Согласие на обработку персональных данных на сайте

Что поменялось с 1 сентября 2025 года

Закон № 156-ФЗ от 24.06.2025 переписал ст. 9 закона «О персональных данных». Теперь ч. 1 требует, чтобы согласие было «конкретным, предметным, информированным, сознательным и однозначным». А ч. 4 добавила короткую, но болезненную для многих сайтов фразу: согласие оформляется отдельно от иных информации и документов.

До этой даты на сайтах жил привычный приём: под формой стояло «Нажимая кнопку, вы принимаете условия политики конфиденциальности», и на этом всё. Сегодня такой вариант даёт сразу два признака риска. Во-первых, согласие спрятано внутри политики. Во-вторых, человек ничего не выбирает — нажатие «Отправить» здесь означает отправку заявки, а не решение о своих данных.

На практике «отдельно» означает три вещи:

• у согласия своя страница или своё всплывающее окно со своим заголовком;
• в тексте нет условий оферты, правил пользования сайтом и описания политики;
• в форме за согласие отвечает собственный элемент — чекбокс, а не кнопка отправки.

Политика обработки ПДн при этом никуда не девается. Её по-прежнему публикуют на сайте (ч. 2 ст. 18.1), просто это другой документ с другой задачей: политика рассказывает всем, как устроена обработка у оператора, а согласие — это решение конкретного человека по конкретной цели.

Когда согласие не нужно

Согласие — лишь одно из оснований в ч. 1 ст. 6. Если подходит другое, отдельная галочка не нужна, а иногда даже вредит: человек отзовёт такое согласие, а вы всё равно обязаны хранить его данные по закону.

Граница проходит по цели. Адрес доставки нужен, чтобы исполнить покупку, — это договор. Тот же адрес для персональных предложений на основе истории покупок — уже новая цель, и на неё договор не распространяется. Подробно про заказы, доставку и программы лояльности — в статье «152-ФЗ для интернет-магазина».

Что должно быть в согласии на обработку персональных данных

Состав письменного согласия перечислен в ч. 4 ст. 9. Этот список писали под бумажный документ, поэтому часть пунктов на сайте выглядит иначе. Ниже — как каждый пункт переносится в веб-форму.

Кто даёт согласие

Закон называет ФИО, адрес и данные документа, удостоверяющего личность. На сайте форма обратной связи не должна просить паспорт только ради согласия: собранные данные должны соответствовать цели и не быть избыточными (ч. 5 ст. 5). Роль «подписи» и идентификации здесь выполняют поля самой формы и запись о событии в журнале.

Представитель

Этот пункт нужен, когда за человека действует кто-то другой: родитель, опекун, представитель по доверенности. Для обычной формы на сайте он обычно не нужен, но в текст стоит добавить одну строку — что лицо подтверждает, что вводит собственные данные.

Оператор

Полное наименование организации или ФИО предпринимателя и адрес. Без сокращений вида «Компания» или «Администрация сайта» — человек должен понимать, кому он отдаёт свои данные. Проще всего взять формулировку из выписки ЕГРЮЛ или ЕГРИП.

Цель

Самый важный пункт и самый частый источник проблем. «Для улучшения качества обслуживания» — это не цель. Цель — «ответить на вопрос, отправленный через форму» или «перезвонить и согласовать время замера». Одна форма — одна понятная цель.

Перечень данных

Только то, что реально есть в форме: имя, телефон, электронная почта, текст сообщения. Если дописать туда «и иные данные», согласие перестаёт быть предметным.

Обработчики

Здесь указывают тех, кому оператор поручил обработку: хостинг, CRM, сервис рассылки, колл-центр. Нужны наименование или ФИО и адрес каждого. Если список часто меняется, его держат на отдельной странице и обновляют вместе с версией согласия.

Действия и способы

Сбор, запись, хранение, использование, удаление — те действия, которые вы действительно выполняете. Плюс короткое описание способа: автоматизированная обработка, смешанная или без средств автоматизации.

