Шаблон политики конфиденциальности для сайта

Что по GDPR должна содержать политика конфиденциальности сайта или интернет-магазина, какие законы и регуляторы действуют в Латвии, Эстонии и Литве, где разместить политику, частые ошибки и бесплатный шаблон, который можно скопировать и заполнить.

Последняя проверка: 16 октября 2026

Коротко

Расскажите, кто вы, зачем используете данные, на каком правовом основании и как долго их храните.
Назовите, кто получает данные, уходят ли они за пределы Европы и на каком основании.
Объясните права людей, в том числе право отозвать согласие и подать жалобу в орган по защите данных: DVI в Латвии, AKI в Эстонии, VDAI в Литве.
Дайте ссылку на политику с каждой страницы и рядом с каждой формой, которая собирает персональные данные.

Что такое политика конфиденциальности?

Политика конфиденциальности, которую также называют уведомлением о конфиденциальности или политикой обработки персональных данных, это текст, в котором вы рассказываете людям, что делаете с их персональными данными. На сайте это обычно отдельная страница со ссылкой в подвале.

Обязанность вытекает из Общего регламента ЕС по защите данных (GDPR). Статья 12 требует давать информацию в краткой, прозрачной, понятной и легкодоступной форме, ясным и простым языком. Статьи 13 и 14 перечисляют, что нужно сообщить: статья 13 действует, когда вы получаете данные от самого человека, например через форму, а статья 14, когда данные поступают от кого-то другого. Информация предоставляется бесплатно.

GDPR действует напрямую во всех странах ЕС. Латвия, Эстония и Литва дополнили его своими законами и назначили органы, которые следят за соблюдением правил. Подробнее об этом ниже, в разделе о странах Балтии.

Что в ней должно быть?

Когда вы получаете персональные данные от человека, статья 13 требует сообщить:

Кто вы: название и контактные данные организации, а также вашего представителя, если вы находитесь за пределами ЕС, но предлагаете здесь товары или услуги.
Вашего специалиста по защите данных, если он у вас есть, с контактными данными.
Цели и правовое основание. Для каждой цели укажите, на каком основании вы обрабатываете данные: согласие, договор, юридическая обязанность или законный интерес. Европейские рекомендации по прозрачности подчёркивают, что цели и правовое основание должны быть понятны.
Ваш законный интерес, если это ваше основание. Назовите конкретный интерес.
Получателей: кто получает данные, включая обработчиков, например хостинг-провайдера или сервис рассылок. По рекомендациям, лучше всего называть конкретных получателей; если вы указываете только категории, делайте их как можно конкретнее.
Передачу данных за пределы ЕС или ЕЭЗ: что она происходит, есть ли решение об адекватности защиты, а если нет, какую гарантию вы используете и как получить её копию. Страны, по рекомендациям, как правило, нужно называть.
Срок хранения данных или критерии, по которым он определяется. Формулировки «столько, сколько необходимо» по рекомендациям недостаточно.
Права человека: доступ, исправление, удаление, ограничение обработки, возражение и переносимость данных.
Право в любой момент отозвать согласие, если обработка основана на согласии.
Право подать жалобу в надзорный орган.
Обязан ли человек предоставить данные, например потому что они нужны для договора, и что будет, если он этого не сделает. Рекомендации добавляют, что в онлайн-формах должно быть ясно видно, какие поля обязательны.
Автоматизированное принятие решений, включая профилирование, если оно влечёт юридические или так же существенные последствия, с понятной информацией о логике и последствиях.

Отдельного внимания заслуживает право на возражение: статья 21 требует сообщать о нём прямо, ясно и отдельно от другой информации, не позднее первого контакта с человеком.

Где её разместить

Статья 13 требует давать информацию в момент получения данных. Европейские рекомендации по прозрачности, одобренные Европейским советом по защите данных (EDPB), объясняют, что это значит для сайта:

Ссылка на каждой странице. Каждый сайт должен публиковать политику конфиденциальности с прямой ссылкой, хорошо заметной на каждой странице, под привычным названием, например «Конфиденциальность» или «Политика конфиденциальности». Ссылка, которую трудно заметить из-за места или цвета, не считается легкодоступной.
В месте сбора данных. Хорошая практика: ссылка на политику рядом с каждой формой, которая собирает персональные данные, или информация прямо на той же странице.
Не в условиях использования. Людям не нужно искать её среди другой информации.
Многоуровнево, если текст длинный. Многоуровневая политика позволяет сразу перейти к нужной части, а не пролистывать всё. Полная информация при этом должна быть доступна в одном месте.
На языке посетителя, если вы обращаетесь к людям, говорящим на других языках, с точным переводом. Для многоязычных сайтов в странах Балтии это обычная ситуация.

