Согласие на обработку ПДн отдельным документом: формы сайта

Ещё недавно типичная форма на сайте выглядела так: имя, телефон, кнопка «Отправить» и мелкая строка под ней — «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности и условиями оферты». Одним кликом посетитель как будто соглашался со всем сразу. С 1 сентября 2025 года такой подход прямо противоречит закону: Федеральный закон от 24.06.2025 № 156-ФЗ дополнил статью 9 закона № 152-ФЗ требованием оформлять согласие на обработку персональных данных отдельно от иной информации и документов, которые подтверждает или подписывает человек.

Разберём, что это значит для форм на сайте, какие согласия нужны в разных сценариях, как хранить доказательства и какие ошибки встречаются чаще всего. Это практическое руководство для владельца сайта и разработчика, а не юридическое заключение: тексты согласий лучше согласовать с юристом под ваши процессы.

Что именно изменилось

Согласия, полученные до 1 сентября 2025 года, по общему мнению комментаторов, переоформлять не требуется. Новое правило касается согласий, которые вы собираете сейчас, — то есть каждой отправки формы на сайте.

Когда согласие вообще нужно

Согласие — лишь одно из оснований обработки. Если вы обрабатываете данные для исполнения договора, стороной которого является человек, отдельное согласие может не требоваться (п. 5 ч. 1 ст. 6 152-ФЗ). Но на большинстве сайтов данные собираются до заключения договора: заявка на консультацию, расчёт стоимости, подписка, регистрация. В этих случаях без согласия не обойтись, и именно эти формы нужно переделать в первую очередь.

Что должно быть в тексте согласия

Статья 9 закона перечисляет сведения, которые включаются в письменное согласие. Для электронной формы на сайте на практике в текст включают:

• Наименование и адрес оператора — вашей компании или ИП.
• Цель обработки — конкретную: «обработка заявки и обратная связь по ней», а не «любые цели».
• Перечень персональных данных: имя, телефон, e-mail, содержание обращения.
• Перечень действий с данными и способы обработки (автоматизированная, без использования средств автоматизации).
• Третьих лиц, которым поручена обработка, если они есть: хостинг, CRM-сервис, сервис рассылок, колл-центр.
• Срок, в течение которого действует согласие, и порядок его отзыва — например, письмом на указанный e-mail.
• Ссылку на политику обработки персональных данных.

Собрать черновик политики можно в нашем генераторе политики обработки ПДн, а проверить, всё ли учтено, — по чек-листу 152-ФЗ.

Как это выглядит в интерфейсе

Правильная форма заявки в 2026 году устроена так:

1. Поля формы: имя, телефон, комментарий — только то, что действительно нужно для ответа.
2. Отдельный чекбокс: «Я даю согласие на обработку персональных данных» со ссылкой на полный текст согласия (страница или раскрывающийся блок). Галочка не стоит по умолчанию.
3. Если есть рассылка — отдельный необязательный чекбокс: «Согласен получать информационные и рекламные сообщения». От него не зависит возможность отправить заявку.
4. Если есть оферта — отдельная ссылка или чекбокс для её принятия, не объединённый с согласием на обработку.
5. Кнопка отправки неактивна или показывает подсказку, пока не отмечено обязательное согласие.

Посмотрите, как это реализовано у нас: тексты согласия опубликованы отдельной страницей /consent, а в каждой форме и в онлайн-чате есть самостоятельная галочка. Политика обработки — на странице /privacy.

Как хранить доказательства согласия

Обязанность доказать получение согласия лежит на операторе (ч. 3 ст. 9 152-ФЗ). «У нас на сайте была галочка» — слабый аргумент, если вы не можете показать, какую версию текста видел человек и когда он её отметил. Минимальный набор данных, который стоит сохранять вместе с заявкой:

Старые версии текстов согласия не удаляйте: храните архив с датами действия. Если вы меняете текст, увеличивайте номер версии — тогда по любой заявке можно восстановить, что видел клиент.

