Цели обработки персональных данных: как сформулировать, чтобы не переписывать

Цели обработки персональных данных - это не формальная строка для галочки, а требование статьи 5 закона № 152-ФЗ, которое проверяет и Роскомнадзор, и суд, если дело дойдет до иска от клиента. Сформулировать ее правильно с первого раза дешевле, чем потом переписывать сразу три документа: согласие, политику обработки и уведомление в РКН.

На практике формулировка целей обработки персональных данных вызывает больше вопросов, чем кажется на первый взгляд. Одни компании пишут одну цель на все случаи жизни, другие перечисляют действия с данными вместо самой цели, третьи вообще не связывают формулировку из согласия с той, что стоит в политике на сайте. Каждая из этих ошибок - повод для замечания при проверке и основание для отказа, если субъект данных позже потребует объяснить, зачем оператор хранит его сведения.

Дальше - что закон требует от формулировки цели, где она должна быть прописана, какие ошибки встречаются чаще всего и как сформулировать цель для сайта, интернет-магазина, клиники, школы или кадровой службы на конкретных примерах.

Что закон требует от формулировки цели обработки персональных данных

Статья 5 закона № 152-ФЗ требует, чтобы обработка ограничивалась достижением конкретных, заранее определенных и законных целей. Из этого короткого требования вытекают три практических правила.

Во-первых, цель нужно сформулировать до того, как оператор начал собирать данные, а не задним числом, когда база уже понадобилась для чего-то нового. Во-вторых, цель должна быть конкретной: фраза вроде обработка персональных данных в деятельности компании целью не считается - это пересказ самого факта обработки, а не ответ на вопрос, зачем данные нужны. В-третьих, цель обязана быть законной: собрать данные ради того, что закон запрещает, или без какого-либо правового основания нельзя, даже если человек сам поставил галочку в форме.

Есть и менее очевидное следствие статьи 5: если данные собраны для одной цели, использовать их для другой без нового согласия или отдельного законного основания нельзя. Собрали телефон для доставки заказа - а потом добавили номер в базу для рекламных обзвонов. Формально это уже другая цель обработки, и старое согласие ее не покрывает.

С 1 сентября 2025 года действует и техническое требование, которое напрямую касается формулировки цели: по закону № 156-ФЗ от 24 июня 2025 года согласие оформляется отдельным документом, а не пунктом внутри пользовательского соглашения или условий заказа. Значит, цель обработки, которая раньше могла затеряться среди прочих условий сайта, теперь должна стоять отдельно и читаться сама по себе.

Формулировка не обязана быть длинной, но должна отвечать на простой вопрос: если бы сторонний человек прочитал только эту фразу, понял бы он, зачем компания забирает его телефон или почту. Если ответ нет, формулировка не годится, сколько бы юридических слов в ней ни было.

Где цель должна быть прописана: согласие, политика, уведомление РКН

Одна и та же цель обработки персональных данных должна одинаково звучать в трех документах, и расхождение между ними - частая находка при проверке.

Первое место - согласие субъекта. Закон требует указывать цель обработки как одно из обязательных условий действительного согласия, поэтому формулировка целей обработки персональных данных в согласии должна быть узкой и понятной человеку, который его подписывает: не обработка в соответствии с законодательством, а конкретное действие вроде рассмотрения заявки на услугу и обратной связи по ней. Как оформить сам документ согласия и куда вписать такую формулировку, разобрано в материале о согласии на обработку персональных данных.

Второе место - политика обработки персональных данных, которую оператор обязан опубликовать по требованию статьи 18.1 закона. В политике цели обычно шире, чем в конкретном согласии: документ описывает все направления работы сайта или компании разом. Подробная структура такого документа и обязательные пункты после последних поправок - в статье про политику обработки персональных данных.

Третье место - уведомление в Роскомнадзор по статье 22 закона. Цель там указывается в свободной форме, но при проверке инспектор сверяет ее с тем, что написано в политике и в согласии на сайте оператора. Пошаговый порядок заполнения уведомления, включая поле с целью обработки, есть в инструкции о подаче уведомления об обработке ПДн.

Отдельно сверять формулировки во всех трех местах приходится вручную: ни один из трех документов не подтягивает текст из другого автоматически, а обновляют их обычно разные люди - юрист правит политику, маркетолог меняет форму на сайте, бухгалтер подает уведомление. Расхождение чаще возникает не из злого умысла, а просто потому, что три задачи распределены между разными людьми и никто не сверяет их между собой.

