Согласие на обработку персональных данных: когда оно обязательно
Согласие на обработку персональных данных - документ, который подтверждает: человек знает, кто и зачем собирает его имя, телефон, email или другие сведения, и разрешает это делать. Дальше в статье - образец согласия на обработку персональных данных, который можно скопировать и адаптировать под свою компанию, и разбор того, из каких пунктов он должен состоять по Федеральному закону 152-ФЗ от 27.07.2006 о персональных данных.
Согласие нужно почти любому сайту, который принимает заявки, регистрирует пользователей или ведет рассылку: интернет-магазину, клинике, школе, юридической фирме, службе доставки. Закон не делает исключения для маленьких компаний и для сайтов без собственного интернет-магазина - если форма собирает имя и телефон, оператор обязан получить согласие до того, как данные попадут в CRM или таблицу с заявками.
Отсутствие согласия или его неправильное оформление - одна из первых вещей, которую проверяет инспектор Роскомнадзора при осмотре сайта, и основание для штрафа по статье 13.11 КоАП РФ об административной ответственности за нарушения в области персональных данных. Актуальные суммы и то, на чем чаще всего ловят владельцев сайтов, разобраны в статье про типичные нарушения ФЗ-152 на сайтах. Часто проблема не в том, что текста согласия нет вообще, а в том, что он скопирован с чужого сайта, не совпадает с реальным набором собираемых данных или спрятан так, что посетитель физически не может его прочитать перед отправкой формы.
Что обязательно должно быть в согласии на обработку персональных данных
Часть 4 статьи 9 закона о персональных данных перечисляет, какие сведения должны быть в согласии, оформленном в письменной форме - а для сайта это как раз тот случай, потому что чекбокс с подтверждением приравнивается к письменной форме, только если за ним закреплен весь этот перечень. Пропуск любого пункта - формальное основание считать согласие недействительным при проверке.
| № | Что указать | Пояснение |
|---|---|---|
| 1 | Кто дает согласие | Фамилия, имя, отчество субъекта; на сайте обычно заменяется полями формы, которые заполняет сам посетитель |
| 2 | Кто получает данные | Название компании или ИП, ИНН, юридический адрес - точные реквизиты оператора, а не общая фраза вроде администрация сайта |
| 3 | Цель обработки | Например: обработка заявки, доставка заказа, консультация, рассылка новостей - формулировка должна совпадать с тем, что сайт реально делает с данными |
| 4 | Перечень данных | Конкретные поля: имя, телефон, email, адрес доставки - не обобщенное слово данные |
| 5 | Действия с данными | Сбор, запись, хранение, уточнение, использование, передача (если есть), удаление |
| 6 | Кому могут передать данные | Если оператор передает данные подрядчику - службе доставки, CRM-провайдеру, колл-центру - это нужно назвать |
| 7 | Срок действия согласия | Конкретный срок или условие: до достижения цели обработки, до отзыва - без этого согласие можно считать бессрочным, что тоже является нарушением |
| 8 | Способ отзыва | Куда обращаться и как: email, почтовый адрес оператора, форма на сайте |
Кто обязан оформлять согласие
Требование распространяется на любого оператора вне зависимости от размера бизнеса: индивидуального предпринимателя с одной формой на лендинге, небольшую студию и крупную сеть клиник закон обязывает одинаково. Единственное, что меняется в зависимости от масштаба, - объем сопутствующих документов вроде политики обработки и модели угроз, но само согласие нужно даже там, где на сайте всего одна форма обратной связи и один человек, который отвечает на заявки.
Для сайта проще всего собрать все восемь пунктов не в отдельной анкете, а связкой из двух элементов: короткой фразы рядом с чекбоксом и полного текста, на который дана ссылка. Короткая часть фиксирует факт согласия здесь и сейчас, полная - закрывает все требования из таблицы выше. Как технически реализовать эту связку без типичных ошибок, разобрано в статье про чекбокс, всплывающее окно и отдельную форму согласия.
Форма согласия на обработку персональных данных на сайте: письменная или устная
У закона нет требования собирать согласие исключительно на бумаге с подписью, кроме отдельных случаев вроде обработки специальных категорий данных - о здоровье, например, где нужна письменная форма или ее электронный аналог. Для обычной формы заявки достаточно, чтобы согласие было выражено действием, которое явно подтверждает волю человека: он отметил чекбокс, нажал кнопку отправить рядом с текстом согласия, ввел код из смс.
