Согласие на обработку пдн нужно почти каждой форме на сайте. Без него любая отправленная заявка превращается в нарушение части 1 статьи 9 закона 152-ФЗ. Роскомнадзор реагирует даже на одну жалобу, а штрафы для юрлиц в 2025 году выросли до 6 млн ₽ за повторное нарушение.
Дисклеймер. Материал просветительский. Точные формулировки согласовывайте с юристом - закон обновляется, а штрафы РКН в 2025 выросли.
В Сайты2.рф собрали опыт 550+ проектов с 2008 года. Студия в Кронштадте делает сайты на 1С-Битрикс, WordPress, Tilda и Laravel, в каждом сайт по 152-ФЗ идёт из коробки. Гайд покажет, где разместить чекбокс, как сформулировать текст и каких ошибок избежать.
Что такое согласие на обработку ПДн
Согласие на обработку пдн - это волеизъявление субъекта, которое разрешает оператору совершать определённые действия с его данными. Оно описано в статье 9 закона 152-ФЗ. Без согласия оператор может работать только в исключительных случаях: исполнение договора, требование закона, защита жизни.
Для сайта это значит простое: если человек заполняет форму с именем и телефоном, нужен документ, который подтверждает его согласие. Чекбокс с активной ссылкой на политику - стандартный способ оформления. Письменное согласие с подписью требуется только для особых категорий данных.
В судебной практике суды и РКН опираются на доказательство получения согласия. Нужна не только сама галочка, но и сохранённый лог: дата, IP, версия документа.
Чем согласие отличается от Политики обработки
Эти два документа путают чаще всего, и на этом проваливают проверки. Различия по трём осям.
Политика обработки ПДн - публичный документ оператора. Описывает общие правила: цели, перечни данных, сроки, передачу третьим лицам, права субъектов. Лежит по постоянному URL, ссылка в подвале каждой страницы. Шаблон в статье про политику.
Согласие на обработку ПДн - персональное действие конкретного пользователя. Не документ на сайте, а юридический факт, зафиксированный в момент отправки формы. Подтверждается чекбоксом и логом в базе данных.
Простая аналогия. Политика - это правила парковки на стене. Согласие - это талон, который вы взяли при въезде. Без талона штраф, даже если правила висят на видном месте.
5 признаков юридически чистого согласия
Закон 152-ФЗ и разъяснения Роскомнадзора формулируют пять обязательных свойств согласия. Если хотя бы одно отсутствует, согласие недействительно.
1. Конкретное
Указана цель: для чего собираются данные. "Для обработки заявки", "для отправки рассылки", "для регистрации в кабинете" - такие цели работают. "Для любых целей оператора" не работает, согласие признают ничтожным.
2. Информированное
Субъект понимает, кто оператор, какие данные собираются, кому передаются, на какой срок. Информацию пользователь получает по ссылке из чекбокса. Если ссылка не работает или ведёт не туда, согласие невалидно.
3. Сознательное
Согласие даётся по своей воле, без принуждения. Если без галочки нельзя получить публичную информацию или скачать прайс, это принуждение. Запросить ПДн можно только за встречную услугу: расчёт стоимости, обратный звонок, доставка.
4. Однозначное
Явное действие: галочка, клик, подпись. Скрытые чекбоксы, мелкий шрифт под кнопкой, формулировки "продолжая использование сайта вы соглашаетесь" не работают. С 2024 года предзаполненные чекбоксы прямо запрещены.
5. Отзываемое в любой момент
Пользователь может отозвать согласие так же легко, как дал. На сайте должна быть форма или email для отзыва. Срок реакции оператора - 10 рабочих дней с момента получения заявления.
Где требуется согласие на сайте
Семь типовых мест, в которых форма собирает ПДн. Под каждым нужен чекбокс.
1. Форма обратной связи. Имя и телефон или email - это уже ПДн. Чекбокс обязателен, без него отправка блокируется на фронте.
2. Оформление заказа. В корпоративных интернет-магазинах на 1С-Битрикс собирается имя, телефон, адрес, email. Согласие нужно с детализацией передачи данных курьерской службе. Подробнее в гайде приёмка сайта.
3. Подписка на рассылку. Здесь нужно отдельное согласие на рекламно-информационные сообщения по статье 18 закона "О рекламе". Объединять с основным согласием нельзя.
4. Регистрация в личном кабинете. Собирается логин, пароль, контакты, история заказов. Согласие должно покрывать весь срок жизни аккаунта плюс срок хранения логов после удаления.