Политика конфиденциальности, политика cookie и cookie-баннер

У этих трёх элементов разные задачи:

Cookie-баннер запрашивает согласие, прежде чем вы установите необязательные файлы cookie, и ссылается на подробности.
Политика cookie объясняет, какие файлы cookie и похожие технологии вы используете, кто их устанавливает и как долго они хранятся.
Политика конфиденциальности охватывает все персональные данные, которые вы обрабатываете, не только через cookie: формы, заказы, рассылки, обслуживание клиентов.

Они должны ссылаться друг на друга. В политике конфиденциальности упомяните инструменты аналитики и маркетинга, правовое основание (обычно согласие) и передачу данных за пределы Европы, а за подробностями о cookie отправьте в политику cookie. Баннер ссылается на обе. Отозвать согласие должно быть так же легко, как дать, поэтому в обоих текстах укажите, где можно изменить выбор. Латвийская DVI тоже требует, чтобы в информации о cookie были названы получатели и, если это происходит, передача данных за пределы ЕС. Как это сделать для Google Analytics, описано в руководстве Google Analytics и GDPR.

Cookie Confirm показывает баннер, который сохраняет согласие каждого посетителя и ссылается на вашу политику cookie и политику конфиденциальности.

Для интернет-магазинов

Интернет-магазин обрабатывает больше данных, чем обычный сайт, поэтому и в политике должно быть больше:

Заказы: данные, нужные для доставки, на основании договора. Укажите, что без них заказ выполнить нельзя.
Счета: законы о бухгалтерском учёте требуют хранить их определённый срок. Правовое основание: юридическая обязанность; укажите срок, который действует в вашей стране.
Оплата: назовите платёжного провайдера и укажите, получаете ли вы сами данные карты или счёта.
Доставка: назовите курьерские службы, которые получают адрес доставки.
Рассылка: для маркетинговых писем обычно нужно согласие. Директива ePrivacy допускает одно исключение: можно писать своим клиентам о собственных похожих товарах, если они могут бесплатно и просто отказаться при сборе адреса и в каждом письме. Укажите в политике, на что из этого вы опираетесь.
Отзывы: если после покупки клиентов приглашает сервис отзывов, назовите его и укажите, какие данные вы ему передаёте.
Аккаунты клиентов: укажите, как долго вы храните аккаунт и что происходит при неактивности.

Латвия, Эстония и Литва

Требования к содержанию политики во всех трёх странах одни и те же, потому что они взяты из GDPR. Отличаются национальные законы, которые дополняют регламент, и органы, в которые люди могут пожаловаться:

Страна	Закон, дополняющий GDPR	Надзорный орган
Латвия	Закон об обработке данных физических лиц (Fizisko personu datu apstrādes likums), 2018	Инспекция государственных данных (Datu valsts inspekcija, DVI), www.dvi.gov.lv
Эстония	Закон о защите персональных данных (Isikuandmete kaitse seadus), 2018	Инспекция по защите данных (Andmekaitse Inspektsioon, AKI), www.aki.ee
Литва	Закон о правовой защите персональных данных (Asmens duomenų teisinės apsaugos įstatymas)	Государственная инспекция по защите данных (Valstybinė duomenų apsaugos inspekcija, VDAI), vdai.lrv.lt

Что это значит для политики:

Назовите регулятор. Если вы работаете в одной стране, укажите её орган. Если у вас клиенты в нескольких странах Балтии, назовите все нужные органы: по статье 77 GDPR человек может пожаловаться прежде всего там, где он живёт или работает или где произошло нарушение. В шаблоне ниже все три органа уже указаны, удалите лишние.
Язык. Многие сайты в странах Балтии работают на двух или трёх языках. Публикуйте политику на каждом языке сайта, чтобы русскоязычный посетитель не получал политику только на латышском, а латышскоязычный только на русском.
Cookie отдельно. Для cookie, кроме GDPR, действуют национальные нормы: статья 7.1 латвийского Закона об услугах информационного общества и часть 4 статьи 73 литовского Закона об электронных коммуникациях; в Эстонии AKI применяет правило ЕС напрямую. Подробнее в руководстве Правила о cookie в странах Балтии.