Ошибка, которая встречается почти на каждом втором сайте, - чекбокс, отмеченный по умолчанию. Формально пользователь ничего не подтверждал, он просто не убрал галочку, а с точки зрения закона это не согласие, а молчание, которое согласием не считается. Тот же принцип действует в формах обратной связи и в подписке на рассылку - разбор конкретных сценариев есть в статье про сбор заявок через формы на сайте.
Отдельный случай - согласие по телефону через колл-центр. Устное подтверждение по закону допустимо не для всех целей, а если оператор потом не может ничем его подтвердить - ни записью звонка, ни смс-кодом, ни письмом с повторным подтверждением - при проверке это согласие фактически недоказуемо. Практика Роскомнадзора здесь простая: нет фиксации - нет согласия, даже если по факту человек действительно был не против.
Если сайт собирает не только имя и телефон, а сведения о здоровье, судимости или национальности - это специальные категории персональных данных, и требования к согласию строже: обязательна письменная форма, а нередко и отдельное согласие под каждую цель. Что именно изменилось в этой части закона, разобрано в статье про согласие на обработку специальных категорий персональных данных.
Новое правило с 1 сентября 2025 года: согласие отдельным документом
Федеральный закон 156-ФЗ от 24.06.2025 изменил часть первую статьи 9 закона о персональных данных: с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельным документом, а не пунктом внутри пользовательского соглашения, публичной оферты или договора оказания услуг. До этой поправки многие сайты просто дописывали фразу о согласии в конец оферты или условий использования - формально такой вариант уже не проходит.
Как перейти на новый формат: 4 шага
- Вынести текст согласия из оферты и пользовательского соглашения на отдельную страницу или в отдельный блок формы
- Проверить, что ссылка на согласие идет отдельно от ссылки на политику обработки персональных данных, даже если визуально они стоят рядом
- Сверить содержание согласия с таблицей из восьми обязательных пунктов - при переносе текста легко потерять один-два пункта
- Обновить дату вступления в силу нового документа и, если позволяет техническая платформа, попросить пользователей, которые уже дали старое согласие, подтвердить новое при следующем визите
Согласия, полученные до 1 сентября 2025 года по старым правилам, не становятся автоматически недействительными - они действуют до истечения собственного срока или отзыва. Но любое новое согласие, собранное после этой даты, обязано соответствовать новому формату, и именно на дату сбора смотрит проверяющий, а не на дату регистрации сайта.
Согласие на обработку и согласие на распространение: в чем разница
Эти два документа путают чаще всего, хотя они решают разные задачи. Согласие на обработку разрешает компании собирать и использовать данные внутри себя и своих подрядчиков - для заявки, доставки, рассылки. Согласие на распространение - отдельный документ по статье 10.1 закона о персональных данных, форма которого утверждена приказом Роскомнадзора номер 18, и оно требуется, только если данные человека становятся доступны неограниченному кругу лиц: публикуется отзыв с именем на сайте, фото с мероприятия, список участников курса в открытом доступе.
| Критерий | Согласие на обработку | Согласие на распространение |
|---|---|---|
| Что разрешает | Сбор, хранение и использование данных оператором и его подрядчиками | Публикацию данных для неограниченного круга лиц |
| Норма закона | Статья 9 закона о персональных данных | Статья 10.1 закона о персональных данных |
| Форма | Свободная, но с обязательным перечнем сведений из части 4 статьи 9 | Утверждена приказом Роскомнадзора номер 18 |
| Когда нужно | При любом сборе данных через форму, регистрацию, подписку | Только если данные публикуются: отзывы, фото, списки, комментарии с именем |
| Можно ли отозвать | Да, в любой момент, оператор обязан прекратить обработку | Да, отдельно от отзыва согласия на обработку, с указанием, что именно скрыть |
В согласии на распространение обязательно указывается перечень персональных данных, которые разрешено публиковать, и есть ли ограничения на передачу третьим лицам - например, человек может разрешить публикацию отзыва с именем, но запретить его передачу рекламным сетям или использование в маркетинговых материалах. Это тонкая настройка, которой в согласии на обработку просто нет.