5. Обратный звонок. Самая короткая форма обычно содержит только телефон. Всё равно ПДн, чекбокс обязателен. Многие подрядчики экономят место и пропускают - получают штраф первыми.
6. Чат и квиз. В чате согласие собирается перед началом диалога, в квизе - на финальном экране перед отправкой контактов. Подробности нашего квиза в калькуляторе.
7. Cookies. Отдельный кейс. Cookie-баннер - не чекбокс согласия в смысле статьи 9, а уведомление по статье 18.1 о трансграничной передаче. Регулируется отдельно.
Как оформить чекбокс на форме
Три обязательных свойства правильного чекбокса.
Не предзаполнен. Галочка пустая, пользователь сам её ставит. Запрет действует с 2024 года напрямую из части 4 статьи 9. Раньше предзаполнение допускалось, поэтому старые сайты на Tilda и WordPress часто грешат.
Активная гиперссылка на политику и согласие. Текст у чекбокса содержит подчёркнутую кликабельную ссылку. Открывается в новой вкладке, ведёт на актуальную версию документа. Если ссылка ведёт на 404, согласие недействительно.
Видимый, не скрытый под кнопкой. Чекбокс находится над кнопкой отправки или под полями формы. Шрифт читаемый, минимум 14 px на десктопе. Прятать чекбокс в подвал страницы под пунктом "при отправке формы вы соглашаетесь" - нарушение признака однозначности.
В Сайты2.рф во всех проектах для заказчиков из СПб, Кронштадта, Сестрорецка и Ломоносова чекбокс встроен в шаблон форм по умолчанию. Снять его нельзя.
Готовые формулировки для 4 типов форм
Формулировки рабочие, но с оговоркой: финальный текст согласовывайте с юристом. Переменные в фигурных скобках замените под свой проект.
Форма заявки и обратного звонка
☐ Я согласен на обработку моих персональных данных в соответствии
с <a href="/politika/">Политикой обработки ПДн</a> и <a href="/soglasie/">Согласием</a>
для обработки заявки и связи со мной по указанному телефону.Оформление заказа в интернет-магазине
☐ Я согласен на обработку персональных данных (имя, телефон, email,
адрес доставки) ИП {ФИО} для оформления и доставки заказа,
включая передачу курьерской службе. Подробнее в
<a href="/politika/">Политике</a> и <a href="/soglasie/">Согласии</a>.Подписка на рассылку (отдельное согласие на маркетинг)
☐ Я согласен получать информационные и рекламные письма
от {Название} на указанный email согласно ст. 18 ФЗ "О рекламе"
и <a href="/politika/">Политике обработки ПДн</a>.Чекбокс отделён от основного согласия. Пользователь может отказаться от рассылки и при этом получить услугу.
Регистрация в личном кабинете
☐ Я согласен на обработку персональных данных (логин, email, пароль,
история заказов) для создания и ведения личного кабинета на сайте,
а также для исполнения договора. Подробнее в
<a href="/politika/">Политике</a> и <a href="/soglasie/">Согласии</a>.Срок действия согласия для кабинета - до удаления аккаунта плюс срок хранения логов по требованиям закона.
Особые категории ПДн
Статья 10 закона 152-ФЗ выделяет особые категории: национальность, политические взгляды, религия, здоровье, биометрия. Для них чекбокс не подходит, нужно письменное согласие с подписью.
Где встречается на сайте:
- Медцентры и стоматологии. Запись на приём с указанием жалоб, симптомов, диагнозов. Сюда же фото до и после.
- Биометрические системы. Распознавание лица в личном кабинете, голосовая авторизация.
- HR-сервисы. Анкеты с медкнижкой, справками о судимости.
Решение: на сайте собирается только согласие на основные ПДн, а письменное согласие на особые категории берётся при первом визите в офис на бумаге. Электронная подпись с КЭП тоже работает, но в массовом b2c это редкость.
В наших проектах для медцентров в корпоративном сегменте форма записи собирает только имя и телефон. Жалобы и анамнез заполняются в кабинете врача с письменным согласием.
Хранение и доказательство согласия
При проверке РКН попросит подтверждение согласия каждого пользователя в выборке. Нет доказательства - штраф.
Что должно сохраняться в базе:
- Идентификатор записи (id).
- Дата и время (timestamp с точностью до секунды).
- IP-адрес отправителя.
- User-Agent браузера.
- Хеш или версия документа политики и согласия на момент отправки.
