Как оформить согласие на обработку персональных данных на сайте

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом, штраф за нарушение — до 700 тыс. руб. Требования статьи 9 152-ФЗ, 6 шагов внедрения на формах сайта, разбор реальной формы и чек-лист из 10 пунктов.

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом: Федеральный закон от 24.06.2025 № 156-ФЗ внес это требование в статью 9 закона 152-ФЗ «О персональных данных». Встроить фразу про персональные данные в текст договора или оферты больше нельзя. За нарушение требований к согласию юридическое лицо штрафуют на 300–700 тыс. руб., при повторном нарушении — до 1,5 млн руб. (ст. 13.11 КоАП РФ, данные на август 2026 года).

Для сайта это означает конкретный список работ: отдельный текст согласия под каждую форму, чекбоксы без предустановленных галочек, политика обработки данных по актуальной редакции закона и доказательства того, что согласие действительно давали. Ниже — как оформить все это правильно, с проверочным чек-листом в конце.

Когда сайту вообще нужно согласие

Согласие нужно в тот момент, когда сайт начинает собирать сведения, по которым можно определить человека: имя, телефон, email, адрес доставки. По 152-ФЗ любая операция с такими сведениями — сбор, хранение, передача, даже простое получение письма с формы — считается обработкой персональных данных, а владелец сайта становится оператором.

Пройдитесь по своему сайту глазами проверяющего. Форма заявки или обратного звонка. Форма регистрации и личный кабинет. Подписка на рассылку. Комментарии, где просят имя и email. Форма отклика на вакансию с прикрепленным резюме. Онлайн-чат, куда посетитель пишет с указанием контактов. Каждая из этих точек — сбор персональных данных, и на каждую нужно согласие.

Отдельная история — данные, которые собираются без форм: счетчики аналитики, пиксели рекламных систем, идентификаторы в cookie. Роскомнадзор рассматривает такие идентификаторы как персональные данные, если они позволяют соотнести действия с конкретным пользователем. Практика по этой части продолжает формироваться, но уведомление о cookie со ссылкой на политику уже стало гигиеническим минимумом.

Что изменилось с 1 сентября 2025 года

Главное изменение одно, но оно ломает привычную практику. Согласие должно быть оформлено отдельно от любых других документов и сведений, которые подтверждает или подписывает человек. Раньше пункт «отправляя форму, вы соглашаетесь с обработкой персональных данных и условиями оферты» внизу формы формально проходил. Теперь — нет: согласие на обработку нельзя объединять ни с офертой, ни с пользовательским соглашением, ни с подпиской на рекламу.

Что это значит для типовой формы на сайте:

• Отдельный чекбокс на обработку данных. Он относится только к обработке персональных данных и ни к чему больше.
• Отдельный чекбокс на рассылку. Если вы хотите отправлять рекламу, это самостоятельное согласие. Объединять «обработку» и «рекламу» в одну галочку нельзя.
• Свой текст согласия. Чекбокс должен вести на текст именно согласия: кто оператор, какие данные, для чего, на какой срок. Ссылки только на политику конфиденциальности недостаточно: политика — это документ оператора о том, как он в принципе работает с данными, а согласие — волеизъявление конкретного человека.

Переоформлять согласия, собранные до 1 сентября 2025 года, не нужно — они действуют. Новые требования касаются только согласий, которые вы собираете после этой даты.

Каким должно быть согласие по статье 9 152-ФЗ

Закон предъявляет к согласию 5 требований: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. За каждым словом — проверяемый признак, и Роскомнадзор трактует их буквально.

• Конкретное и предметное. Цель обработки названа точно: «обработка заявки и связь по указанному телефону». Размытые формулировки вроде «улучшения качества обслуживания» не проходят. Одно согласие — на связанные цели; сбор заявок и рекламная рассылка — цели разные.
• Информированное. Человек видит, кто оператор, какие данные собираются и что с ними будут делать, до того, как нажал кнопку.
• Сознательное и однозначное. Согласие выражается действием: пользователь сам ставит галочку. Предустановленный чекбокс, серый мелкий текст, согласие «по умолчанию» фактом посещения сайта — все это нарушения.

Полный состав сведений для письменного согласия перечислен в части 4 статьи 9: ФИО субъекта, наименование и адрес оператора, цель обработки, перечень данных, перечень действий с ними, срок действия согласия и способ его отзыва. Для веб-форм закон допускает согласие в любой форме, позволяющей подтвердить факт его получения, но состав текста разумно держать тот же: при споре с регулятором именно он докажет, что согласие было информированным.

На специальные категории данных (здоровье, биометрия) и на передачу данных третьим лицам согласие оформляется строже. Если форма на сайте передает заявку, например, в стороннюю CRM или сервис коллтрекинга, в тексте согласия должны быть названы получатели данных.

Как реализовать согласие на формах: 6 шагов

Дальше — практика. Порядок, в котором мы внедряем согласия на клиентских сайтах.