Частые ошибки

• Предустановленная галочка. Согласие должно быть активным действием. Отмеченный по умолчанию чекбокс — фактически отсутствие согласия.
• Одна галочка на всё. «Согласен с офертой, политикой и получением рассылки» — ровно то, что запрещает новое правило.
• Нет текста согласия. Ссылка ведёт только на политику, а самого согласия нет нигде.
• Форма в виджете стороннего сервиса. Квиз, чат или калькулятор от внешнего сервиса собирает телефон без всякого согласия и иногда отправляет его на зарубежные серверы. Об этом — в статье про иностранные формы и локализацию данных.
• Согласие на рекламу как обязательное. Если без него нельзя отправить заявку, согласие не является свободным.
• Не обновили формы во всех местах. Обычно забывают попапы, формы в футере, мобильную версию, лендинги рекламных кампаний.

Какие штрафы грозят

Обработка персональных данных без письменного согласия, когда оно обязательно, либо с нарушением требований к его составу — часть 2 статьи 13.11 КоАП: для юридических лиц от 300 до 700 тысяч рублей. Если согласия нет и иного законного основания обработки тоже нет, может применяться часть 1 — от 150 до 300 тысяч рублей. Нарушение требований о согласии на рекламную рассылку рассматривает ФАС по закону «О рекламе». Отдельно стоят санкции за утечки, которые с 2025 года стали оборотными, — подробности в статье об оборотных штрафах.

План переделки за один день

1. Соберите список всех форм на сайте, в попапах, чатах, квизах, на лендингах и в мобильном приложении.
2. Для каждой формы определите цель и основание обработки: согласие, договор, иное.
3. Подготовьте текст согласия (одна версия на типовую цель) и опубликуйте его отдельной страницей.
4. Добавьте в формы отдельные чекбоксы: согласие на ПДн (обязательный), согласие на рекламу (необязательный).
5. Настройте сохранение версии согласия, даты и страницы вместе с заявкой в CRM.
6. Проверьте, что сторонние виджеты либо получают согласие сами, либо заменены собственными формами.
7. Обновите политику обработки и проверьте, подано ли уведомление в Роскомнадзор.

Пример текста согласия для формы заявки

Ниже — упрощённый пример структуры согласия для формы «Оставить заявку». Он показывает, какие элементы должны быть в тексте, но не является готовым юридическим документом: адаптируйте его под свои цели, сервисы и сроки вместе с юристом.

1. «Я, отмечая этот пункт, даю согласие ООО «Пример» (ИНН …, адрес …) на обработку моих персональных данных.»
2. «Цель обработки: рассмотрение моей заявки, связь со мной по ней и подготовка предложения.»
3. «Перечень данных: имя, номер телефона, адрес электронной почты, текст обращения.»
4. «Действия: сбор, запись, систематизация, хранение, уточнение, использование, передача лицам, которым поручена обработка (хостинг-провайдер, оператор CRM), удаление; с использованием средств автоматизации и без них.»
5. «Срок: до достижения цели обработки, но не более одного года с момента отправки заявки, если иное не потребуется для заключения договора.»
6. «Отзыв: я могу отозвать согласие, направив письмо на адрес privacy@… . Политика обработки персональных данных размещена по адресу …»

Обратите внимание на конкретность: каждая цель и каждый перечень привязаны к форме. Если на сайте несколько форм с разными целями (заявка, подписка, отклик на вакансию), лучше сделать несколько версий согласия, чем одно размытое «для любых целей». Отклик на вакансию — отдельный случай: резюме содержит больше данных, а срок хранения после отказа кандидату обычно короче.

Если формы на сайте собраны разными подрядчиками в разные годы, проще поручить ревизию одной команде. Мы делаем это в рамках поддержки сайтов и аудита безопасности; базовые требования к сайту по 152-ФЗ собраны в статье «152-ФЗ: что обязан сделать сайт».