- Источник (URL страницы, на которой стояла форма).
Срок хранения - не менее 3 лет после окончания целей обработки или до отзыва согласия. На практике в проектах на Laravel и 1С-Битрикс мы храним всё в отдельной таблице consent_logs, защищённой от удаления.
Отзыв согласия: процедура и сроки
По части 5 статьи 21 закона 152-ФЗ субъект имеет право отозвать согласие в любой момент. Оператор обязан прекратить обработку и удалить данные в течение 30 дней.
Способы подачи отзыва, которые должны быть на сайте:
- Email на адрес ответственного за обработку ПДн.
- Форма "Отозвать согласие" в разделе политики или личного кабинета.
- Письмо на юридический адрес оператора.
Срок реакции оператора - 10 рабочих дней на ответ субъекту, 30 дней на удаление данных. Если данные нужны для исполнения договора или по требованию закона, оператор может отказать в удалении, но обязан мотивировать отказ.
В студии для проверки соответствия сайтов закону рекомендуем бесплатный инструмент 152-ФЗ. Он покажет, есть ли на формах процедура отзыва согласия.
6 типичных ошибок
Эти ошибки встречаются в каждом втором сайте, который приходит к нам в поддержку.
- Предзаполненный чекбокс. Прямой запрет с 2024. Роскомнадзор находит за 30 секунд.
- "Согласен со всем" одной галочкой. Объединение основного согласия и согласия на рассылку нарушает признак конкретности.
- Чекбокс без активной ссылки на политику. Пользователь не может прочитать, на что соглашается. Признак информированности нарушен.
- Единое согласие на 5 разных целей. "Для обработки заявки, рассылки, аналитики, ретаргетинга, передачи партнёрам" - такая формулировка нечитаема и юридически ничтожна.
- Потеря логов согласия. Сайт собирает галочку, но не сохраняет факт. При проверке доказать невозможно.
- Согласие без указания оператора. В тексте нет ФИО ИП или названия юрлица, непонятно, кому даётся согласие. Нарушение признака информированности.
В корпоративных проектах для заказчиков в сегменте лендингов и интернет-магазинов этих ошибок нет: всё стандартизировано в шаблоне.
FAQ
Можно ли использовать одно согласие на несколько форм сайта?
Да, если цели обработки совпадают. Форма обратной связи и форма обратного звонка имеют одну цель: связаться с пользователем по заявке. Достаточно одной формулировки. Для подписки на рассылку и регистрации в кабинете нужны отдельные согласия.
Нужно ли согласие, если форма отправляется анонимно?
Если в форме нет полей с именем, телефоном или email, согласие не нужно. Форма "Оцените материал" с одной звёздочкой не собирает ПДн. Как только появляется поле "ваше имя", согласие обязательно.
Достаточно ли согласия в подвале сайта без чекбокса на форме?
Нет. Согласие в подвале - публикация документа, а не получение согласия. Признак однозначности требует явного действия от пользователя в момент отправки формы. Без чекбокса согласия нет.
Как быть с формами на Tilda без чекбокса?
В стандартных блоках Tilda чекбокс согласия добавляется через настройки формы. Если шаблон старый, можно подключить кастомный код через Zero Block. В наших проектах на Tilda в Кронштадте и Петергофе пункт включён по умолчанию.
Можно ли получить согласие через WhatsApp или Telegram?
Технически да, если пользователь явно подтверждает согласие сообщением. Но фиксация и хранение лога сложнее, чем при стандартном чекбоксе на сайте. Безопаснее перевести диалог на форму с чекбоксом или взять письменное согласие.
Что грозит за работу без согласия?
Статья 13.11 КоАП: для ИП до 300 000 ₽, для юрлиц до 1,5 млн ₽ за обработку без согласия, до 6 млн ₽ за повторное нарушение. Для оценки рисков всего сайта используйте чек-лист 152-ФЗ.
Что в итоге
Согласие на обработку пдн - не галочка для галочки, а юридический факт с пятью признаками: конкретное, информированное, сознательное, однозначное, отзываемое. Без любого из признаков согласие ничтожно, заявка считается принятой с нарушением, штраф для юрлица - до 6 млн ₽.
Если проверять сайт самостоятельно некогда, рассчитайте стоимость аудита по 152-ФЗ или посмотрите тарифы на разработку с соответствием закону из коробки. Сайты2.рф работает с 2008 года, в портфолио 550+ проектов для заказчиков из Санкт-Петербурга, Кронштадта и Ленобласти.
