Согласие на обработку персональных данных на сайте: как оформить по закону

Как получить согласие на обработку персональных данных на сайте

Согласие на обработку персональных данных на сайте оформляют отдельным документом, который посетитель подтверждает активным действием. С 1 сентября 2025 года его нельзя включать в договор или пользовательское соглашение, поэтому галочка «Я принимаю условия» больше не закрывает юридические требования. Владельцу сайта нужно подготовить текст согласия, разместить его рядом с формой обратной связи и убедиться, что пользователь осознанно его принимает.

Что обязательно указать в тексте согласия

Текст согласия должен содержать пять обязательных элементов, без которых документ не считается оформленным:

• наименование оператора персональных данных (ваша компания или ИП);
• цели обработки (например, «для ответа на запрос через форму обратной связи»);
• перечень данных, которые вы собираете (имя, телефон, e-mail и другие);
• срок действия согласия (например, «на 5 лет» или «до момента отзыва»);
• порядок отзыва согласия (как пользователь может его отозвать, например, написав на e-mail).

Эти сведения размещают в отдельном блоке или всплывающем окне, а не мелким шрифтом в подвале страницы. Пользователь должен видеть, на что именно он соглашается, до того как поставит галочку.

Образец текста согласия

Вот пример формулировки, которую можно адаптировать под свой сайт:

«Я, действуя свободно и в своём интересе, даю согласие ООО „Ромашка“ (ИНН 1234567890, адрес: г. Казань, ул. Примерная, д. 1) на обработку моих персональных данных: фамилия, имя, номер телефона, адрес электронной почты. Цель обработки: ответ на мой запрос через форму обратной связи. Согласие действует 5 лет с момента отправки формы. Я могу отозвать согласие, направив письмо на электронную почту компании. Отзыв согласия не влияет на законность обработки, выполненной до отзыва».

Такой текст размещают рядом с формой или открывают по ссылке в отдельном окне. Главное, чтобы пользователь мог прочитать его до отправки данных, а не после.

Как подтвердить согласие

Подтверждением служит активное действие пользователя: установка галочки в чекбоксе «Я даю согласие на обработку персональных данных» или нажатие кнопки «Отправить», если рядом есть явная надпись о согласии. Пассивного поведения вроде продолжения использования сайта недостаточно. Галочка не должна быть предустановлена, пользователь ставит её сам.

Чтобы проверить, насколько ваш сайт соответствует требованиям, закажите аудит сайта по 152-ФЗ. Специалист разберёт форму, тексты и порядок хранения данных, укажет на слабые места и поможет исправить их до проверки Роскомнадзора.

Чекбокс и ссылка на политику конфиденциальности: как разместить

Как разместить чекбокс в форме обратной связи

Чекбокс в форме обратной связи не должен быть отмечен по умолчанию. Пользователь сам ставит галочку, и только после этого согласие считается добровольным. Если поле уже отмечено, Роскомнадзор может признать такое согласие недействительным, а вы получите штраф.

Рядом с чекбоксом разместите текст: «Я даю согласие на обработку персональных данных в соответствии с политикой конфиденциальности». Ссылка на политику конфиденциальности для сайта должна быть кликабельной и открываться в новой вкладке. Так пользователь сможет прочитать документ, не потеряв заполненные поля формы. Проверьте, что ссылка ведёт на актуальную версию политики конфиденциальности по 152-ФЗ.

Если на сайте несколько форм обратной связи, чекбокс добавляется в каждую из них. Используйте одинаковую формулировку и одинаковое расположение ссылки, чтобы снизить риск ошибок при проверке. Для форм в подвале, всплывающих окнах и на странице контактов применяйте один и тот же шаблон.

Ссылка на политику должна быть доступна до отправки формы. Не прячьте её в мелкий шрифт или в конец длинного текста. Разместите её сразу после слов о согласии, чтобы пользователь мог легко её найти. После отправки формы сохраняйте факт согласия: дату, время и версию политики, с которой пользователь ознакомился.

Типичные ошибки при оформлении согласия и их последствия

Ошибки в оформлении согласия на обработку персональных данных приводят к штрафам и претензиям пользователей. Ниже разобраны четыре частые ситуации, которые встречаются на сайтах малого бизнеса.

Отсутствие отдельного согласия

С 1 сентября 2025 года согласие на обработку персональных данных нельзя включать в договор или пользовательское соглашение. Если вы собираете данные через форму обратной связи на сайте, но не показываете отдельный текст согласия, его могут признать недействительным. Обработка данных в таком случае происходит без правового основания, а пользователь вправе подать жалобу в Роскомнадзор.

Предзаполненный чекбокс

Галочка в форме обратной связи, уже отмеченная за пользователя, не считается свободным волеизъявлением. Суды и надзорный орган рассматривают такой приём как навязывание согласия. Если пользователь не совершил явное действие, например не поставил галочку сам, согласие не работает. Это создаёт риск административной ответственности по статье 13.11 КоАП РФ.

Отсутствие ссылки на политику конфиденциальности

Перед тем как поставить галочку, пользователь должен иметь возможность прочитать, какие данные вы собираете, зачем и как долго храните. Если рядом с чекбоксом нет активной ссылки на политику конфиденциальности для сайта, согласие не считается информированным. Это одна из типичных претензий при проверках, и она легко устраняется добавлением ссылки в текст согласия.

