Статья
Согласие на обработку персональных данных на сайте
Любая форма на сайте, где человек оставляет имя или телефон, — это обработка персональных данных, и почти всегда для неё нужно согласие. С 1 сентября 2025 года его оформляют отдельно от других документов, а штрафы с весны 2025-го выросли в разы. Разбираем, каким должно быть согласие на сайте, что делать с cookie и Метрикой и о чём ещё владелец сайта обязан сообщить Роскомнадзору.
Когда нужно согласие
Персональные данные — всё, что позволяет определить человека: имя, телефон, почта, а вместе с другими сведениями — и адрес, и даже технические данные посетителя. Если сайт их собирает — через форму заявки, запись, обратный звонок, подписку, — владелец сайта становится оператором персональных данных. Для обработки данных из формы на сайте обычно нужно согласие человека.
Каким должно быть согласие
По закону о персональных данных согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. А с 1 сентября 2025 года — ещё и оформленным отдельно от других документов, которые человек подтверждает: оферты, пользовательского соглашения, политики.
На практике в тексте согласия называют:
- кто оператор — название компании или ИП и контакты;
- какие данные — например, имя и телефон;
- зачем — чтобы связаться по заявке, записать на приём;
- что с ними делают — сбор, хранение, использование;
- сколько хранят и как отозвать согласие.
Как оформить на сайте
- Отдельный текст согласия — своей страницей или во всплывающем окне, а не абзацем внутри политики.
- Галочку ставит сам человек. Роскомнадзор ещё в 2017 году признавал согласие, данное отметкой в веб-форме, — отметкой самого пользователя. Заранее проставленная галочка с «сознательным и однозначным» согласием не вяжется.
- Без согласия форма не отправляется, но и не требует лишнего: только данные, нужные для заявки.
- Рядом — ссылка на политику обработки данных. Что в ней писать, разобрано в статье «Политика конфиденциальности для сайта».
- Согласие на рассылку — отдельно от согласия на обработку заявки: о нём статья «Согласие на рассылку».
Уведомление в Роскомнадзор
До начала обработки персональных данных оператор обязан уведомить Роскомнадзор. Исключений для малого бизнеса и сайтов в законе нет: прежние исключения отменены с 1 сентября 2022 года, а форма на сайте — это обработка с помощью компьютера, под оставшиеся исключения она не подходит. Уведомление подают через сайт Роскомнадзора. Что ещё проверить на сайте, — в статье «Проверка сайта на 152-ФЗ».
Как доказать согласие
Если придёт проверка или жалоба, согласие нужно будет подтвердить. Поэтому вместе с заявкой стоит сохранять, когда и с какой версией текста человек согласился. Мы так делаем на своём сайте: каждое согласие — из формы заявки и из баннера cookie — записывается в журнал с датой и версией текста, который видел посетитель.
Штрафы
| Нарушение | Для компании |
|---|---|
| Обработка без законного основания | 150 000–300 000 ₽ |
| Без письменного согласия там, где оно обязательно | 300 000–700 000 ₽ |
| Нет уведомления в Роскомнадзор | 100 000–300 000 ₽ |
За повторные нарушения штрафы выше. Для ИП по части нарушений суммы такие же, как для компаний.
Как это делаем мы
В каждый наш проект входят политика обработки персональных данных и согласие для форм. Согласие стоит отдельно от остальных документов, а галочку ставит сам посетитель. Оператором данных остаётесь вы, поэтому тексты стоит показать юристу, а уведомление в Роскомнадзор подать до запуска сайта.