Частые ошибки

Скопированный общий текст. Политика с чужого сайта или из генератора описывает другие инструменты и другие данные. Если она не соответствует тому, что делает ваш сайт, она не прозрачна.
Размытые цели. Европейские рекомендации приводят примеры недостаточно ясных фраз: использование данных «для разработки новых услуг», «для исследований» или «для персонализации услуг» без объяснения, что это значит.
Нет правового основания для каждой цели. Общая фраза «мы обрабатываем данные на основании GDPR» ничего не говорит.
Американские инструменты без информации о передаче. Аналитика, рассылки и хостинг часто американские. Назовите поставщика, страну и гарантию, например EU-US Data Privacy Framework или стандартные договорные условия. В решении по сайту db.lv DVI указала и на отсутствие информации о передаче данных за пределы ЕС.
«Столько, сколько необходимо». Укажите срок или критерии.
Не назван регулятор. Люди должны знать, что могут пожаловаться в надзорный орган.
Устаревший текст. Каждый новый плагин, инструмент или обработчик может изменить то, что нужно сообщить.

Шаблон

Ниже шаблон, который можно скопировать. Заполните всё, что указано в [квадратных скобках], удалите ненужные разделы и добавьте недостающую обработку, чтобы текст описывал то, что ваш сайт делает на самом деле. Шаблон не является юридической консультацией: если вы не уверены, подходит ли он для вашей ситуации, попросите юриста его проверить.

Источники

Шаблон политики конфиденциальности

Политика конфиденциальности компании [название компании]

Последнее обновление: [дата]

Кто мы
[Название компании] («мы») управляет сайтом [адрес сайта] [и интернет-магазином по адресу [адрес]]. Мы отвечаем за персональные данные, о которых говорится в этой политике.
[Название компании], [улица и номер дома], [почтовый индекс и город], [страна]
Регистрационный номер: [номер]
Электронная почта: [адрес электронной почты по вопросам защиты данных]
[Если у вас есть специалист по защите данных: С нашим специалистом по защите данных можно связаться по адресу [адрес электронной почты].]

О чём эта политика
В этой политике объясняется, какие персональные данные мы собираем, когда вы посещаете наш сайт, пишете нам, подписываетесь на рассылку или оформляете заказ, зачем мы это делаем и какие у вас есть права. О файлах cookie и похожих технологиях рассказано в нашей политике cookie: [ссылка на политику cookie].

Когда вы нам пишете
Если вы пользуетесь контактной формой или пишете нам по электронной почте, мы используем ваше имя, адрес электронной почты, [номер телефона] и ваше сообщение, чтобы ответить на вопрос.
Правовое основание: наш законный интерес отвечать людям, которые к нам обращаются[, или действия по вашему запросу до заключения договора].
Мы храним такие сообщения [срок, например 12 месяцев] после ответа на вопрос, если они не привели к заказу.

Когда вы оформляете заказ
Чтобы обработать и доставить заказ, мы используем ваше имя, адрес, адрес электронной почты, номер телефона, заказанные товары и статус оплаты.
Правовое основание: исполнение договора с вами. Без этих данных мы не сможем выполнить заказ.
Данные о заказах мы храним [срок], а счета [срок, который требует закон о бухгалтерском учёте или налогах в вашей стране], потому что этого требует закон.
Правовое основание для хранения счетов: выполнение юридической обязанности.
[Если клиенты могут создать аккаунт: Если вы создаёте аккаунт, мы храним его данные, пока вы его не удалите, или до истечения [срок] без активности.]

Оплата
Платежи обрабатывает [платёжный провайдер]. Мы получаем подтверждение оплаты, но не полные данные вашей карты или банковского счёта. [Платёжный провайдер] обрабатывает платёжные данные [как наш обработчик / как отдельный контролёр по своей политике конфиденциальности: ссылка].

Доставка
Мы передаём ваше имя, адрес [и адрес электронной почты или номер телефона] [курьерской службе], чтобы она доставила заказ и сообщила вам о доставке.