На практике сайт может использовать оба документа одновременно для разных целей. Клиника берет согласие на обработку, чтобы записать пациента на прием, и отдельно - согласие на распространение, если публикует его отзыв с именем в разделе отзывов на сайте. Интернет-магазин берет согласие на обработку для оформления заказа и отдельное согласие на распространение, если показывает имя покупателя в отзыве о товаре без анонимизации, а политику, которая описывает оба процесса в целом, стоит держать в актуальном виде - структура такого документа разобрана в статье про обязательные пункты политики конфиденциальности.
Готовый образец согласия на обработку персональных данных
Ниже - бланк, который можно скопировать и адаптировать под свою компанию: заменить реквизиты оператора, перечень данных и цель обработки на реальные. Отдельный файл скачивать не нужно - весь текст согласия дан здесь же, его можно вставить в конструктор сайта или в документ Word и распечатать при необходимости.
Я, [фамилия, имя, отчество], даю согласие [название организации или ИП, ИНН, адрес] на обработку моих персональных данных: имя, номер телефона, адрес электронной почты [дополнить при необходимости]. Согласие дается в целях [обработка заявки, консультация, доставка заказа - указать реальную цель]. Оператор вправе совершать с данными следующие действия: сбор, запись, хранение, уточнение, использование, передачу [указать, кому именно: например, службе доставки или CRM-провайдеру], удаление. Согласие действует до [достижения цели обработки / отзыва согласия - выбрать вариант] и может быть отозвано в любой момент путем направления заявления на [email или почтовый адрес оператора].
Рядом с формой на сайте достаточно короткой фразы со ссылкой на полный текст: нажимая кнопку отправить, я соглашаюсь с условиями обработки персональных данных - и ссылка ведет на страницу с бланком выше. Чекбокс при этом не должен быть отмечен заранее, а кнопка отправки логично должна оставаться неактивной, пока пользователь его не отметил.
Формулировки в квадратных скобках - это как раз то, что отличает согласие одной компании от согласия конкурента: цель обработки, перечень данных и получатели должны совпадать с тем, что сайт реально делает. Для медицинского сайта в перечень данных добавляются сведения о здоровье и отдельная отметка про специальные категории, для интернет-магазина - адрес доставки и данные карты оплаты, если она обрабатывается напрямую, а не через платежный сервис. Согласие, скопированное с чужого сайта без правок, на проверке выглядит подозрительно: в нем часто остаются чужое название компании или лишние пункты про данные, которые сайт на самом деле не собирает.
Сколько действует согласие и когда его нужно обновить
Срок действия - один из восьми обязательных пунктов из таблицы выше, и на практике встречаются три формулировки: до достижения цели обработки (самый частый вариант для формы заявки), конкретный срок в годах (характерно для медицинских карт и учебных программ) и до отзыва (для рассылок и постоянных клиентов).
Обновлять согласие нужно не по календарю, а по событию. Три ситуации, когда старое согласие перестает покрывать реальную обработку: компания начала передавать данные новому подрядчику, о котором в тексте согласия речи не было; изменилась сама цель обработки - например, к обработке заявок добавилась рассылка предложений по email; изменились реквизиты оператора после реорганизации или смены юридического лица. В каждом из этих случаев формально нужно новое согласие, а не молчаливое расширение старого.
Если человек официально просит удалить свои данные вместе с отзывом согласия - это уже обращение субъекта персональных данных, и закон отводит на ответ 10 рабочих дней. Хранить сами тексты согласий стоит не меньше, чем хранятся сами данные: если проверка попросит подтвердить, на каком основании обрабатывались сведения конкретного человека три года назад, отвечать нечем без архива согласий с датами.
Частые ошибки при оформлении согласия
Даже когда текст согласия в целом написан верно, оформление на сайте часто портит всю работу. Вот на что стоит проверить готовую форму:
- чекбокс отмечен по умолчанию - формально согласие не получено, даже если пользователь ничего не менял
- текст согласия встроен в пользовательское соглашение или оферту одним пунктом, а не оформлен отдельным документом, как того требует закон с 1 сентября 2025 года
- ссылка на согласие ведет на страницу 404 или на текст другого документа - например, на политику конфиденциальности
- перечень данных в согласии не совпадает с полями формы: например, форма собирает адрес доставки, а в согласии этого пункта нет
- не указан срок действия согласия и способ его отзыва
- для отзывов с именами или фото участников мероприятий не взято отдельное согласие на распространение
- реквизиты оператора - общая фраза вроде администрация сайта без названия компании, ИНН и адреса
- нет технической фиксации факта согласия: лога с датой, временем и IP-адресом, который можно предъявить при запросе Роскомнадзора
Последний пункт легче всего упустить: сам текст согласия может быть безупречным, но если сайт не сохраняет факт его получения, доказать, что конкретный пользователь согласие действительно давал, нечем.
