Согласие на обработку персональных данных на сайте: как оформить, чтобы оно работало

Главное изменение: конклюдентное согласие больше не годится

Формулировка «нажимая кнопку „Отправить“, вы соглашаетесь с политикой обработки персональных данных» была стандартом рунета лет десять. Сейчас она прямо не соответствует закону: согласие оформляется отдельно от иных соглашений, а не выводится из факта нажатия кнопки.

Нормач. 1 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ (в редакции, действующей с 01.09.2025)

Санкция: ч. 2 ст. 13.11 КоАП РФ — для организаций от 300 000 до 700 000 ₽; повторно (ч. 2.1) от 1 000 000 до 1 500 000 ₽, для предпринимателей от 500 000 до 1 000 000 ₽.

Каким должен быть чекбокс

• Отдельный — не совмещённый с согласием на рассылку и не совмещённый с принятием пользовательского соглашения. Одна отметка на два разных согласия не работает.
• Не проставленный заранее. Галочка по умолчанию — это не свободное волеизъявление.
• В каждой форме, которая собирает персональные данные. Формы «Заказать звонок», «Задать вопрос», «Подписаться» — каждая своя.
• Со ссылкой на текст согласия и на политику. Ссылка должна открывать документ, а не якорь на той же странице.
• Блокирующий отправку. Пока отметка не поставлена, форма не отправляется.

Нормач. 1, ч. 4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ

Что должно быть в тексте согласия

Согласие — это отдельный документ, а не строка рядом с галочкой. Закон перечисляет, что в нём должно содержаться:

1. фамилия, имя, отчество и адрес субъекта персональных данных;
2. наименование и адрес оператора;
3. цель обработки;
4. перечень персональных данных, на обработку которых даётся согласие;
5. перечень действий с персональными данными;
6. срок, в течение которого действует согласие;
7. порядок отзыва согласия.

Нормач. 4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ

Полноту текста согласия невозможно установить внешним осмотром страницы — нужен сам документ. Поэтому этот пункт сервис проверки помечает как требующий проверки, а не как нарушение: проверять его нужно построчно по вашему тексту.

Отдельный сюжет: счётчики и cookie

Сбор технических сведений о посетителе — идентификатор в браузере, сведения об устройстве, источник перехода, метки кампаний — тоже требует основания. Раскрыть это в политике недостаточно: сам сбор должен начинаться после получения согласия.

На практике это означает, что скрипт счётчика запускается не при загрузке страницы, а после того, как посетитель подтвердил согласие в баннере. Баннер, который сообщает «мы используем cookie» и не даёт выбора, задачу не решает.

Санкция: ч. 1 ст. 13.11 КоАП РФ — для организаций от 150 000 до 300 000 ₽; повторно от 300 000 до 500 000 ₽.

Что исправить в первую очередь

1. Найти на сайте все формы, собирающие любые данные посетителя.
2. В каждую добавить непроставленный чекбокс согласия со ссылкой на текст согласия и на политику.
3. Заблокировать отправку формы до отметки.
4. Убрать со страниц формулировки «нажимая кнопку, вы соглашаетесь».
5. Сверить текст согласия с перечнем из ч. 4 ст. 9 построчно.
6. Отложить запуск счётчиков до получения согласия.