Типичные ошибки при формулировании целей обработки

Четыре ошибки встречаются на практике чаще остальных.

Одна цель на все случаи жизни. Компания указывает обработку персональных данных в целях осуществления хозяйственной деятельности и на этом останавливается. Формулировка ничего не говорит проверяющему и не защищает оператора: под нее можно подвести что угодно, а значит, она не отвечает требованию конкретности.

Цель как перечень действий. Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление и уничтожение персональных данных - это цитата из определения обработки в статье 3 закона, а не цель. Такую формулировку часто встречают в шаблонах согласий, скачанных из интернета, и она не проходит проверку на конкретность.

Несовпадение целей в разных документах. В согласии написано про доставку заказа, в политике - про улучшение сервиса и аналитику, в уведомлении РКН - третий вариант. Инспектор читает все три документа подряд и фиксирует расхождение как нарушение статьи 5.

Цель, добавленная задним числом. Через полгода после запуска сайта появляется рассылка или чат-бот для сбора заявок, а согласие и политику не обновили. Формально с этого момента оператор обрабатывает данные за пределами заявленной цели, и это легко проверить, сравнив дату документа с датой запуска новой формы на сайте.

Все четыре ошибки объединяет одно: их не видно на глаз, пока кто-то не сравнит формулировки построчно. Сайт при этом может выглядеть аккуратно, ссылка на политику работает, чекбокс согласия стоит на месте - а расхождение вскрывается только при чтении текста документов, а не при осмотре страницы.

Чем грозит неточная формулировка цели

Сама по себе неточная формулировка цели - не отдельная статья в КоАП, штрафуют не за формулировку буквально, а за то, что из-за нее обработка данных перестает соответствовать заявленным условиям. Дальше уже включаются общие нормы об ответственности за нарушение требований к обработке персональных данных.

Административная ответственность по статье 13.11 КоАП РФ наступает за обработку без надлежащего согласия или с нарушением условий, на которых оно давалось, - а несовпадающая с самим согласием цель как раз создает основание для такого нарушения. С 30 мая 2025 года по этой статье применяются оборотные штрафы, введенные законом № 420-ФЗ от 30 ноября 2024 года: сумма считается от выручки компании, а не фиксируется заранее, поэтому цена ошибки для среднего и крупного бизнеса выросла заметно.

При утечке данных, которые обрабатывались за пределами заявленной цели, добавляется еще один риск: с той же даты за отдельные случаи наступает уголовная ответственность по статье 272.1 УК РФ. Формулировка цели не главный фактор такого дела, но при разборе инцидента следствие смотрит и на то, соответствовала ли фактическая обработка тому, что записано в документах оператора.

Есть и менее очевидное последствие, которое встречается чаще штрафов: субъект персональных данных вправе потребовать уточнения, блокирования или уничтожения своих данных, если считает, что они обрабатываются с нарушением закона, в том числе за пределами заявленной цели. Спор с одним недовольным клиентом редко доходит до Роскомнадзора, но именно такие обращения чаще всего становятся поводом для внеплановой проверки.

Проверить формулировки стоит и тем, кто пока не сталкивался ни с проверками, ни с жалобами: риск-ориентированный подход означает, что часть операторов годами не попадает в поле зрения РКН, а расхождение в целях тем временем остается в документах и всплывает при первом же обращении клиента или при смене платформы сайта, когда кто-то заново читает все документы подряд.

Таблица целей обработки персональных данных: сайт, интернет-магазин, кадры, рассылки

Ниже - примеры формулировок для типичных ситуаций. Это не готовый бланк для копирования: цель нужно подогнать под то, что компания делает на самом деле, иначе формулировка снова окажется общей и не пройдет проверку.

Ситуация	Пример формулировки цели	Где закрепляется
Форма обратной связи на сайте	Рассмотрение обращения посетителя сайта и предоставление ответа по существу вопроса	Согласие при отправке формы, политика обработки
Интернет-магазин	Заключение и исполнение договора купли-продажи, включая оформление доставки заказа	Согласие или оферта, уведомление в РКН
Email-рассылка	Информирование подписчика о товарах, услугах и акциях по электронной почте	Отдельное согласие на рассылку, политика
Кадровый учет	Заключение и исполнение трудового договора, ведение кадрового учета и расчет заработной платы	Локальный акт, согласие в части, не покрытой Трудовым кодексом
Реестр членов товарищества	Ведение реестра членов, учет взносов, уведомление о проведении общих собраний	Устав, протоколы, журнал учета

Пятая строка - не абстрактный пример: небольшие некоммерческие объединения вроде садовых товариществ обрабатывают данные членов ровно в этих трех целях и почти никогда не выходят за их пределы. Разбор именно этого случая - в статье о персональных данных в СНТ.

