Согласие на обработку персональных данных на сайте: как оформить и где ошибаются
Любая форма на сайте, где человек оставляет имя и телефон, — это сбор персональных данных. Форма заявки, обратный звонок, подписка на рассылку, окошко «оставьте номер, перезвоним за 30 секунд», заявка на расчёт в калькуляторе. Как только данные ушли к вам на почту или в CRM, вы стали оператором персональных данных со всеми обязанностями, которые из этого следуют.
Раньше на это закрывали глаза, потому что штраф был сопоставим со стоимостью часа работы юриста. С 30 мая 2025 года, когда вступил в силу Федеральный закон № 420-ФЗ, суммы выросли в разы, а проверки по жалобам стали обычным делом: достаточно одного раздражённого посетителя, чтобы Роскомнадзор пришёл с внеплановой проверкой. Разбираем, как согласие должно быть устроено на стороне сайта — не в теории, а в вёрстке и настройках форм.
Что закон вообще требует от сайта с формой
Основной документ — Федеральный закон № 152-ФЗ «О персональных данных». Он говорит простую вещь: обрабатывать данные человека можно, если он на это согласился, и согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.
Каждое из этих слов на практике означает требование к форме:
- конкретное — человек понимает, кому именно он даёт данные (название юрлица или ИП, а не «мы»);
- предметное — понятно, какие данные и зачем: «имя и телефон, чтобы связаться по заявке», а не «для улучшения качества сервиса»;
- информированное — рядом есть текст согласия и политика, и они открываются, а не ведут на 404;
- сознательное и однозначное — человек сделал отдельное действие. Поставил галочку сам. Не «мы посчитали, что раз он нажал кнопку, то согласился».
Отдельная обязанность, о которой вспоминают в последнюю очередь: оператор должен подать уведомление об обработке персональных данных в Роскомнадзор до начала обработки. Если на сайте есть форма, а уведомления нет — нарушение уже есть, независимо от того, как оформлена галочка.
Где именно ставится согласие
В вёрстке есть три распространённых варианта, и они не равноценны.
Чекбокс рядом с кнопкой отправки. Рабочий вариант. Требование одно, но жёсткое: галочка не должна стоять по умолчанию. Предзаполненный чекбокс — это не согласие, потому что человек не совершал действия. В WordPress с Contact Form 7 это частая история: поле acceptance ставят с параметром default:on, чтобы не терять конверсию. Технически форма работает, юридически согласия нет.
Текст под кнопкой «Нажимая кнопку, вы соглашаетесь…». Так называемое конклюдентное согласие. Спор о его допустимости идёт давно, и позиция Роскомнадзора здесь консервативна: нажатие кнопки отправки — это действие, направленное на отправку заявки, а не на выражение согласия. Если вы выбираете этот вариант, то делаете это с открытыми глазами и понимаете, что в случае жалобы доказывать придётся вам. Для форм, где собираются только имя и телефон, мы рекомендуем чекбокс — он стоит одной строчки в вёрстке и снимает вопрос.
Отдельное окно с текстом и кнопкой «Согласен». Избыточно для заявки и заметно роняет конверсию. Оправдано там, где собираются чувствительные данные: анкеты кандидатов, медицинские формы, загрузка документов.
Отдельно про рассылку. Согласие на обработку данных и согласие на получение рекламных сообщений — это разные вещи, и регулируются они разными законами (второе — статьёй 18 закона «О рекламе»). Одна галочка на оба случая не работает. Если вы после заявки добавляете человека в рассылку, нужна вторая галочка, и она тоже не может быть предзаполненной.
Что должно быть в тексте согласия
Сам чекбокс — это подтверждение. Текст, который человек подтверждает, должен содержать:
- Кто оператор — полное наименование организации или ФИО индивидуального предпринимателя, ИНН, адрес.
- Какие данные собираются — перечислением: фамилия и имя, телефон, электронная почта, содержание сообщения. Не «иные данные».
