Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным - это прямо следует из 152-ФЗ. Конкретное значит, что в тексте названа четкая цель обработки, а не общая фраза вроде «в целях улучшения сервиса». Информированное значит, что субъект понимает, кто оператор, какие данные и зачем собираются, кому могут передаваться. Сознательное - согласие дано осознанно, без давления и обмана.
Обязательные элементы текста согласия:
- фамилия, имя, отчество и адрес субъекта (для физлица) или реквизиты представителя;
- наименование и адрес оператора;
- цель обработки - конкретная, не общая;
- перечень персональных данных, на обработку которых дается согласие;
- перечень действий с данными (сбор, хранение, передача и так далее);
- срок действия согласия и порядок его отзыва.
Форма согласия зависит от способа получения: письменная нужна для отдельных случаев, прямо указанных в законе (например, для специальных категорий данных или их распространения), в остальных случаях допускается любая форма, позволяющая подтвердить факт согласия - в том числе чекбокс на сайте с явной формулировкой и логированием времени согласия.
Частая ошибка - объединять согласие на обработку с пользовательским соглашением или офертой одним чекбоксом. Это разные документы с разной юридической природой, и при проверке такое смешение читается как нарушение принципа конкретности. Отдельная тонкость - если данные потом публикуются или передаются третьим лицам не для исполнения услуги, а, например, в открытый профиль или партнерам для их собственных целей, нужно отдельное согласие на распространение - обычного согласия на обработку для этого недостаточно.