Согласие на обработку персональных данных на сайте: когда нужно и как оформить

Короткий ответ

Согласие на обработку персональных данных на сайте нужно не «для галочки», а для конкретной цели и конкретного действия: отправить заявку, зарегистрироваться, написать в поддержку, подписаться на письма. При этом 152-ФЗ не делает вид, что любая обработка всегда возможна только по согласию: статья 6 допускает и другие основания, в том числе исполнение договора и исполнение обязанностей по закону. Но если сайт опирается именно на согласие, оно должно быть конкретным, предметным, информированным, сознательным и однозначным, в форме, позволяющей подтвердить факт его получения, и оформленным отдельно от иных документов и информации. Поэтому универсальная фраза под всеми формами почти всегда слабее и рискованнее, чем отдельный текст, привязанный к конкретной форме и к конкретной цели.

Для обычных форм сайта закон не требует «бумажного» согласия с паспортными реквизитами. Роскомнадзор прямо разъяснял для интернет-магазинов, что согласие может получаться через отметку пользователя в веб-форме; письменная форма нужна в случаях, когда этого прямо требует федеральный закон, например для отдельных чувствительных сценариев обработки.

Чем согласие отличается от политики обработки персональных данных

По статье 18.1 оператор обязан опубликовать политику и обеспечить к ней доступ, а если данные собираются через сайт — разместить этот документ именно в той сети и на тех страницах, где идет сбор данных. По статье 9 согласие — это уже не просто общий документ оператора, а отдельное волеизъявление пользователя. Отсюда и практический вывод: политика не заменяет согласие, а короткий текст возле формы не заменяет политику; он нужен, чтобы связать конкретное действие с конкретной целью и показать ссылку на нужные документы. Если читателю нужен полный разбор политики, лучше уводить его в отдельный материал о политике обработки персональных данных, а не пытаться пересказать всю политику внутри текста согласия.

Когда сайту нужно отдельное согласие, а когда достаточно другого основания

Отдельное согласие почти всегда нужно там, где цель — продвижение товаров, работ и услуг: подписка на письма с акциями, рекламные сообщения по электронной почте, СМС, сообщения в мессенджерах, звонки с рекламой. Для такой обработки статья 15 152-ФЗ требует предварительного согласия, статья 18 Закона о рекламе — тоже, а для рассылки по сети подвижной радиотелефонной связи Закон о связи отдельно требует действия, однозначно идентифицирующего абонента и его волю на получение рассылки. Оператор или рекламораспространитель обязан доказать, что такое согласие было получено.

С заявкой, обратным звонком, общим обращением и формой «задать вопрос» ситуация тоньше. Если человек просто оставляет контакты, чтобы с ним связались по его запросу, сайты часто используют согласие как самый понятный и доказуемый вариант основания. Но закон не запрещает в отдельных сценариях опираться и на договорное основание, если форма действительно ведет к заключению или исполнению договора по инициативе самого пользователя. Важно не прикрываться согласием там, где вы на самом деле исполняете заказ, и не изображать договорное основание там, где вы на самом деле собираете данные для продвижения и будущих рассылок.

Для покупки в интернет-магазине отдельное согласие на все подряд — не единственный и не всегда главный путь. Если данные нужны ровно для оформления заказа, оплаты, доставки и исполнения обязательств перед покупателем, статья 6 152-ФЗ позволяет строить обработку на договорном основании, а Роскомнадзор отдельно разъяснял, что интернет-магазины получают согласие, если отношения с пользователем не оформлены через акцепт публичной оферты или иные договорные формы. Но это не дает права автоматически добавлять сюда рекламные цели: письма о скидках, персональные предложения и рекламные СМС требуют отдельной логики и отдельного согласия. Для интернет-магазина полезно отдельно сослаться на материал о документах для интернет-магазина.