Примеры целей в разных сферах: клиника, школа, самозанятый

Клиника обрабатывает персональные данные в целях оказания медицинских услуг и ведения медицинской документации - карты пациента, записи на прием, результатов анализов. Здесь формулировка цели усложняется тем, что вместе с обычными данными оператор получает сведения о здоровье, а это специальная категория персональных данных с отдельными требованиями к согласию. Указать общую цель вроде оказания медицинских услуг мало: нужно отдельно оговорить, что согласие охватывает и обработку сведений о состоянии здоровья, иначе формально согласия на эту часть данных просто нет. То же самое касается стоматологий и салонов с медицинской лицензией: онлайн-запись на прием собирает не только контакты, но зачастую и повод обращения, а это уже сведения о здоровье, а не просто имя и телефон.

У школы или детского центра цель обычно звучит как организация образовательного процесса, ведение личных дел учащихся и информирование родителей об успеваемости. Отдельная сложность - фото и видео с мероприятий: если школа публикует их на сайте или в родительском чате, это уже другая цель, требующая отдельного согласия родителей, а не продолжение цели по ведению личного дела.

У самозанятого набор данных клиента обычно минимальный: имя, телефон, адрес доставки или место оказания услуги. Цель формулируется так же просто - исполнение договора оказания услуг, включая связь с клиентом и передачу результата работы. Разворачивать эту формулировку в объемный документ не нужно: закон не требует от небольшого бизнеса писать политику обработки персональных данных на десять страниц, если данных обрабатывается немного и все они укладываются в одну понятную цель. Ошибка, которая встречается у самозанятых чаще прочих, - вообще никак не оформленная цель, потому что кажется, будто маленький масштаб бизнеса освобождает от требований закона. Это не так: обязанность формулировать цель обработки не зависит от оборота или числа клиентов.

У кадровой службы внутри обычной компании похожая логика, только цель шире: заключение и исполнение трудового договора, ведение кадрового учета и расчет заработной платы. Основанием здесь чаще служит не согласие, а прямое указание Трудового кодекса, но как только компания начинает обрабатывать данные сотрудника за пределами этого - например, для корпоративной страховки от партнера или для публикации фото на сайте, - для этой части нужна отдельная цель и отдельное согласие. Кадровику стоит завести короткий список: какие данные собираются, для чего именно и на каком основании, - тогда при следующей проверке или запросе сотрудника не придется восстанавливать логику по памяти.

Как сформулировать цель обработки персональных данных для сайта

Для обычного сайта - визитки, лендинга, блога с формой заявки - цели обработки персональных данных для сайта обычно укладываются в две-три группы: обработка обращений через формы, аналитика посещаемости и, если есть рассылка, информирование подписчиков. Это не значит, что нужно оформлять три разных согласия - можно перечислить группы в одном документе списком, но каждый пункт должен звучать как самостоятельная, проверяемая цель, а не общее слово.

Отдельный момент - галочка согласия рядом с формой. Она должна вести пользователя к тексту, где цель уже сформулирована, а не быть единственным подтверждением без всякого текста рядом. Технические варианты реализации - чекбокс, всплывающее окно, отдельная страница - разобраны в материале о форме согласия на обработку персональных данных: с точки зрения формулировки цели разницы между этими вариантами нет, разница только в удобстве для посетителя.

Для вебмастера, который занимается этим на практике, задача сводится к трем вещам: держать текст с целями обработки на отдельной, доступной по прямой ссылке странице; не давать форме отправиться, пока чекбокс не отмечен; и не менять формулировку в верстке страницы, если она не менялась в самом документе политики. Последний пункт нарушают чаще всего: маркетолог просит переформулировать текст рядом с кнопкой, чтобы звучало мягче, и в итоге на странице оказывается одна фраза, а в опубликованной политике - другая.

Если на сайте несколько форм с разными задачами - заявка на консультацию, подписка на рассылку, форма обратного звонка, - у каждой может быть своя цель, и тогда в согласии стоит перечислить их отдельно, а не сливать в одну общую фразу. Иначе получится ситуация, когда посетитель подписался на рассылку через форму заказа звонка и потом не понимает, откуда у компании его почта.