Рассылка
[Выберите:]
[Если вы подписались, мы используем ваш адрес электронной почты [и имя], чтобы отправлять вам рассылку. Правовое основание: ваше согласие. Вы можете отписаться в любой момент по ссылке в каждом письме или написав нам. Это не влияет на законность обработки до отзыва согласия.]
[Как нашему клиенту мы можем присылать вам письма о наших собственных похожих товарах. Правовое основание: наш законный интерес в прямом маркетинге. Вы можете в любой момент бесплатно возразить по ссылке в каждом письме или при оформлении заказа.]
Для отправки рассылки мы используем [сервис рассылок]. Ваш адрес электронной почты мы храним, пока вы не отпишетесь.

Отзывы
[Если применимо: После заказа мы можем попросить вас оставить отзыв через [сервис отзывов]. Для этого мы передаём [сервису отзывов] ваше имя, адрес электронной почты и номер заказа. Правовое основание: [наш законный интерес в сборе отзывов клиентов / ваше согласие]. Если вы оставляете отзыв, он публикуется [с вашим именем / с выбранным вами именем].]

Аналитика и маркетинг
Мы используем [инструмент аналитики], чтобы понимать, как посетители пользуются сайтом, и [маркетинговые инструменты, например Google Ads, Meta Pixel], чтобы показывать нашу рекламу и оценивать её эффективность. Эти инструменты используют файлы cookie или похожие технологии. Мы включаем их, только если вы дали согласие в нашем cookie-баннере. Изменить выбор можно в любой момент по [ссылке «Настройки cookie» внизу каждой страницы]. Какие файлы cookie мы используем, кто их устанавливает и как долго они хранятся, указано в нашей политике cookie: [ссылка].

Кто получает ваши данные
Мы не продаём ваши персональные данные. Мы передаём их только в случаях, описанных в этой политике, или если этого требует закон. Эти компании обрабатывают данные по нашему поручению на основании договора об обработке данных:
- [хостинг-провайдер] – хостинг сайта [и интернет-магазина]
- [сервис рассылок] – отправка писем и рассылки
- [платформа интернет-магазина] – наш интернет-магазин
- [бухгалтерская программа] – бухгалтерский учёт
[Добавьте или удалите получателей, чтобы список соответствовал вашей ситуации.]

Передача данных за пределы Европы
Некоторые из этих компаний находятся за пределами Европейской экономической зоны или могут получать доступ к данным оттуда:
- [поставщик] в [стране]. Гарантия: [решение Европейской комиссии об адекватности защиты для Рамочной программы конфиденциальности данных ЕС и США (EU-US Data Privacy Framework) / стандартные договорные условия].
Копию этих гарантий можно запросить по адресу [адрес электронной почты по вопросам защиты данных]. [Если передачи нет: Мы не передаём персональные данные за пределы Европейской экономической зоны.]

Сроки хранения
Мы храним данные не дольше, чем нужно для описанных выше целей. Сроки хранения указаны в каждом разделе. После этого мы удаляем или обезличиваем данные.

Автоматизированные решения
Мы не принимаем решений о вас, основанных исключительно на автоматизированной обработке, включая профилирование, которые влекут для вас юридические последствия или так же существенно на вас влияют. [Если принимаете, например автоматическую проверку на мошенничество, опишите её, используемую логику и последствия для клиента.]

Ваши права
Вы имеете право:
- получить доступ к вашим персональным данным, которые у нас есть;
- исправить неверные данные;
- потребовать удаления данных;
- ограничить обработку данных;
- получить данные, которые вы нам предоставили, в структурированном, общепринятом формате или попросить передать их другой компании, если мы обрабатываем их на основании вашего согласия или договора (переносимость данных);
- в любой момент отозвать согласие, если обработка основана на согласии. Это не влияет на законность обработки до отзыва.

Ваше право на возражение
Если обработка основана на нашем законном интересе, вы можете возразить против неё по причинам, связанным с вашей ситуацией. Против прямого маркетинга вы можете возразить всегда, и тогда мы перестанем использовать для него ваши данные.

Чтобы воспользоваться этими правами, напишите на [адрес электронной почты по вопросам защиты данных]. Мы ответим в течение одного месяца. Если запрос сложный, мы можем продлить срок ещё на два месяца и сообщим об этом в течение первого месяца. Сначала мы можем попросить вас подтвердить личность.