Регистрация и личный кабинет тоже не решаются одной универсальной фразой. Если учетная запись нужна для оказания сервиса, входа в личный кабинет, работы с заказами и историей операций, достаточные для этого данные могут обрабатываться как часть договорного сценария. Но все, что выходит за пределы обслуживания учетной записи — рекламные подборки, отдельные письма о предложениях, продвижение в мессенджерах, — лучше отделять в самостоятельное согласие. То же касается поддержки: для действующего клиента часть обработки может опираться на договор, а для посетителя, который просто оставил обращение через сайт, чаще используют согласие, привязанное к форме обращения.

Почему опасен универсальный текст под всеми формами

Проблема не в том, что короткая фраза под формой сама по себе запрещена. Проблема в другом: один и тот же текст редко может честно покрыть заявку, покупку, регистрацию, поддержку и рекламу одновременно. Статья 5 требует связывать обработку с конкретными, заранее определенными и законными целями, не собирать лишние данные и не хранить их дольше, чем этого требуют цели. Статья 9 требует, чтобы согласие было конкретным и предметным. Из этого прямо следует: одна «универсальная подпись» под всеми формами почти всегда либо слишком размыта, либо слишком широка, либо смешивает несовместимые цели.

Опасная формула выглядит обычно так: «Нажимая кнопку, вы соглашаетесь на обработку персональных данных, получение рассылок, передачу партнерам, ознакомление с политикой, офертой и иными документами сайта». Здесь смешаны разные основания и разные правовые режимы: обработка данных по заявке, реклама, возможно передача по поручению или передача третьим лицам, общая политика и договорные документы. Такой текст плохо отвечает на главный вопрос пользователя: что именно произойдет с моими данными после этой конкретной кнопки. А с точки зрения оператора он плохо доказывает, на какую именно цель человек согласился.

Сценарий сайта → цель → данные → какой текст нужен рядом с формой → куда вести ссылку

Логика этой таблицы опирается на то, что закон связывает цель обработки, категории данных, категории субъектов, правовое основание, перечень действий, способы обработки и срок либо условие прекращения обработки. Именно так устроена и форма уведомления на портале персональных данных Роскомнадзора: она заставляет оператора описывать цель, категории данных, категории субъектов, основание, действия, способы и условие прекращения обработки по каждой цели отдельно. Этим удобно пользоваться как проверкой согласий и текстов возле форм, не превращая статью в инструкцию по подаче уведомления. Для сайта с одной формой заявки уместно дополнительно сослаться на материал о документах для лендинга с формой заявки.

Как написать согласие так, чтобы оно работало по смыслу

Статья 9 различает два уровня. Во‑первых, обычное согласие может быть дано в любой форме, которая позволяет подтвердить факт его получения. Во‑вторых, если федеральный закон требует письменную форму, статья 9 перечисляет обязательные реквизиты такого согласия: оператор, цель, перечень данных, лицо по поручению оператора при наличии, действия с данными, срок, способ отзыва, подпись. Для обычной формы сайта этот список полезно брать не как буквальный набор полей, а как структуру хорошего текста согласия. Иначе сайт начинает либо требовать лишние данные у пользователя, либо публиковать пустые шаблоны без цели и срока.

Практически рабочий текст согласия на сайте обычно отвечает на восемь вопросов. Кто оператор. Для какой именно цели собираются данные. Какие именно данные нужны для этой цели. Что оператор с ними делает: собирает, записывает, хранит, использует, передает по поручению, удаляет, уничтожает. Кому обработка поручена, если это нужно раскрыть. Как долго действует согласие или при каком условии обработка прекращается. Как пользователь может его отозвать. Где находится политика и по каким контактам можно направить запрос. Права пользователя стоит объяснять простым языком: он может отозвать согласие, запросить сведения об обработке, потребовать уточнения, блокирования или уничтожения данных, если они неточны, незаконно получены или не нужны для заявленной цели.

Хорошая формула для короткого текста возле формы выглядит так: «Отправляя [конкретную форму], я даю согласие [наименование оператора] на обработку [перечень данных из формы] в целях [одна цель] путем [основные действия], на срок [срок или условие], с правом отзыва согласия [способ], подробнее — в [политике] и [полном тексте согласия]». Эта формула не обязана быть длинной в каждом сценарии, но она помогает проверить, не пропущены ли цель, данные и судьба данных после отправки. Если тема уходит не в форму, а в счетчики и аналитику, лучше вывести читателя в отдельный материал о политике cookie для сайта, а не смешивать эти режимы в одном согласии.