Срок и отзыв

Не «бессрочно», а привязка к цели: например, до получения ответа и ещё 6 месяцев для истории обращений, либо до отзыва. Обязательно описать, как отозвать: адрес почты, форма в личном кабинете или ссылка в письме.

Подпись

На сайте её заменяет само действие — посетитель ставит отметку. Часть 1 ст. 9 разрешает давать согласие в любой форме, которая позволяет подтвердить факт его получения. А по ч. 3 ст. 9 доказывать, что согласие было, придётся оператору. Отсюда и требования к фиксации, о которых ниже.

Текст по всем этим пунктам можно собрать в конструкторе согласия: он подставит реквизиты, цели и обработчиков в нужные места.

Согласие на обработку персональных данных на сайте: как устроить форму

Грамотный чекбокс согласия на обработку персональных данных складывается из четырёх деталей.

Пустая галочка. Отметку ставит только сам человек. Предустановленный флажок означает, что решение принял сайт, а не посетитель, и согласие теряет «однозначность».

Ссылка на отдельный текст. Рядом с чекбоксом — короткая подпись и ссылка: «Я даю согласие на обработку персональных данных», где последние слова — ссылка. Ссылка ведёт на отдельную страницу с текстом согласия, а не на политику.

Кнопка блокируется без отметки. Пока галочка не стоит, форма не отправляется. Это проще, чем разбираться потом, откуда в CRM заявки без согласия.

Фиксация. В момент отправки сохраните дату и время, идентификатор формы, версию текста согласия и сам факт отметки. IP-адрес лучше хранить усечённым: для доказательства обычно хватает сочетания даты, формы и версии, а лишние данные — лишний риск.

Версионирование часто упускают. Вы поменяли хостинг и обновили список обработчиков — значит, появилась новая редакция. Старую сохраните в архиве: через год на вопрос «с чем согласился этот человек» придётся отвечать именно ею.

Для cookie действует та же логика, только вместо формы — баннер с кнопками «Принять» и «Отклонить». Счётчики не должны запускаться до выбора, а прокрутка страницы или закрытие баннера согласием не считаются. Наш скрипт согласий блокирует счётчики до ответа посетителя и ведёт журнал решений; подробнее — в статье о cookie-баннере.

Одно согласие на все формы или отдельные

Закон не требует отдельного документа на каждую форму. Он требует, чтобы согласие было конкретным: человек должен понимать, на что соглашается именно сейчас.

Отсюда рабочее правило: одинаковые цели и поля — один текст, разные цели — разные тексты. Формы «Перезвоните мне» и «Задать вопрос» могут ссылаться на одно согласие, если цель в обоих случаях — ответить на обращение, а данные совпадают. Форма отклика на вакансию с резюме, опыт работы и ожиданиями — уже другая история, ей нужен свой текст.

Чего точно не стоит делать:

• собирать все цели сайта в одно согласие «на всё» и цеплять его к каждой форме;
• ставить одну галочку, которая одновременно даёт согласие и на ответ, и на рекламу;
• ссылаться из формы на текст, где перечислены поля, которых в этой форме нет.

Согласие на рассылку оформляют отдельно

Реклама и новости живут по своим правилам. Статья 15 закона о персональных данных разрешает обработку для продвижения товаров и услуг только с предварительного согласия. Статья 18 закона «О рекламе» то же самое требует для рекламы по сетям электросвязи: почта, SMS, мессенджеры. И там, и там по требованию человека рассылку прекращают немедленно.

Поэтому под формой заказа или заявки должно быть две независимые галочки: одна — согласие на обработку для ответа, вторая — согласие на получение рекламных сообщений. Вторая необязательная, и форма отправляется без неё.

Типичная находка при проверках — флажок «Хочу получать новости и скидки», который уже стоит при оформлении заказа. Для рекламного согласия это прямой признак риска: предварительным и добровольным его не назовёшь.

В каждом письме рассылки держите ссылку «Отписаться», которая срабатывает в один клик, без входа в кабинет и объяснения причин.