Жалобы
Если вас не устраивает, как мы обращаемся с вашими данными, сначала напишите нам на [адрес электронной почты по вопросам защиты данных]. Вы также имеете право подать жалобу в орган по защите данных, прежде всего в стране, где вы живёте или работаете или где, по вашему мнению, произошло нарушение. [Оставьте нужные органы:]
- Латвия: Инспекция государственных данных (Datu valsts inspekcija, DVI), Elijas iela 17, Rīga, LV-1050, www.dvi.gov.lv
- Эстония: Инспекция по защите данных (Andmekaitse Inspektsioon, AKI), Tatari 39, 10134 Tallinn, жалоба: www.aki.ee/meist/vota-uhendust/kaebus-isikuandmete-kaitse-asjas
- Литва: Государственная инспекция по защите данных (Valstybinė duomenų apsaugos inspekcija, VDAI), L. Sapiegos g. 17, 10312 Vilnius, vdai.lrv.lt
[В другой стране ЕС: [название органа по защите данных, сайт].]

Изменения этой политики
Мы можем обновлять эту политику, когда меняются наши услуги или закон. Дата вверху показывает, когда политика обновлялась в последний раз. О важных изменениях мы сообщим [по электронной почте / уведомлением на сайте].

Не хотите заполнять сами?Cookie Confirm составляет декларацию cookie по результатам сканирования вашего сайта и обновляет её, когда файлы cookie меняются.

Часто задаваемые вопросы

Обязательна ли политика конфиденциальности для сайта?

Если сайт собирает персональные данные, например через контактную форму, рассылку, заказы или аналитику, GDPR обязывает вас дать людям информацию из статей 13 и 14. Страница с названием «политика конфиденциальности» в законе не предписана, но политика со ссылкой на каждой странице остаётся привычным способом это сделать. Это одинаково действует в Латвии, Эстонии, Литве и во всех других странах ЕС.

Можно ли пользоваться генератором политики конфиденциальности?

Генератор или шаблон хорош как отправная точка, если вы проверите каждую фразу на соответствие тому, что ваш сайт делает на самом деле: какие данные, какие инструменты, какие получатели и как долго вы храните данные. Текст, который описывает чужие инструменты, не прозрачен.

Чем политика конфиденциальности отличается от уведомления о конфиденциальности?

На практике это одно и то же: открытый текст, в котором вы объясняете, как используете персональные данные. Встречаются также названия «политика обработки персональных данных» и «правила защиты данных». GDPR ни одно из этих названий не использует.

Можно ли объединить политику конфиденциальности и политику cookie?

Да. Одни сайты публикуют всё одним документом, другие держат две страницы, которые ссылаются друг на друга. Главное, чтобы информация была полной и её было легко найти, а cookie-баннер ссылался на неё.

На каком языке должна быть политика конфиденциальности?

На языке тех, к кому обращается сайт. Европейские рекомендации по прозрачности требуют, чтобы информация была понятна аудитории; если сайт рассчитан на людей, говорящих на других языках, нужен точный перевод. Если ваш сайт на русском, а клиенты также говорят по-латышски, по-эстонски или по-литовски, опубликуйте политику на каждом языке сайта.

Куда жаловаться на нарушение защиты данных в странах Балтии?

В Латвии в Инспекцию государственных данных (DVI), в Эстонии в Инспекцию по защите данных (AKI), в Литве в Государственную инспекцию по защите данных (VDAI). По GDPR человек может пожаловаться прежде всего в стране, где он живёт или работает или где произошло нарушение. Поэтому в политике полезно назвать регулятор каждой страны, где у вас есть клиенты.

Как часто нужно обновлять политику конфиденциальности?

Каждый раз, когда меняется обработка: новый инструмент, новый обработчик, новая цель или передача данных за пределы Европы. Укажите вверху дату последнего обновления и активно сообщайте о важных изменениях.

Это руководство содержит общую информацию и не является юридической консультацией. Мы регулярно его проверяем, но законы и разъяснения меняются. Не уверены в своей ситуации? Обратитесь к юристу.

Другие руководства

Все руководства →

Первые 7 дней совершенно бесплатно

Создайте бесплатный аккаунт и проверьте, подходит ли вам Cookie Confirm. Запуск за 5 минут.

Банковская карта не нужна
затем 7,95 € в месяц
Установка в один клик

Начать бесплатный пробный период

4,9/5 5 000+ сайтов