Согласие на обработку персональных данных на сайте: когда нужно и как оформить

Когда сайту нужно согласие, а когда хватает другого основания

Персональные данные (ПДн) — любая информация, по которой можно определить человека: имя, телефон, email, адрес доставки. Владелец сайта, который собирает такие данные через формы, по 152‑ФЗ считается оператором и для каждой цели обработки должен иметь правовое основание из ст. 6 закона.

Согласие — лишь одно из оснований, перечисленных в ч. 1 ст. 6. Без него можно обрабатывать данные, если это нужно для заключения или исполнения договора с самим человеком, для выполнения обязанности, которую возлагает закон, и в ряде других случаев. Поэтому начинать стоит с перечня форм сайта и вопроса: зачем мне эти данные и есть ли у меня основание помимо согласия.

Если основание — договор, согласие на обработку данных для этой цели не требуется, но политика обработки данных и меры защиты нужны в любом случае. Как только те же данные используются для другой цели, например для рекламы, для неё нужно отдельное основание. О счётчиках и cookie — в статье Cookie и 152‑ФЗ.

Каким должно быть согласие по ст. 9 152‑ФЗ

Требования к согласию собраны в ст. 9 152‑ФЗ. Человек принимает решение сам, своей волей и в своём интересе, а согласие должно быть:

• конкретным — относится к названным целям, без формулировок «для любых целей» и «по усмотрению оператора»;
• предметным — перечисляет данные, которые вы действительно собираете;
• информированным — человек видит, кто оператор, зачем ему данные и что с ними будут делать;
• сознательным — выражено активным действием: человек сам ставит галочку;
• однозначным — из действия нельзя сделать иного вывода, кроме согласия;
• оформленным отдельно от иных информации и документов, которые человек подтверждает или подписывает, — это требование действует с 1 сентября 2025 года.

Форму закон оставляет на выбор оператора: подойдёт любая, которая позволяет подтвердить факт получения согласия. Обязанность доказать, что согласие было, по ч. 3 ст. 9 лежит на операторе. Подробно о новом требовании — в статье Отдельное согласие с 1 сентября 2025 года.

Когда нужна письменная форма

Для обычных форм заявки достаточно галочки и записи о ней. Письменное согласие закон требует в отдельных случаях: для специальных категорий данных, например сведений о здоровье (ст. 10), для биометрии (ст. 11) и для некоторых случаев трансграничной передачи (ст. 12). Письменным считается и электронный документ, подписанный электронной подписью. Медицинским центрам и другим сайтам, которые собирают такие сведения, стоит отдельно продумать процесс — пример есть на странице для медицинских клиник.

Что написать в тексте согласия

Перечень обязательных сведений для письменного согласия дан в ч. 4 ст. 9. Для формы на сайте его используют как ориентир: эти же сведения делают согласие информированным. Паспортные данные и подпись из того же перечня в обычной веб-форме не нужны — их сбор ради формальности противоречил бы правилу о том, что объём данных не должен быть избыточным (ч. 5 ст. 5 152‑ФЗ).

Собрать текст под свои формы можно в генераторе согласия: он выдаёт текст, HTML-страницу и код чекбокса для формы. Если политики на сайте ещё нет, начните с неё — см. Политика обработки персональных данных.

Образец согласия для формы заявки

Пример для формы «Получить консультацию». Замените реквизиты, перечень полей и подрядчиков на свои.

Согласие на обработку персональных данных. Я, действуя свободно, своей волей и в своём интересе, даю ООО «Ромашка» (ИНН 0000000000, адрес: …) согласие на обработку моих персональных данных: имени, номера телефона и адреса электронной почты — в целях обработки моей заявки и связи со мной по её содержанию. Согласие распространяется на сбор, запись, систематизацию, накопление, хранение, уточнение, использование, удаление и уничтожение данных с использованием средств автоматизации и без них. Обработку по поручению оператора ведёт ООО «СРМ-Сервис» (адрес: …). Согласие действует до достижения цели обработки, но не более одного года с момента отправки формы. Я могу отозвать согласие, направив письмо на privacy@… . Политика обработки персональных данных размещена по адресу …

В образце нет слов «и иные данные», «в маркетинговых целях» и «третьим лицам без ограничений». Если вы хотите отправлять человеку рекламу, получите на это отдельное согласие вторым чекбоксом — см. Согласие на рекламную рассылку.