Отзыв согласия и сроки

Отозвать согласие человек может в любой момент (ч. 2 ст. 9). После этого у оператора есть не более 30 дней, чтобы прекратить обработку и уничтожить данные, если нет другого основания их хранить (ч. 5 ст. 21). Для рекламных рассылок срок другой — прекратить нужно немедленно.

Другое основание встречается часто. Покупатель отозвал согласие на рассылку, но его заказ ещё в пути — адрес и телефон остаются в работе по договору. Закон прямо разрешает продолжать обработку при наличии иных оснований из ст. 6.

Что стоит подготовить заранее:

1. Способ отзыва, описанный в тексте согласия: адрес почты, форма или кнопка в личном кабинете.
2. Порядок внутри команды: кто получает отзыв, кто удаляет данные из CRM, сервиса рассылок и резервных копий.
3. Отметку в журнале: дата отзыва и дата уничтожения. Как оформлять уничтожение, определяет приказ РКН от 28.10.2022 № 179.

Чем грозят ошибки в согласии

За обработку без согласия там, где оно нужно, или с нарушением требований к составу сведений в согласии предусмотрен возможный штраф по ст. 13.11 ч. 2 КоАП: для организаций — от 300 до 700 тыс. рублей, для должностных лиц и ИП — от 100 до 300 тыс. При повторном нарушении по ч. 2.1 суммы для юрлиц вырастают до 1–1,5 млн рублей, для ИП — до 0,5–1 млн. Остальные составы собраны в статье о штрафах.

Автоматическая проверка не выносит вердикт. Она показывает признаки риска: предотмеченный чекбокс, согласие внутри политики, отсутствие ссылки. Что из этого исправлять в первую очередь, решаете вы.

Образец согласия для формы обратной связи

Ниже — пример. Его нужно адаптировать под свои цели, поля формы и обработчиков; переменные — в квадратных скобках.

Согласие на обработку персональных данных Редакция [номер] от [дата]

Я, заполняя форму «[название формы]» на сайте [адрес сайта], даю согласие [полное наименование или ФИО ИП], ОГРН [номер], адрес: [адрес] (далее — Оператор), на обработку моих персональных данных на следующих условиях.

1. Цель: ответить на моё обращение, отправленное через эту форму, и связаться со мной по нему.
2. Данные: имя, номер телефона, адрес электронной почты, текст обращения.
3. Действия: сбор, запись, хранение, использование, удаление, уничтожение. Обработка ведётся с использованием средств автоматизации.
4. По поручению Оператора данные обрабатывают: [наименование хостинг-провайдера, адрес]; [наименование CRM-сервиса, адрес].
5. Согласие действует [срок, например: 12 месяцев с даты отправки формы] или до его отзыва.
6. Отозвать согласие можно, написав на [адрес электронной почты]. После отзыва Оператор прекратит обработку и уничтожит данные в срок не более 30 дней, если у него нет иного законного основания для их хранения.

Подтверждаю, что указываю свои собственные данные.

Короткий вариант проще читать, но проверьте: всё, что написано в тексте, должно совпадать с тем, что на самом деле происходит с данными. Если сомневаетесь в каком-то пункте, проверьте сайт бесплатно — отчёт покажет, какие формы и документы вызывают вопросы.

План на один вечер

1. Составьте список форм сайта и цели каждой.
2. Отметьте, где хватает договора, а где нужно согласие.
3. Подготовьте тексты согласий на отдельных страницах, с номером редакции.
4. Уберите предустановленные галочки, добавьте ссылки и блокировку кнопки.
5. Разделите согласие на обработку и согласие на рекламу.
6. Настройте журнал: дата, форма, версия текста.
7. Проверьте, что политика опубликована и не подменяет согласие.

После правок снова запустите бесплатную проверку и сравните отчёты.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 6 152-ФЗ. Условия обработки персональных данных
• Статья 9 152-ФЗ. Согласие субъекта персональных данных
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»
• Кодекс РФ об административных правонарушениях, ст. 13.11
• Портал персональных данных Роскомнадзора