия темы порядка отказа:

Типовые ситуации: как это работает на практике

Ситуация 1. Юрист обнаружил, что форма согласия встроена в договор оферты. До 01.09.2025 это было распространённой практикой. С этой даты ФЗ-156 требует отдельного документа. Если форма не переработана — каждое новое согласие, полученное после 01.09.2025 в рамках договора, является ненадлежащим. Риск: штраф по ч. 2 ст. 13.11 КоАП до 700 000 ₽ за обработку без надлежащего согласия. Стратегия: переработать форму как отдельный документ, не трогая ранее подписанные договоры (обратной силы требование ФЗ-156 не имеет).

Ситуация 2. Пользователь отказался от политики, но форма обратной связи продолжает работать. Технически сайт не ограничивает доступ к форме. При проверке РКН — несоответствие между политикой («при отказе обработка не ведётся») и реальным поведением системы. Фиксируется как нарушение ст. 5 и ст. 9 ФЗ-152. Стратегия: синхронизировать документ и техническую реализацию; либо убрать упоминание ограничения из политики, либо реализовать его технически.

Ситуация 3. Оператор не назначил ответственного по ст. 22.1 ФЗ-152, проверка РКН уже уведомлена. В рамках проверки инспектор запрашивает приказ о назначении — документа нет. Это самостоятельное нарушение, добавляющееся к основным. Стратегия: немедленно оформить приказ и внести сведения в уведомление РКН (изменение сведений — через форму на pd.rkn.gov.ru). Штраф за ненадлежащую организацию обработки по ч. 3 ст. 13.11 КоАП — 30 000–60 000 ₽, но он накапливается с другими нарушениями.

Кейсы из практики

Кейс 1. Юридический департамент торговой сети (Центральный ФО, осень 2025) обнаружил при внутреннем аудите, что политика конфиденциальности на сайте не обновлялась с 2022 года: раздел о последствиях отказа от политики отсутствовал, ответственный по ст. 22.1 не был назначен приказом, а форма согласия была частью пользовательского соглашения. После поступления запроса РКН о представлении документов компания в течение 10 рабочих дней привела ОРД в соответствие: оформила политику, отдельную форму согласия и приказ о назначении ответственного. РКН ограничился предписанием об устранении нарушений без штрафа — в том числе благодаря оперативной реакции и полному пакету документов.

Кейс 2. SaaS-компания (Северо-Западный ФО, начало 2026) при регистрации пользователей использовала чекбокс «принимаю политику и пользовательское соглашение» — единый для двух документов. После вступления в силу ФЗ-156 это стало нарушением требования отдельного согласия по ст. 9 ФЗ-152. По жалобе одного из пользователей РКН возбудил дело по ч. 2 ст. 13.11 КоАП. Штраф составил сотни тысяч рублей. Компания смогла снизить его в ходе рассмотрения дела, представив доказательства оперативного устранения нарушения и отсутствия ущерба субъектам. ⚠️ Точные реквизиты дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Комплект ОРД под ключ — политика, согласия, приказы, регламенты для сайта
• Аудит соответствия 152-ФЗ — проверка сайта и документов по 38 позициям
• DPO-аутсорсинг — ведение функции ответственного по ст. 22.1 на абонементе

Частые вопросы

1. Какие документы должны быть у оператора ПДн?

Минимальный пакет включает: политику обработки ПДн (ст. 18.1 ФЗ-152), опубликованную на сайте; отдельную форму согласия с реквизитами по ст. 9 ФЗ-152 (требование действует с 01.09.2025 по ФЗ-156); приказ о назначении ответственного по ст. 22.1; уведомление в РКН по Приказу №180; регламент реагирования на запросы субъектов и инциденты. Итого — не менее 38 позиций при полном комплекте ОРД.

2. Как составить политику обработки ПДн?

Политика должна содержать: цели обработки, перечень категорий ПДн и субъектов, правовые основания, сроки обработки и хранения, описание мер защиты, порядок реализации прав субъектов, условия передачи третьим лицам, порядок отзыва согласия и последствия отказа. Ч. 2 ст. 18.1 ФЗ-152 определяет обязательное содержание. Шаблоны из интернета не учитывают специфику конкретного сайта и регулярно устаревают.

3. Кого назначить ответственным по ст. 22.1?

Ответственным может быть штатный сотрудник (юрист, IT-директор, руководитель) или внешний специалист на аутсорсинге. Требования к квалификации определены ч. 4 ст. 22.1 ФЗ-152. Назначение оформляется приказом с указанием полномочий. Ответственный не несёт личную ответственность за нарушения оператора — он организует процесс, ответчик перед РКН остаётся оператор.

4. Можно ли использовать шаблон политики из интернета?

Нет. Шаблон не учитывает: фактический перечень ПДн вашего сайта, конкретных подрядчиков (передача данных), актуальные нормы ФЗ-156 от 24.06.2025, уведомление РКН и сведения о трансграничной передаче. РКН при проверке сверяет политику с реальной практикой обработки — расхождение фиксируется как нарушение по ч. 3 ст. 13.11 КоАП (штраф 30 000–60 000 ₽) и по существу.

5. Какие согласия нужны после 01.09.2025?

С 01.09.2025 (ФЗ-156 от 24.06.2025) каждое согласие оформляется отдельным документом — не включается в договор, оферту или пользовательское соглашение. Обязательные реквизиты по ст. 9 ФЗ-152: ФИО субъекта, контакты, наименование оператора, цель, перечень ПДн, перечень действий, срок, способ отзыва. Согласия, полученные до 01.09.2025 в иной форме, обратной силы требование не имеет — переоформлять их не нужно.

6. Что грозит за отсутствие порядка отказа на сайте?

Отсутствие задокументированного порядка отказа влечёт сразу несколько рисков: штраф по ч. 3 ст. 13.11 КоАП за ненадлежащую политику (30 000–60 000 ₽), штраф по ч. 2 ст. 13.11 за обработку без надлежащего согласия (300 000–700 000 ₽), а при повторности — до 1 500 000 ₽ по ч. 2.1. Если при этом ведётся трансграничная передача данных без уведомления РКН, добавляется риск по ч. 8 ст. 13.11 (1 000 000–6 000 000 ₽).

Итог

Отказ от политики конфиденциальности — не отдельная функция сайта, а точка, в которой сходятся правовое основание обработки, технические настройки и весь пакет ОРД оператора. Если хотя бы одно звено отсутствует, РКН при проверке зафиксирует нарушение по нескольким статьям одновременно.

DATUM сопровождает операторов при выстраивании полного порядка работы с согласиями — от актуализации политики под требования ФЗ-156 до назначения ответственного по ст. 22.1 и сверки уведомления в РКН с реальной практикой обработки.

21 ноября 2026 года