- Зачем — конкретные цели: связаться по заявке, подготовить коммерческое предложение, заключить договор.
- Какие действия совершаются с данными — сбор, запись, хранение, использование, передача, удаление.
- Кому передаются — если данные уходят в CRM на стороннем хостинге, в сервис рассылок или в коллтрекинг, это передача третьим лицам, и её нужно назвать.
- Срок действия согласия и как его отозвать — адрес электронной почты, на который человек может написать, и срок реакции.
- Ссылку на политику обработки персональных данных — рабочую.
Практический приём: не пытайтесь уместить всё это в строку рядом с чекбоксом. Рядом с галочкой оставьте короткую формулировку со ссылками — «Я согласен на обработку персональных данных и ознакомился с политикой конфиденциальности», — а полный текст держите отдельной страницей.
Cookies и счётчики — отдельная история
Баннер про cookies и согласие на обработку данных — это не одно и то же, хотя их постоянно объединяют в один попап.
Если на сайте стоят Яндекс.Метрика, Google Analytics, пиксели рекламных систем или коллтрекинг, вы собираете данные о поведении посетителя, и часть из них при определённых настройках считается персональными. Уведомление о cookies должно быть заметным, объяснять, какие технологии используются и зачем, и давать возможность отказаться от необязательных.
Типовая ошибка — баннер, у которого одна кнопка «Хорошо». Формально это уведомление, а не согласие: выбора у человека нет. Если вы хотите, чтобы баннер что-то значил, в нём должны быть две равнозначные кнопки, и скрипты аналитики должны запускаться после согласия, а не до него.
Пять ошибок, которые мы видим чаще всего
Предзаполненная галочка. Самая частая и самая легко устранимая. Проверяется за десять секунд: откройте форму в режиме инкогнито и посмотрите, стоит ли чекбокс.
Согласие «по факту отправки» без текста. Под кнопкой написано «Нажимая кнопку, вы соглашаетесь с политикой», и слово «политика» не ссылка. Человеку негде прочитать, с чем он согласился.
Одна галочка на всё сразу. Заявка, рассылка, передача партнёрам — одним движением. При жалобе это разбирается как отсутствие согласия на каждое из направлений, кроме первого.
Цели написаны общими словами. «Для улучшения качества обслуживания» — формулировка, которая не проходит критерий предметности. Цель должна читаться как действие: «чтобы менеджер перезвонил и уточнил задачу».
Скрытые поля, о которых человек не знает. Формы часто передают в CRM то, чего нет на экране: UTM-метки, номер посетителя из коллтрекинга, идентификатор сессии, иногда — номер телефона, подставленный из подменного пула. Всё это собирается и хранится, значит должно быть описано в политике. Про этот пункт забывают почти всегда, потому что его не видно в вёрстке.
Что грозит
Размеры штрафов по статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года:
| Нарушение | Должностные лица и ИП | Юридические лица |
|---|---|---|
| Обработка без согласия или с целями, несовместимыми с заявленными (ч. 1) | 10 000 – 20 000 ₽ | 60 000 – 100 000 ₽ |
| Обработка без письменного согласия там, где оно обязательно (ч. 2) | 20 000 – 40 000 ₽ | 100 000 – 300 000 ₽ |
| Повторное нарушение | до 100 000 ₽ | 300 000 – 500 000 ₽ |
| Нет политики обработки данных или она не опубликована (ч. 3) | 3 000 – 6 000 ₽ | 15 000 – 30 000 ₽ |
| Не подано уведомление в Роскомнадзор | 30 000 – 50 000 ₽ | 100 000 – 300 000 ₽ |
Отдельно стоит утечка данных: с 2025 года это самостоятельный состав, где нижняя граница для юридического лица начинается от 3 млн рублей, а при повторной утечке применяется оборотный штраф — от 1 до 3 % годовой выручки. Для компании, которая хранит базу клиентов в незащищённой CRM или в таблице на общем диске, это перестало быть теоретическим риском.
