# Политика конфиденциальности по Закону 195/2024: что в ней обязательно должно быть

Sursa / Источник: https://ongdpr.md/ru/blog/politika-konfidencialnosti-zakon-195

## Как документ называется правильно

Прежде чем говорить о структуре — уточнение о словах, которое имеет значение при проверке. Документ, которым вы объясняете человеку, что делаете с его данными, в официальной терминологии CNPDCP называется **информационным уведомлением** (обязанность информирования по ст. 12). «Политика конфиденциальности» — привычное название страницы в интернете, и никто вас за него не упрекнёт, но выполняете вы обязанность информировать, а не обязанность «иметь политику».

Различие не косметическое. Обязанность информирования выполняется **там, где вы собираете данные** — рядом с формой, при оформлении заказа, в момент подписки, — а не только на странице из подвала сайта, которую никто не открывает. Страница остаётся нужна как полный документ; контекстное информирование — это то, что делает информирование действенным.

## Почему нельзя просто скопировать политику с чужого сайта

Самая распространённая проблема политик конфиденциальности в том, что они скопированы и не отражают реальную обработку. Ст. 12 требует лаконичного, прозрачного, понятного и доступного сообщения, а ст. 13 перечисляет сведения, которые нужно предоставить, когда данные собираются напрямую у человека. Ст. 14 покрывает случай, когда данные пришли из другого источника.

Официальное руководство CNPDCP формулирует требование без юридического жаргона: люди должны знать, какие данные вы запрашиваете, зачем, сколько времени храните и какие у них права. И добавляет фразу, которую стоит прочитать каждому, кто когда-либо платил за десятистраничный юридический текст: «информирование не обязано состоять из объёмных юридических текстов. Достаточно ясного, прямого и добросовестно сформулированного сообщения».

Значит, уведомление, соответствующее закону, строится от реальной инвентаризации: какие данные вы собираете, какими средствами, кому передаёте дальше и сколько храните. А не от шаблона.

## Минимальная структура, по статьям

| Раздел | Основание | Что писать конкретно | Типичная ошибка |
|---|---|---|---|
| Личность оператора | ст. 13 | Полное юридическое наименование, IDNO, адрес, действующий контакт | «Наша компания», без названия |
| Собираемые данные | ст. 5, 13 | Перечень по категориям, а не общие формулировки | «Данные, необходимые для оказания услуг» |
| Цель каждой категории | ст. 5, 13 | Конкретная цель для каждой категории | Одна цель на все данные сразу |
| Правовое основание | ст. 6 | Применимое основание, отдельно по каждой цели | «Согласие» на всё подряд |
| Срок хранения | ст. 5, 13 | Срок или критерий его определения | Отсутствует полностью |
| Получатели | ст. 13, 28 | Категории поставщиков, которые касаются данных | «Мы никому не передаём данные» — неправда |
| Передача за пределы страны | ст. 44–50 | Где находятся серверы и на каких гарантиях | Игнорируется, хотя хостинг зарубежный |
| Права человека | ст. 15–22 | Перечислены, со способом реализации | Упомянуты расплывчато, без процедуры |
| Право на жалобу | ст. 72 и 74 | Жалоба в CNPDCP (ст. 72) и обращение в суд (ст. 74) | Отсутствует или назван не тот орган |
| Дата обновления | ст. 12 | Видимая дата на странице | Отсутствует |

Эти десять строк и есть полная структура. Дальше идут уточнения, которые отличают уведомление, проходящее внимательную проверку, от того, которое её не проходит.

### 1. Личность оператора

Полное юридическое наименование, идентификационный номер компании и действующий контактный адрес для запросов по персональным данным. Без ясной идентификации человек физически не может реализовать свои права — а невозможность реализовать право сама по себе является проблемой, а не формальностью.