Где разместить текст и как оформить форму

• Полный текст согласия — на отдельной странице или в модальном окне. Ссылка на него открывается в новой вкладке, чтобы введённые данные не пропали.
• Под формой — пустой чекбокс с короткой подписью «Я даю согласие на обработку персональных данных», где слова о согласии ведут на полный текст.
• Галочка согласия не объединяется с принятием оферты, пользовательского соглашения и подпиской на рекламу: у каждого решения свой чекбокс.
• Ссылка на политику обработки ПДн есть рядом с формой и в подвале сайта: по ч. 2 ст. 18.1 152‑ФЗ доступ к политике нужно обеспечить на страницах, где собираются данные.
• Если на сайте несколько форм с разными целями, у каждой — свой текст согласия или общий текст, где цели перечислены по формам.

Готовые подписи для чекбоксов, HTML-пример и настройки конструкторов собраны в статье Чекбокс согласия в форме. Где именно разместить политику — в материале Где разместить политику на сайте.

Как доказать, что согласие получено

Скриншот формы ничего не доказывает: он показывает, как форма выглядит сегодня, и ничего не говорит о конкретной заявке. Доказательством служит запись, которая создаётся при отправке и хранится вместе с заявкой. В неё стоит включать:

• дату и время отправки с часовым поясом;
• адрес страницы и идентификатор формы;
• состояние каждого чекбокса: согласие на обработку, согласие на рекламу;
• версию текста согласия, действовавшую в момент отправки;
• IP-адрес и данные браузера (user agent);
• данные, которые человек ввёл в форму.

Старые редакции текста согласия храните в архиве с датами, когда они действовали. Записи держите на сервере или в CRM-системе: cookie браузера пользователь может очистить в любой момент. Срок хранения закон не задаёт. Многие операторы ориентируются на общий трёхлетний срок исковой давности после окончания обработки — если выберете такой подход, укажите срок в политике.

Отзыв согласия

Человек может отозвать согласие в любой момент, и способ отзыва должен быть простым: письмо на указанный адрес, форма на сайте, заявление по почте. После отзыва оператор прекращает обработку и, если данные больше не нужны, уничтожает их в срок не более 30 дней с даты получения отзыва (ч. 5 ст. 21 152‑ФЗ).

Продолжить обработку можно, если для неё есть другое основание из ст. 6, — например, у человека активный заказ и данные нужны для доставки (ч. 2 ст. 9). Зафиксируйте дату отзыва, способ и что сделано с данными: эта запись пригодится при проверке или жалобе.

Согласие за детей и недееспособных

За недееспособного человека согласие даёт законный представитель — это прямо указано в ч. 6 ст. 9 152‑ФЗ. За детей до 14 лет юридически значимые действия по общим правилам Гражданского кодекса совершают родители. Для подростков 14–17 лет единого подхода нет, поэтому онлайн-школы, детские секции и лагеря обычно получают согласие родителя.

В форме это стоит отразить подписью у чекбокса: «Я являюсь родителем или иным законным представителем ребёнка и даю согласие на обработку его персональных данных». Отдельные поля для данных родителя и ребёнка помогут точно указать в тексте согласия, чьи данные обрабатываются. Отраслевые детали — на странице для онлайн-школ.

Ответственность за обработку без согласия

Штрафы установлены ст. 13.11 Кодекса об административных правонарушениях (КоАП). Если согласия нет или оно оформлено с нарушениями, а другого основания у оператора нет, обработку могут квалифицировать как обработку без правового основания по ч. 1. Для случаев, когда закон требует письменного согласия, действует ч. 2.

Актуальный текст статьи — на КонсультантПлюс. Полный разбор санкций, включая штрафы для должностных лиц и за утечки, — в статье Штрафы по 152‑ФЗ.

Порядок действий для владельца сайта

1. Составьте список всех форм: заявки, попапы, квизы, чаты, регистрация, корзина, отклики на вакансии.
2. Для каждой формы определите цель и основание: договор, согласие, закон.
3. Подготовьте текст согласия для форм, где основание — согласие; сверьте перечень данных с полями формы.
4. Добавьте под такие формы пустой обязательный чекбокс со ссылкой на текст согласия и отдельные галочки для оферты и рекламы.
5. Настройте запись факта согласия и версии текста вместе с заявкой.
6. Опишите в политике цели, сроки хранения, подрядчиков и порядок отзыва.
7. Проверьте, подано ли уведомление в Роскомнадзор (РКН) об обработке ПДн, — см. Уведомление РКН.

Внешние признаки проблем — формы без чекбокса, заранее отмеченные галочки, отсутствие ссылок на согласие и политику — показывает бесплатная проверка сайта.