Практические вопросы про согласие на обработку персональных данных
Нужно ли согласие, если сайт работает только с юридическими лицами? Да, если на сайте есть форма, где контактным лицом от компании-партнера выступает конкретный человек - его имя, телефон и email все равно персональные данные, даже если сама сделка оформляется между двумя организациями. Отдельное дело - публичные реквизиты компании вроде общего email info@ или телефона офиса, которые не привязаны к конкретному человеку: их закон о персональных данных не регулирует.
Что делать с данными, которые уже собраны без согласия? Формально их дальнейшая обработка без согласия - продолжающееся нарушение, поэтому первый шаг - получить согласие у тех, с кем еще есть контакт, например через письмо с просьбой подтвердить условия обработки. Данные людей, до которых уже не достучаться, безопаснее удалить, а не хранить бессрочно на непонятном основании.
Нужно ли новое согласие после редизайна сайта или смены домена? Само по себе изменение внешнего вида формы согласия не требует. А вот смена юридического лица, на которое зарегистрирован сайт, или переход на новый набор полей формы - повод обновить текст и, по возможности, переподтвердить согласие у части пользователей, чьи данные еще активно используются.
Считается ли визитка, оставленная на выставке, согласием на рассылку? Нет. Передача визитки означает согласие на то, чтобы с человеком связались по указанному поводу - например, обсудить сотрудничество, - но не на регулярную рассылку писем. Для email-рассылки нужно отдельное согласие, оформленное тем же порядком, что и для формы на сайте.
Можно ли использовать один текст согласия для нескольких сайтов компании? Можно, если во всех случаях совпадают оператор, цели обработки и перечень данных, а ссылка на актуальный текст работает с любого из сайтов. На практике проще держать один документ на основном домене и ссылаться на него с остальных площадок, чем поддерживать несколько параллельных версий, которые со временем расходятся между собой.
Нужно ли согласие для формы комментариев под статьями блога? Если форма комментария просит только имя или псевдоним и текст без телефона и email, риски здесь ниже, чем при сборе контактов для продажи, но формально это тоже персональные данные. Короткая фраза о согласии на обработку рядом с кнопкой отправить комментарий закрывает вопрос при минимальных усилиях и без отдельного документа на всю страницу.
Что если человек дал устное согласие по телефону, а потом утверждает, что не давал? Без записи разговора или другого подтверждения оператору нечем возразить, и при споре или обращении в Роскомнадзор позиция человека будет сильнее. Поэтому для любого канала, где нет письменного следа - звонок, личная встреча, мессенджер без сохранения переписки, - стоит дублировать согласие способом, который можно предъявить: смс с кодом, запись звонка с предупреждением о ней, письмо на email с просьбой подтвердить.
Что делать дальше
Проверить согласие на обработку персональных данных на своем сайте можно за один заход: сверить текст с таблицей из восьми пунктов, убедиться, что чекбокс не отмечен заранее, а ссылка ведет на актуальную страницу с реальными реквизитами компании. Отдельно стоит проверить, не потерялось ли согласие где-то в глубине оферты после недавних правок сайта - такое случается, когда форму меняли несколько раз разные подрядчики.
Если на сайте несколько форм - заявка, подписка на рассылку, форма отзыва, - для каждой стоит свериться, какой набор данных она реально собирает и совпадает ли это с текстом согласия. Проверка не разовая история: любое изменение формы, новый подрядчик или новая цель обработки требуют пересмотра текста, а не молчаливого предположения, что старое согласие и так все покрывает.
152fzpro.ru делает аудит форм на сайте и готовит комплект документов под конкретный проект: согласие на обработку, при необходимости - согласие на распространение, политику обработки персональных данных, с реквизитами и перечнем данных, которые соответствуют тому, что сайт на самом деле собирает.