Аналитика посещаемости - отдельная группа целей, про которую часто забывают. Счетчики вроде Яндекс.Метрики собирают обезличенные данные о поведении на сайте, но если на странице стоит форма и в счетчик передается, например, номер телефона из заполненного поля, обработка выходит за пределы обезличенной аналитики и требует собственной цели в общем перечне. Проверить это несложно: достаточно посмотреть, какие параметры счетчик реально получает с формы, а не полагаться на то, что аналитика по умолчанию не работает с персональными данными.

Пример: как одна цель разъезжается по трем документам

Разберем на примере интернет-магазина одежды. На сайте есть форма заказа, чекбокс согласия и отдельная форма подписки на рассылку о скидках.

В согласии при заказе указано: обработка персональных данных в целях оформления и доставки заказа. В политике обработки, которую владелец скопировал с другого сайта два года назад, стоит фраза обработка персональных данных в целях улучшения качества обслуживания и продвижения товаров и услуг. В форме подписки на рассылку отдельного согласия нет вообще - чекбокс из формы заказа выдают за согласие на все сразу.

Формально это три разные, не совпадающие друг с другом формулировки, а рассылка вообще не подкреплена согласием: у клиента, оформившего заказ, есть только согласие на обработку данных ради доставки, а не на получение рекламных писем. При проверке или при жалобе клиента, который устал от рассылки и не может разобраться, как отписаться, это расхождение всплывет в первую очередь.

Похожая история часто повторяется у клиник и учебных центров: одно согласие подписывается при первом визите или записи, а через год добавляются платные рассылки, программы лояльности или партнерские предложения, для которых отдельного согласия так и не оформили.

Что делать, если цели обработки меняются

Цели обработки не высечены в камне - бизнес развивается, появляются новые сервисы, и это нормально. Ненормально - молчаливое расширение обработки без документального следа.

Порядок при добавлении новой цели простой, хотя и требует времени. Сначала формулируется новая цель - конкретно, без общих слов. Дальше она добавляется в политику обработки персональных данных на сайте. Затем, если новая цель требует отдельного согласия - например, рассылка отдельно от заказа, - у пользователей запрашивается это согласие: для новых клиентов сразу, для уже существующих через рассылку с просьбой подтвердить или через повторную форму на сайте. Наконец, если состав или цели обработки изменились существенно, в Роскомнадзор направляется уточнение к ранее поданному уведомлению.

Пропускать любой из этих шагов рискованно даже без последующего штрафа: субъект персональных данных вправе в любой момент запросить у оператора сведения о целях обработки его данных, и отвечать придется по тем документам, которые реально опубликованы, а не по тому, что оператор держит в голове.

По времени вся цепочка занимает от одного дня до нескольких недель в зависимости от того, сколько людей нужно уведомить и как быстро отвечает поддержка сайта, на котором стоит форма согласия. Откладывать эту работу до плановой проверки не стоит: проверка может не наступить годами, а новая цель обработки уже действует с момента, когда компания фактически начала собирать данные под нее, а не с момента, когда документы наконец обновили.

Что делать дальше: чек-лист по целям обработки

Прежде чем публиковать или переписывать документы, сверьте формулировки по короткому списку. Пяти минут обычно хватает, чтобы понять, нужна ли серьезная переработка или достаточно точечной правки одного документа.

• Цель написана как конкретное действие - рассмотрение заявки, доставка заказа, - а не как пересказ определения обработки из закона.
• Формулировка цели одинаковая или совместимая по смыслу в согласии, в политике обработки и в уведомлении РКН.
• Для каждой формы на сайте понятно, под какую цель она подпадает, и нет форм, которые собирают данные вообще без обозначенной цели.
• Если недавно добавили новый сервис - рассылку, чат-бот, программу лояльности, - для него оформлена отдельная цель, а не использовано старое согласие по умолчанию.
• В формулировках нет оговорок вида и иные цели, не противоречащие законодательству: такая фраза сводит конкретность к нулю и не спасает при проверке.

Если после сверки видно, что документы придется переписывать все сразу - согласие, политику и уведомление, - разумнее сделать это одним заходом, а не латать по одному. На сайте 152fzpro.ru такие пакеты документов и доработку форм на сайте под них делают под ключ, с проверкой каждой формулировки на совпадение между документами.