Примеры плохих и хороших формулировок

Эти примеры исходят из двух базовых требований закона: цель должна быть конкретной, а объем данных — не избыточным; само согласие должно быть предметным, информированным и однозначным. Поэтому хороший текст не делает вид, что один клик решает сразу все вопросы сайта. Он прямо называет, для чего нужны данные именно в этой форме.

Согласие на рассылку и рекламу — отдельная цель и отдельная логика

Самая частая ошибка сайта — смешать заявку и рекламу в один флажок. Для продвижения товаров, работ и услуг статья 15 152-ФЗ требует предварительного согласия. Закон о рекламе требует предварительного согласия адресата на получение рекламы по сетям электросвязи и возлагает на рекламораспространителя обязанность доказать, что согласие было получено. Для СМС действует еще более жесткая формула из Закона о связи: согласие должно выражаться действиями, которые однозначно идентифицируют абонента и позволяют достоверно установить его волеизъявление на получение рассылки. Отсюда практический вывод: если вы хотите и принять заявку, и подписать человека на рекламу, это должны быть две разные цели и две разные отметки.

Отдельно важно не путать рекламные и служебные сообщения. Суд прямо разъяснил, что согласие на информацию справочного характера не означает согласия на рекламу. Для сайта это означает простую вещь: уведомление о статусе заказа, подтверждение регистрации, ответ по заявке и чек об оплате нельзя автоматически превращать в право рассылать акции и подборки товаров. Если вы хотите отправлять и служебные уведомления, и рекламные предложения, опишите эти сценарии отдельно и не прячьте рекламу внутрь обязательной коммуникации по заказу.

Практически это выглядит так: один флажок — для обработки данных по заявке или заказу, второй — для рекламных писем, третий — при необходимости для рекламных СМС или сообщений в мессенджере. Причем текст должен называть не абстрактную «рассылку», а конкретного отправителя и канал связи. Это особенно важно там, где сайт обещает «новости и спецпредложения» сразу по нескольким каналам.

Как фиксировать получение согласия

Закон не перечисляет готовый «журнал согласий» по полям, но статья 9 прямо возлагает на оператора обязанность доказать, что согласие было получено. Для рекламных сообщений действует такая же логика доказывания. Поэтому на практике имеет смысл хранить не только сам текст согласия, но и сведения о том, кто, когда, где и через какое действие его выразил. Минимум, который обычно помогает: дата и время, идентификатор формы, страница сайта, версия текста согласия, какой именно флажок был установлен либо какая кнопка была нажата, какие контактные данные были введены в эту форму, номер заявки, а также снимок или архив той версии текста, которая была показана пользователю в момент отправки.

Если текст согласия меняется, полезно вести журнал изменений: версия, дата публикации, что именно поменялось и с какого момента новая редакция начала показываться в форме. Это не отдельное требование статьи 9, а практический способ исполнить бремя доказывания, не споря потом о том, какую формулировку видел пользователь. Одновременно не стоит увлекаться сбором лишних технических сведений только «на всякий случай»: статья 5 запрещает избыточность, поэтому все дополнительные журналы и технические записи тоже должны быть осмыслены по цели и отражены в вашем наборе документов. После публикации формы полезно прогнать ее по общему проверочному списку сайта по 152-ФЗ.

Как пользователь отзывает согласие и что происходит после отзыва

Пользователь должен понимать порядок отзыва без чтения закона со словарем. Достаточно понятной фразы: куда писать, через какой адрес или форму направлять отзыв, и что делает оператор после получения такого отзыва. По статье 9 согласие может быть отозвано. По статье 21 оператор обязан прекратить обработку либо обеспечить ее прекращение и, если хранение данных больше не требуется для целей обработки, уничтожить данные в срок не более 30 дней с даты поступления отзыва. Отдельно статья 21 дает срок в 10 рабочих дней на исполнение требования о прекращении обработки, если нет иных законных оснований продолжать ее.

