Согласие на обработку персональных данных: как правильно оформить в форме на сайте
Предзаполненный чекбокс — это не согласие. «Продолжая использовать сайт, вы соглашаетесь» — тоже не согласие. По ст. 9 152-ФЗ и ФЗ-156 согласие должно быть добровольным, конкретным и информированным. За обработку данных без надлежащего согласия — штраф до 700 000 руб. для организаций.
Что такое согласие на обработку персональных данных по 152-ФЗ
Согласие — это добровольное, конкретное, информированное и сознательное волеизъявление субъекта персональных данных (ст. 9 152-ФЗ). Закон требует, чтобы согласие можно было однозначно подтвердить: «молчаливое» согласие или поведение пользователя (продолжение просмотра сайта) — не считается.
В контексте форм на сайте это означает: пользователь должен совершить активное действие — самостоятельно поставить галочку в чекбоксе, — прежде чем нажать кнопку отправки.
Обязательные элементы согласия в форме
-
1Пустой чекбокс (не предзаполненный) Пользователь сам ставит галочку. Любой атрибут
checkedна чекбоксе — нарушение. Согласие «по умолчанию» недействительно. -
2Явный текст о персональных данных Формулировка должна прямо упоминать обработку персональных данных, а не просто «ознакомлен с условиями» или «согласен с правилами».
-
3Ссылка на политику конфиденциальности Активная гиперссылка рядом с чекбоксом. Политика должна быть доступна и описывать: кто оператор, какие данные, для каких целей, как долго хранятся.
-
4Блокировка отправки без согласия Кнопка «Отправить» должна быть неактивна до отметки чекбокса, либо при отправке без галочки — показывать ошибку.
-
5Логирование факта согласия Дата, время и IP пользователя при отправке формы. При проверке РКН это основное доказательство надлежащего получения согласия.
Пример правильного текста и чекбокса
«Нажимая кнопку, вы соглашаетесь с политикой» — не согласие: пользователь не совершает отдельного действия. «Соглашаюсь с условиями использования» — не согласие на ПДн: нет явного упоминания персональных данных. Предзаполненный чекбокс — не согласие: не добровольно.
Отдельные согласия для разных целей
Ст. 9 152-ФЗ требует конкретного согласия — для каждой цели отдельно. Одно общее согласие «на всё» не соответствует закону. Типичные ситуации, когда нужны разные согласия:
| Ситуация | Сколько согласий нужно |
|---|---|
| Форма обратной связи (только ответить на запрос) | 1 — на обработку для ответа |
| Форма заявки + подписка на рассылку | 2 — отдельный чекбокс для рассылки |
| Форма + согласие на рекламные сообщения | 2 — отдельный чекбокс для рекламы (ФЗ-38) |
| Форма + передача данных третьим лицам (партнёрам) | 2 — отдельное согласие на передачу |
| Анкета + cookie-трекеры | 2 — форма + cookie-баннер отдельно |
Особый случай: согласие на рассылку
Подписка на email-рассылку — самостоятельное согласие. Требования:
- Отдельный чекбокс, отдельный от согласия на обработку ПДн
- Явная формулировка о рекламных/информационных сообщениях
- Возможность отписаться в каждом письме (ФЗ-38 «О рекламе»)
- Хранить факт подписки: когда, с какого IP, какой текст был на форме
Что должна содержать политика конфиденциальности для ссылки из формы
Согласие ссылается на политику — значит, политика должна содержать всю информацию, которую по закону следует довести до субъекта ПДн до получения согласия:
- Реквизиты оператора — полное наименование, ИНН, адрес, контактный email
- Перечень обрабатываемых данных — конкретно: имя, email, телефон, IP-адрес и т.д.
- Цели обработки — для каждой категории данных своя цель
- Правовое основание — согласие, договор, законный интерес
- Срок хранения — конкретный срок или условие удаления
- Права субъекта — как получить, исправить, удалить данные
- Порядок отзыва согласия — куда писать, в какие сроки выполняется
Подробнее о требованиях к политике: 9 обязательных разделов политики конфиденциальности.
Типичные ошибки при оформлении согласия
| Ошибка | Последствие |
|---|---|
| Предзаполненный чекбокс | Согласие недействительно — нарушение ст. 9 ч. 1 |
| Нет отдельного чекбокса — только текст на кнопке | Не является явным волеизъявлением |
| Согласие не содержит слов «персональные данные» | Не соответствует требованию информированности |
| Ссылка на политику ведёт на несуществующую страницу | Нарушение ст. 18.1 — непрозрачная политика |
| Одно согласие на несколько разных целей | Нарушение требования конкретности |
| Нет блокировки отправки до отметки чекбокса | Форма собирает данные без подтверждённого согласия |
| Факт согласия не логируется | Невозможно доказать при проверке РКН |
| После отзыва согласия данные не удаляются | Нарушение ст. 9 ч. 5 — несоблюдение права на отзыв |
Штрафы за нарушения при получении согласия
Обработка персональных данных без надлежащего согласия квалифицируется по ч. 2 ст. 13.11 КоАП:
- Самозанятый / ИП — до 150 000 руб.
- Организация — от 300 000 до 700 000 руб.
- При повторном нарушении — до 18 000 000 руб. для организаций
Нарушение при сборе данных для рассылок дополнительно подпадает под ФЗ-38 «О рекламе» — до 500 000 руб. за каждый факт направления рекламы без согласия.
При плановой или внеплановой проверке РКН запрашивает документацию: политику конфиденциальности, образцы форм с сайта, журналы полученных согласий. Наличие чекбокса на сайте — только первый шаг: важно ещё хранить лог с датой, временем и фактом нажатия для каждого пользователя.
Как проверить формы на своём сайте
Сканер Privadoc автоматически проверяет формы: наличие чекбокса согласия, ссылки на политику конфиденциальности и предзаполненного состояния. Базовая проверка бесплатна. Полный отчёт (390 руб.) включает точный перечень форм с нарушениями и инструкцию по исправлению.
Готовое согласие на обработку ПДн с вашими реквизитами
Шаблон согласия, политика конфиденциальности и политика cookie — готовый пакет документов по 152-ФЗ за 10 минут.
Оформить документы — от 590 ₽Часто задаваемые вопросы
Согласие — добровольное, конкретное, информированное и сознательное волеизъявление субъекта ПДн (ст. 9 152-ФЗ). В веб-форме это пустой чекбокс, который пользователь самостоятельно отмечает. Предзаполненный чекбокс или поведение пользователя (продолжение просмотра) — не является согласием по закону.
Да, если формы собирают данные для разных целей. Если форма обратной связи и форма подписки на рассылку — это разные цели, нужны отдельные согласия. Одно общее согласие «на всё» не соответствует требованию конкретности ст. 9 152-ФЗ.
Рядом с чекбоксом должна быть активная ссылка на политику конфиденциальности с реквизитами оператора, перечнем обрабатываемых данных, целями, сроками хранения и правами субъекта. Ссылка должна открываться — не просто URL в тексте без гиперссылки.
Можно, но сложнее доказать. Ст. 9 152-ФЗ допускает любую форму, позволяющую подтвердить согласие. Для веб-форм чекбокс — оптимален: дата, время, IP логируются и могут быть предъявлены РКН.
Субъект ПДн вправе отозвать согласие в любой момент (ст. 9 ч. 2 152-ФЗ). Процедура отзыва должна быть в политике конфиденциальности — обычно письмо на email оператора. После заявления оператор обязан прекратить обработку и уничтожить данные в течение 30 дней.