Как проверить свой сайт за десять минут
Откройте сайт в режиме инкогнито и пройдите по каждой форме — включая всплывающие окна, формы в подвале и в шапке:
- чекбокс есть и он не отмечен;
- текст рядом с чекбоксом содержит ссылки, и обе открываются;
- политика лежит на сайте и в ней указаны ваши реквизиты, а не чужие;
- отдельная галочка на рассылку, если вы её ведёте;
- в форме нет полей, которые собирают больше, чем описано в политике;
- уведомление в Роскомнадзор подано.
Если хотя бы один пункт не сходится — это уже основание для предписания. Подробный разбор с суммами и порядком проверок мы собрали в отдельном материале: чек-лист проверки сайта на соответствие 152-ФЗ. Что должно быть в самом документе политики — во второй статье: политика конфиденциальности для сайта.
Как выглядит формулировка рядом с чекбоксом
Самая частая просьба клиента звучит так: «дайте текст, который надо поставить у галочки». Универсального текста не существует — он зависит от того, какие данные вы собираете и куда они уходят. Но разница между рабочим и нерабочим вариантом видна сразу.
Так делать не нужно:
☑ Я согласен с политикой конфиденциальности
Здесь три проблемы: галочка отмечена, «политика конфиденциальности» — не ссылка, и согласия на обработку данных в этой фразе вообще нет, есть только ознакомление с документом.
Рабочий вариант:
☐ Я даю согласие на обработку персональных данных и ознакомлен с политикой обработки персональных данных
Галочка пустая, обе ссылки ведут на реальные страницы, и в тексте разделены два разных действия — дать согласие и ознакомиться с политикой. Всё остальное — оператор, перечень данных, цели, срок, порядок отзыва — живёт на странице согласия, куда ведёт первая ссылка. Требовать от человека прочитать это в строке под формой бессмысленно, а спрятать совсем — нарушение.
Частые вопросы
Нужно ли согласие, если я собираю только телефон?
Да. Номер телефона в связке с любой другой информацией — например, с содержанием заявки — позволяет определить конкретного человека, а значит, это персональные данные.
Можно ли обойтись формулировкой «Нажимая кнопку, вы соглашаетесь»?
Технически так делают многие, но при жалобе доказывать факт согласия придётся вам, и позиция регулятора здесь не на вашей стороне. Чекбокс надёжнее и стоит одной строки в коде.
Что делать, если человек попросил удалить его данные?
Прекратить обработку и удалить данные в срок, установленный законом, — включая копии в CRM, в почте и в выгрузках. Порядок отзыва должен быть описан в тексте согласия, с рабочим адресом для обращений.
Нужно ли подавать уведомление в Роскомнадзор, если у меня маленькая компания?
Да, обязанность не зависит от размера бизнеса и количества заявок. Уведомление подаётся через портал Роскомнадзора до начала обработки.
Достаточно ли скачать чужую политику и поменять название?
Нет, и это отдельный риск: в чужом документе останутся цели, которых у вас нет, и не будет тех, которые есть. При проверке расхождение между заявленным и фактическим — самостоятельное нарушение.
Кто отвечает, если форму настраивал подрядчик?
Оператор, то есть владелец сайта. Ответственность перед регулятором нельзя переложить на разработчика договором — можно только распределить между собой последствия.
Материал носит информационный характер и не заменяет юридическую консультацию. Проверить, что именно нарушается на вашем сайте, и привести формы, политику и уведомление в порядок можно в рамках услуги приведение сайта в соответствие с 152-ФЗ. Если непонятно, с чего начать, — аудит сайта покажет весь список несоответствий с приоритетами.
Данные о размерах штрафов актуальны на сентябрь 2026 года (редакция КоАП РФ с учётом Федерального закона от 30.11.2024 № 420-ФЗ).