### 2. Какие данные собираются

Конкретный перечень: IP-адреса, cookie, данные из форм обратной связи, адреса электронной почты, данные доставки и выставления счетов, данные учётной записи. Руководство CNPDCP приводит пример минимизации, прямо применимый к онлайн-торговле: для доставки нужны имя, адрес, телефон и, возможно, электронная почта, а обработка IDNP, изображения лица или даты рождения «будет, как правило, незаконной». Если какой-то тип данных вы не собираете — например, данные карты, которые целиком обрабатывает третья сторона, — об этом стоит сказать прямо.

### 3. Цель обработки

Каждая категория данных связана с конкретной целью. Принцип ограничения цели, проиллюстрированный тем же официальным руководством: номер телефона, собранный для доставки, нельзя использовать для приглашений на мероприятия. Хотите использовать и так — нужна отдельно заявленная цель и собственное основание.

### 4. Правовое основание

Для каждой цели — применимое основание из ст. 6. Руководство уточняет, что шесть оснований находятся в равном положении и что при наличии договора или законной обязанности согласие не требуется. У специальных категорий данных (ст. 9) и данных о судимости (ст. 10) есть дополнительные правила.

### 5. Срок хранения

Сколько вы храните данные и, в идеале, по какому критерию срок определяется: «до отзыва согласия», «на срок действия договора плюс законный срок бухгалтерского архивирования». Приблизительный, но честный срок лучше молчания.

### 6. Хостинг и безопасность

Где размещены данные — особенно важно, если серверы за пределами Республики Молдова, — и какие технические меры приняты. Руководство CNPDCP перечисляет намеренно простые меры: надёжные пароли, ограниченный доступ, регулярное резервное копирование, обновление программного обеспечения. Требуются не «дорогостоящие решения», а постоянная осмотрительность (ст. 32).

### 7. Кому передаются данные

Внешние поставщики (хостинг, платёжные сервисы, почтовые сервисы, аналитика) выступают как уполномоченные лица (ст. 28), и отношения с ними должны быть урегулированы договором. Руководство добавляет требование, которое большинство сайтов игнорирует: проверять поставщика **до** заключения договора и пересматривать оценку **не реже одного раза в год**; если партнёр не даёт гарантий, оператор обязан воздержаться от передачи ему данных.

### 8. Права субъекта данных

Ст. 13–14 покрывают информирование, а ст. 15–22 — остальные права: доступ (ст. 15), исправление (ст. 16), удаление (ст. 17), ограничение обработки (ст. 18–19), переносимость (ст. 20), возражение (ст. 21) и право не быть объектом решения, основанного исключительно на автоматизированной обработке (ст. 22). Нумерация та же, что в Регламенте ЕС 2016/679, — это показано в [сравнении двух режимов](/ru/blog/gdpr-moldova-vs-gdpr-es). Уведомление должно объяснять и **как** права реализуются: по какому адресу и в какой срок человек получит ответ.

### 9. Право подать жалобу в CNPDCP

Любой человек вправе подать жалобу в Национальный центр по защите персональных данных и обратиться в суд (ст. 72 и 74). Уведомление должно прямо упоминать это право, со ссылкой на [datepersonale.md](https://datepersonale.md) и, желательно, на [процедуру жалоб и петиций](https://datepersonale.md/about/plingeri-si-petitii/).

### 10. Дата последнего обновления

Уведомление без видимой даты не может доказать, что отражает текущую практику. Дата — ещё и элемент досье соответствия: она показывает, когда именно вы сделали работу, а не только то, что вы её сделали.