Важно честно объяснить последствия. Отзыв согласия не всегда означает, что исчезнут все данные без остатка в ту же минуту. Если часть обработки можно продолжать на другом основании — например, для исполнения уже заключенного договора, бухгалтерского учета или исполнения иных обязанностей по закону, — оператор вправе сохранить и использовать данные в этой части. Но обработка, которая держалась только на согласии, должна прекратиться. Для рекламы правило еще жестче: Закон о рекламе требует немедленно прекратить распространение рекламы в адрес лица, которое об этом потребовало, а статья 15 152-ФЗ требует немедленно прекратить обработку персональных данных для целей продвижения по требованию субъекта.

Частые ошибки

Ниже — ошибки, которые чаще всего делают сайты, когда оформляют согласие формально, а не по смыслу. Они противоречат либо принципу конкретной цели и минимизации данных, либо требованию отдельного и доказуемого согласия, либо правилам о рекламе.

1. Один текст согласия под всеми формами сайта, хотя цели у форм разные.
2. Один флажок сразу на заявку, рекламу, звонки и сообщения в мессенджерах.
3. Подмена согласия одной лишь политикой обработки персональных данных.
4. Попытка спрятать согласие только в подвал сайта, а не рядом с формой.
5. Сбор лишних данных для простой цели вроде обратного звонка или подписки на письма.
6. Размытая цель вроде «обработка персональных данных в любых законных целях».
7. Формула «согласие действует бессрочно» без привязки к цели и срокам хранения.
8. Отсутствие отдельного согласия на рекламу и рассылку.
9. Невозможность доказать, какую версию текста видел пользователь в момент отправки формы.
10. Непонятный или скрытый порядок отзыва согласия.
11. Смешение служебных уведомлений по заказу с рекламой.
12. Публикация текста согласия без сверки с реальными целями, категориями данных, действиями и сроками, которые указаны в остальных документах сайта.

Проверочный список перед публикацией формы

Перед публикацией каждой формы стоит пройтись по короткому списку. Он не заменяет правовую проверку, но помогает сразу увидеть самые частые провалы. Логика этого списка опирается на требования статей 5, 6, 9, 18.1 и 21 152-ФЗ, а также на правила о рекламных сообщениях.

• У формы есть одна понятная цель, сформулированная человеческим языком.
• Поля формы не избыточны для этой цели.
• Вы выбрали правовое основание: согласие, договор или обязанность по закону, а не смешали все сразу.
• Если вы опираетесь на согласие, возле формы есть ясный текст, привязанный именно к этой форме.
• Если рядом есть флажок согласия, он относится только к одной цели и не закрывает рекламу «заодно».
• Для рекламы, писем с акциями, СМС и сообщений в мессенджерах есть отдельная логика и отдельное согласие.
• Рядом с формой есть ссылка на политику обработки персональных данных, а где нужно — и на полный текст согласия.
• В тексте указан срок или условие прекращения обработки, а также способ отзыва.
• Сайт умеет зафиксировать дату, действие пользователя, форму и версию текста.
• Текст формы не противоречит другим документам сайта. Если вопрос шире одной формы, полезно свериться со статьей какие документы нужны сайту в 2026 году.

Что делать дальше

Хорошее согласие начинается не с красивой фразы под кнопкой, а с вопроса: какую именно цель обслуживает эта форма и на каком основании вы вообще берете эти данные. После этого уже настраиваются текст возле формы, полный текст согласия, политика обработки персональных данных и порядок хранения доказательств. Если на сайте несколько форм, их лучше проверить по отдельности: заявка, регистрация, покупка, подписка, поддержка никогда не бывают полностью одинаковыми по цели и объему данных.

Для Правослоя мягкий, но честный вывод здесь такой: полезно не просто «поставить документ на сайт», а связать тексты с реальными страницами, кнопками и сценариями сайта. То есть проверить, совпадают ли формы, цели, документы и реальные действия после отправки заявки. В этом и есть нормальная работа с согласиями: не универсальная подпись под всем сайтом, а связка «форма → цель → данные → текст → доказательство».

Источники и дата проверки