Использование иностранных сервисов авторизации

В КоАП РФ введена статья 13.55: за авторизацию на сайте через иностранные сервисы, такие как Google или система идентификации Apple, юридическому лицу грозит штраф от 500 до 700 тысяч рублей. Если на сайте есть кнопка «Войти через Google», а вы обрабатываете данные российских пользователей, вы попадаете под действие этой нормы. Замените такие способы входа на российские аналоги или обычную форму с паролем.

Хранение данных россиян в зарубежных базах

С 1 июля 2025 года при сборе персональных данных россиян, в том числе через интернет, запрещено использовать базы данных за пределами России. Это требование части 5 статьи 18 закона 152-ФЗ. Если ваш сайт хранит заявки в зарубежной CRM или облаке, вы нарушаете закон, даже если сами находитесь в России.

Проверьте свой сайт по этим пунктам до того, как пользователь оставит заявку. Исправление ошибок на этапе проектирования формы обойдётся меньшими затратами, чем оплата штрафа и восстановление доверия клиентов.

Таблица: что проверить в вашем согласии на обработку данных

Пройдите по строкам как по чек-листу. Каждый пункт можно проверить за пару минут без привлечения программиста.

Если вы только планируете запуск, обратите внимание на создание сайтов под ключ с уже настроенными формами и согласиями. Это сэкономит время на доработках после запуска.

Список: пошаговый план внедрения согласия на сайте

1. Проверьте, есть ли на сайте отдельное согласие и корректный чекбокс. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов, его нельзя включать в договоры и пользовательские соглашения.
2. Обновите политику конфиденциальности, указав все цели и данные. В документе перечислите, какие сведения вы собираете, зачем и как долго храните. Например, для формы обратной связи это имя, телефон и адрес электронной почты.
3. Добавьте чекбокс в каждую форму обратной связи. Рядом с полем поставьте текст: «Я даю согласие на обработку персональных данных» и ссылку на политику конфиденциальности. Без активной отметки отправка формы должна блокироваться.
4. Направьте уведомление в Роскомнадзор о намерении обрабатывать персональные данные. За отсутствие уведомления юрлицу грозит штраф от 100 до 300 тысяч рублей, должностным лицам и ИП от 30 до 50 тысяч рублей.
5. Убедитесь, что данные хранятся на серверах в России. С 1 июля 2025 года при сборе персональных данных россиян, в том числе через интернет, запрещено использовать базы данных за пределами России.
6. Проверьте, не используются ли иностранные сервисы авторизации. Если на сайте есть вход через Google или идентификатор Эппл, замените его на вход по номеру телефона или через Госуслуги. Штраф для юрлиц за авторизацию через иностранные сервисы составляет от 500 до 700 тысяч рублей.
7. Пройдите идентификацию администратора домена через Госуслуги. С 1 сентября 2026 года без неё нельзя продлить домен, сменить DNS или передать домен. По данным на 27 августа 2026 года идентификацию прошли только 42,2% администраторов доменов у «Руцентра» и 25,7% у «Рег.ру».
8. Протестируйте отправку формы и проверьте, что согласие фиксируется. Отправьте тестовую заявку с каждого устройства и убедитесь, что в базе сохраняются дата, время и текст согласия. Так вы защитите себя при возможной проверке. Например, согласие на обработку данных в клинике должно фиксироваться так же строго, как и в интернет-магазине.

Что делать после внедрения: проверка и обновление

Согласие на обработку персональных данных не может быть статичным документом. Каждый раз, когда вы меняете форму обратной связи, добавляете новую цель обработки или подключаете сервис аналитики, текст согласия нужно пересматривать. Например, если раньше вы собирали только имя и телефон для звонка, а теперь начали отправлять рассылку, в согласии должно появиться упоминание о получении рекламных сообщений.

Храните доказательства получения согласия. Это могут быть записи в базе данных с датой и временем, файлы журналов или скриншоты экранных форм. При проверке Роскомнадзор может запросить сведения о том, когда и как пользователь дал согласие. Если доказательств нет, штраф за отсутствие уведомления о намерении обрабатывать данные составляет от 30 до 50 тысяч рублей для должностных лиц и ИП, от 100 до 300 тысяч рублей для юридических лиц.

Законодательство в этой сфере меняется часто, и часть требований уже вступила в силу в 2026 году. С 1 марта 2026 года действует статья 10.1 закона «О защите прав потребителей» о требованиях к информации для публичного ознакомления. С 1 сентября 2026 года обязательна идентификация администраторов доменов через Госуслуги; без неё после 18 января 2027 года нельзя продлить домен или сменить DNS. Учитывайте это при планировании работ по сайту.

Проводите аудит согласия не реже одного раза в год, даже если на сайте ничего не менялось. Сверьте текст согласия с актуальными требованиями, проверьте, что чекбокс работает, а ссылка на политику конфиденциальности ведёт на действующую страницу. Убедитесь, что согласие оформлено отдельно от договоров и пользовательских соглашений, как того требует норма с 1 сентября 2025 года.

Проверьте, соответствует ли ваше текущее согласие требованиям 2026 года, и сверьте форму на сайте с образцом из статьи. Если вы не уверены, что всё оформлено правильно, начните с малого: откройте свою форму обратной связи и посмотрите, есть ли там отдельный чекбокс с текстом согласия и ссылкой на политику. Это первый шаг к тому, чтобы избежать штрафов и претензий со стороны пользователей.

Часто задаваемые вопросы

Дмитрий Дементьев

Генеральный директор

Рукводитель с опытом более 10 лет работы. Эксперт в области внедрения инновационных решений для крупного и среднего бизнеса.

Подписаться на ТГ