## Шаблон информационного уведомления

Структуру ниже заполняют по порядку. Каждая квадратная скобка — поле, которое нужно заполнить реальностью вашего сайта, а не общей формулой.

```
ИНФОРМАЦИОННОЕ УВЕДОМЛЕНИЕ ОБ ОБРАБОТКЕ ДАННЫХ
Последнее обновление: [дд.мм.гггг]

1. КТО МЫ
[Юридическое наименование], IDNO [xxxxxxxxxxxxx],
[адрес], [контактный e-mail].

2. КАКИЕ ДАННЫЕ МЫ ОБРАБАТЫВАЕМ И ЗАЧЕМ
Категория: [напр. контактные данные]
  Данные: [имя, e-mail, телефон]
  Цель: [ответ на обращения]
  Основание (ст. 6): [согласие / договор / ...]
  Хранение: [12 месяцев с последнего контакта]
(повторяется для каждой категории)

3. КТО ЕЩЁ ВИДИТ ДАННЫЕ
[Хостинг-провайдер] — размещение, [страна]
[Почтовый сервис] — отправка сообщений, [страна]
Все выступают как уполномоченные лица (ст. 28),
на основании договора.

4. СКОЛЬКО МЫ ХРАНИМ ДАННЫЕ
Согласно срокам из пункта 2. По их истечении
данные удаляются или обезличиваются.

5. ВАШИ ПРАВА
Доступ (ст. 15), исправление (ст. 16), удаление
(ст. 17), ограничение обработки (ст. 18-19),
переносимость (ст. 20), возражение (ст. 21),
автоматизированные решения (ст. 22).
Реализуются письмом на [e-mail]. Мы отвечаем
не позднее чем через один месяц с даты запроса.

6. ЖАЛОБЫ
Вы вправе подать жалобу в CNPDCP (datepersonale.md)
и обратиться в суд (ст. 72 и 74).

7. COOKIE
[Ссылка на политику cookie или отдельный раздел]
```

После заполнения проверьте одну-единственную вещь: откройте сайт и посчитайте, сколько инструментов он реально загружает. Если уведомление перечисляет три, а страница загружает семь, документ не описывает реальность — и это ровно то расхождение, которое замечает и внимательный посетитель, и автоматическое сканирование.

## Образец ответа на запрос о доступе (ст. 15)

Второй артефакт — тот, которого чаще всего не хватает. Запросы о доступе начнут приходить с 23 августа 2026 года, и срок отсчитывается со дня получения.

| Этап | Срок | Что вы делаете |
|---|---|---|
| Регистрация запроса | День получения | Фиксируете дату, заявителя и суть запроса |
| Проверка личности | 1–3 дня | Убеждаетесь, что человек запрашивает свои данные |
| Сбор данных | До 20-го дня | Выгружаете всё, что у вас есть об этом человеке |
| Ответ | Не позднее одного месяца | Отправляете копию данных и сведения |
| Продление, если запрос сложный | Объявляется в первый месяц | Сообщаете причину и новый срок |
| Продлённый срок | Ещё два месяца | Окончательный ответ |

Структура ответа: подтверждаете, что обрабатываете данные об этом человеке; перечисляете цели; перечисляете категории данных; перечисляете получателей; указываете срок хранения; упоминаете права на исправление, удаление, ограничение и возражение; упоминаете право на жалобу в CNPDCP; прикладываете копию данных.

Ведите журнал таких запросов с датой получения и датой ответа. Это прямое доказательство по критерию «степень соответствия» из ст. 87, который разбирается в [статье о санкциях](/ru/blog/shtrafy-gdpr-moldova).

## Частые ошибки

- **Общий текст, не приведённый к реальности сайта** — описывает обработки, которых нет, и умалчивает о тех, которые есть.
- **Нет явного правового основания** для каждого вида обработки, или «согласие» проставлено везде подряд.
- **Права упомянуты расплывчато**, без конкретного перечня и без адреса, по которому они реализуются.
- **Ссылка не на тот закон** — политики, всё ещё цитирующие отменённый Закон 133/2011 или законодательство другой страны.
- **Не тот орган** — любой орган, кроме CNPDCP, на сайте из Молдовы является заметной ошибкой.
- **Ссылку трудно найти** — уведомление существует, но недоступно ни из подвала, ни из баннера согласия.
- **Нет даты обновления.**

## Кому нужно информационное уведомление

Любому оператору, который собирает персональные данные через сайт: он обязан выполнить требования информирования из ст. 12–14. Опубликованная страница — обычное средство, но её нужно дополнять контекстным информированием там, где данные реально собираются. Полный контекст обязанностей — в [руководстве по Закону 195/2024](/ru/blog/zakon-195-2024-obyasnenie).

