Политика в мобильном приложении

До написания политики необходимо установить полный перечень ПДн, которые приложение собирает, получает от третьих лиц или передаёт. Типичные категории для мобильного приложения:

• идентификационные данные (имя, email, телефон при регистрации);
• технические данные (IDFA/GAID, IP-адрес, версия ОС, модель устройства);
• поведенческие данные (история действий в приложении, частота использования);
• геолокация — если приложение запрашивает разрешение на местоположение;
• биометрические данные — если используется Face ID, Touch ID или распознавание лица внутри приложения (ст. 11 ФЗ-152);
• данные от сторонних SDK: аналитика (Firebase, AppMetrica), рекламные сети, платёжные системы.

Результат шага — таблица потоков данных: источник → категория ПДн → цель обработки → правовое основание → получатели (включая третьи лица за рубежом). Без этой карты политика будет неполной, и при проверке РКН оператор не сможет объяснить расхождение между реальной обработкой и тем, что написано в документе.

Каждая операция с ПДн в приложении должна опираться на одно из оснований ст. 6 ФЗ-152. Наиболее распространённые для мобильных приложений:

• Согласие пользователя (п. 1 ч. 1 ст. 6) — для маркетинговых рассылок, персонализации рекламы, передачи данных рекламным SDK. После 01.09.2025 согласие по ФЗ-156 от 24.06.2025 оформляется отдельным документом — не встраивается в пользовательское соглашение или оферту.
• Исполнение договора (п. 5 ч. 1 ст. 6) — обработка, необходимая для оказания услуги, которую пользователь заказал через приложение.
• Обязанность оператора по закону (п. 2 ч. 1 ст. 6) — налоговые и бухгалтерские требования при платёжных функциях.

Если приложение использует геолокацию в фоне или рекламные SDK сторонних сетей — это, как правило, согласие, а не договор. Смешение оснований в политике создаёт риск по ч. 1 ст. 13.11 КоАП (обработка в случаях, не предусмотренных законом): штраф 150 000–300 000 ₽ для юрлица с 30.05.2025.

Ч. 2 ст. 18.1 ФЗ-152 устанавливает обязательный состав политики. Применительно к мобильному приложению документ должен содержать следующие разделы:

• Наименование и контакты оператора — полное юридическое наименование, адрес, email для обращений субъектов.
• Цели обработки — конкретные, а не общие формулировки. «Предоставление сервиса» — недостаточно. «Аутентификация пользователя, доставка push-уведомлений, формирование отчётности» — приемлемо.
• Перечень обрабатываемых ПДн — по категориям, включая данные, получаемые от SDK.
• Правовые основания — по каждой категории данных или цели.
• Сроки обработки и хранения — в привязке к цели. Технические логи — обычно до 3 лет; кадровые данные — 75 лет.
• Порядок реализации прав субъектов — как подать запрос на доступ, исправление, удаление, как отозвать согласие. Срок ответа оператора — 10 рабочих дней (ст. 20 ФЗ-152) с возможностью продления на 5 рабочих дней при уведомлении субъекта.
• Трансграничная передача — перечень стран и получателей, если SDK передают данные за рубеж (ст. 12 ФЗ-152).
• Меры защиты — организационные и технические, без раскрытия конфиденциальных технических деталей.

Политика публикуется в открытом доступе — в приложении (раздел настроек), в магазинах App Store и Google Play (поле «Политика конфиденциальности»), а также на сайте оператора. Ссылка на политику должна быть доступна до начала сбора ПДн — то есть до экрана регистрации или первого запроса разрешений.

ФЗ-156 от 24.06.2025 изменил ч. 1 ст. 9 ФЗ-152: с 01.09.2025 согласие на обработку ПДн должно быть оформлено отдельным документом. В мобильном приложении это означает следующее:

• Согласие нельзя встроить в пользовательское соглашение, оферту или политику конфиденциальности — только отдельный экран или документ.
• Обязательные реквизиты согласия по ст. 9 ФЗ-152: ФИО субъекта, контактные данные, наименование оператора, цель обработки, перечень ПДн, перечень действий, срок, способ отзыва.
• Для каждой цели, требующей согласия, — отдельное согласие (рассылка, реклама, геолокация в фоне).
• Согласие, полученное до 01.09.2025, переоформлять не требуется — у ФЗ-156 нет обратной силы. Но если пользователь регистрируется в приложении после этой даты, форма согласия должна соответствовать новым требованиям.

Технически в приложении это реализуется как отдельный экран с чекбоксом и текстом согласия, который не связан с принятием условий использования. Чекбокс по умолчанию — не активирован. Факт согласия фиксируется с timestamp и версией документа в системе оператора.

До начала обработки ПДн в мобильном приложении оператор обязан уведомить Роскомнадзор о намерении обрабатывать ПДн (ст. 22 ФЗ-152). Уведомление подаётся через pd.rkn.gov.ru с использованием ЕСИА или УКЭП по форме Приказа РКН №180 от 28.10.2022. Срок включения в реестр операторов — 30 дней.

Типичные ошибки при уведомлении для мобильного приложения:

• В уведомлении не указаны все цели обработки — например, аналитика и реклама не упомянуты.
• Трансграничная передача через зарубежные SDK не отражена, хотя по ст. 12 ФЗ-152 она требует отдельного уведомления.
• Уведомление подано, но реальная обработка расширилась (добавили новые SDK) — изменения не сообщены в РКН. За несвоевременное уведомление об изменениях — штраф по ч. 10 ст. 13.11 КоАП 100 000–300 000 ₽.

По ст. 22.1 ФЗ-152 оператор-юрлицо обязан назначить лицо, ответственное за организацию обработки ПДн. Это не просто формальный приказ: ответственный должен отвечать требованиям ч. 4 ст. 22.1 (квалификация), участвовать в разработке политики, контролировать работу с обращениями субъектов и взаимодействовать с РКН при проверках.

После составления и согласования политика должна быть размещена в точках доступа, которые проверяет РКН:

• В приложении — в разделе «Настройки» / «О приложении» / «Политика конфиденциальности». Ссылка должна открываться без авторизации.
• В App Store и Google Play — в поле Privacy Policy при публикации приложения. Оба магазина требуют корректную ссылку как условие размещения.
• На сайте оператора — в открытом разделе, индексируемом поисковиками. Это требование ч. 2 ст. 18.1 ФЗ-152: неограниченный доступ неопределённого круга лиц.

Дополнительно при регистрации или первом запуске приложение должно показывать ссылку на политику до экрана сбора ПДн. Если приложение запрашивает разрешения ОС (геолокация, камера, микрофон) — до запроса должна быть показана цель, для которой запрашивается разрешение, и ссылка на соответствующий раздел политики.