1. Проведите ревизию точек сбора. Выпишите все формы сайта, включая всплывающие и те, что добавлены виджетами: чаты, квизы, калькуляторы. Часто пара форм живет годами без ведома владельца — их видно только в коде или в списке лидов CRM.
2. Напишите текст согласия под каждую цель. Для сбора заявок — один текст, для рассылки — другой, для откликов на вакансии — третий. Тексты публикуются на сайте отдельными страницами или в модальных окнах, у каждой версии текста фиксируется дата.
3. Поставьте чекбоксы. Не предустановленные, с явной формулировкой и ссылкой на текст согласия. Кнопка отправки без отмеченного чекбокса не срабатывает.
4. Настройте фиксацию доказательств. При каждой отправке формы сохраняйте: дату и время, идентификатор формы, версию текста согласия, отмеченные чекбоксы и технические сведения сессии. Роскомнадзор при проверке спрашивает не «есть ли у вас чекбокс», а «докажите, что этот человек дал согласие». Лог отправок — тот самый ответ.
5. Обновите политику обработки персональных данных. Она обязана быть опубликована на сайте (ст. 18.1 152-ФЗ) — обычно ссылку ставят в подвале. Проверьте, что в ней актуальны перечень целей, состав данных, сроки хранения и реквизиты оператора.
6. Проверьте уведомление в Роскомнадзор. Оператор обязан уведомить РКН о начале обработки персональных данных через форму на сайте ведомства. С 2025 года это требование касается практически всех, кто собирает данные через сайт, — исключения единичны. Если уведомление подано давно, сверьте: заявленные в нем цели должны совпадать с тем, что сайт реально собирает.

По трудоемкости это небольшой проект: на типовом корпоративном сайте с 3–5 формами ревизия, тексты и доработка форм укладываются в 8–15 ч. работы. Дороже всего обходится не внедрение, а его отсутствие.

Как это выглядит на практике: разбор нашей формы

Покажу на нашем собственном сайте. В формах заявки design-lab.ru стоит обязательный чекбокс «Согласен с политикой обработки персональных данных» со ссылкой на страницу политики; без галочки форма не отправляется, галочка по умолчанию снята.

Это типовая для рынка реализация, и она закрывает главные риски: явное действие пользователя есть, документ по ссылке есть. Но буква закона после 1 сентября 2025 года строже, и в порядке самокритики скажу, чего такой схеме не хватает: формулировка ведет на политику, тогда как закону нужен отдельный текст согласия с целями и сроками конкретно этой формы. У себя мы это учли в плане доработок. Если у вас на сайте та же конструкция — вы не одиноки, так сделано на большинстве сайтов, но при следующей доработке форм закладывайте отдельные тексты согласий: требование уже действует, а практика проверок догоняет его быстро.

Вывод из этого разбора простой: сам по себе чекбокс — только половина работы. Проверяйте формулировку, цель и доказуемость.

Штрафы: сколько стоит неправильное согласие

Ответственность по ст. 13.11 КоАП РФ (данные на август 2026 года):

Это штрафы именно за согласие. Утечка данных наказывается отдельно и заметно дороже: фиксированные штрафы до 15 млн руб., за повторную утечку — оборотные до 3% выручки. Про смежный состав — штрафы за отсутствие авторизации пользователей и уведомлений о рекомендательных алгоритмах — мы разбирали в отдельной статье.

Деталь, которую часто упускают: штрафы суммируются по числу нарушений. Форма без чекбокса, объединенное с офертой согласие и неподанное уведомление в РКН — это 3 самостоятельных состава со своими штрафами.

Чек-лист: проверьте свой сайт за 15 минут

Пройдите по списку и отметьте, что выполняется. Каждый пункт проверяется без юриста.

1. Все формы сайта найдены и учтены, включая виджеты, чаты и квизы.
2. У каждой формы есть чекбокс согласия, по умолчанию снятый.
3. Чекбокс ведет на отдельный текст согласия, а по ссылке из подвала открывается политика обработки данных.
4. Согласие на рекламную рассылку — отдельный чекбокс с отдельным текстом.
5. В тексте согласия названы: оператор, цель, перечень данных, срок, способ отзыва, получатели данных (если заявки уходят в сторонние сервисы).
6. Отправки форм логируются: дата, форма, версия текста согласия.
7. Политика обработки данных актуальна и опубликована.
8. Уведомление в Роскомнадзор подано, цели в нем совпадают с реальными.
9. Есть понятный способ отозвать согласие, и он описан в тексте согласия.
10. Cookie-уведомление показывается, счетчики и пиксели упомянуты в политике.

Если из 10 пунктов выполняются 7 и меньше — сайту нужна доработка. Мы в Design Lab включаем эту проверку в технический аудит сайта: точки сбора данных видны при разборе форм и интеграций, а доработка чекбоксов и текстов — обычная задача для команды поддержки.