## Источники

- [CNPDCP — datepersonale.md](https://datepersonale.md), надзорный орган Республики Молдова.
- [Официальное руководство CNPDCP по Закону 195/2024, PDF](https://datepersonale.md/wp-content/uploads/2026/04/GDPR.pdf) — источник по требованиям информирования, минимизации и безопасности.
- [Информирование субъекта данных — раздел CNPDCP для операторов](https://datepersonale.md/data-controllers/data-subject-information/).
- [Полный текст Закона 195/2024 на legis.md](https://www.legis.md/cautare/getResults?doc_id=144681&lang=ro).
- [Жалобы и петиции — процедура CNPDCP](https://datepersonale.md/about/plingeri-si-petitii/).

## Часто задаваемые вопросы

**Как документ называется правильно: политика конфиденциальности или информационное уведомление?**
Официальная терминология CNPDCP — «информационное уведомление», связанное с обязанностью прозрачности из ст. 12. «Политика конфиденциальности» — привычное название в интернете, и его можно оставить как заголовок страницы, если содержание покрывает сведения, требуемые ст. 13–14.

**Достаточно ли общей политики, скачанной из интернета?**
Нет, если она не отражает точно, какие данные собирает именно ваш сайт и зачем. Расхождение между текстом и технической реальностью страницы заметить легко — и внимательному посетителю, и проверяющему.

**Должен ли это быть длинный юридический текст?**
Нет. Официальное руководство прямо говорит, что информирование не обязано состоять из объёмных юридических текстов и что достаточно ясного, прямого и добросовестно сформулированного сообщения. Длинный и нечитаемый текст может даже противоречить требованию понятной коммуникации из ст. 12.

**Политика конфиденциальности и политика cookie должны быть отдельными документами?**
Не обязательно, их можно объединить. Разделение делает оба текста удобнее для чтения и позволяет обновлять их независимо — особенно если список инструментов меняется часто.

**Как часто её нужно обновлять?**
Каждый раз, когда реально меняется способ обработки: новая форма, новый внешний поставщик, новая категория cookie. Дата последнего обновления должна быть видна на странице.

**Чем я рискую, если уведомления нет вообще?**
Отсутствие обязательных сведений может указывать на несоблюдение ст. 12–14. Юридический вывод, однако, зависит от того, какие данные собираются, откуда они поступают и какое информирование даётся в других точках потока.

**Нужно ли перечислять всех поставщиков поимённо?**
Закон требует сообщать получателей или категории получателей. Перечисление поимённо прозрачнее и легче проверяется; перечисление по категориям допустимо, но должно быть достаточно точным, чтобы человек понимал, куда попадают его данные.

**Что делать, если серверы находятся за пределами Республики Молдова?**
Указать это и назвать основание, на котором происходит передача. Трансграничная передача данных регулируется ст. 44–50 и не запрещена, но требует инструмента: решения об адекватности, надлежащих гарантий или применимого исключения.

**За какой срок нужно ответить на запрос о доступе?**
Не позднее чем за один месяц с момента получения запроса. Для сложных запросов срок можно продлить ещё на два месяца, уведомив человека в течение первого месяца.

**Можно ли брать плату за ответ на запрос о доступе?**
Базовое правило: информирование и ответ бесплатны. Официальное руководство настаивает на безвозмездном характере коммуникации, а возможные исключения нужно читать в полном тексте закона, а не предполагать.

**Моя политика ссылается на Закон 133/2011. Это проблема?**
Да. Закон 133/2011 отменяется Законом 195/2024 с 23 августа 2026 года. Уведомление, цитирующее отменённый закон, показывает, что документ давно не пересматривали и что описанные в нём обработки не переоценивались.

## Проверьте свою политику конфиденциальности

Автоматическое сканирование ищет на публичной поверхности сайта доступную политику и текстовые признаки ключевых элементов. Анализ лексический: он не заменяет юридическую проверку документа или внутренних процессов.

[**Проверить сайт бесплатно →**](/ru)