Представьте студию йоги, которой пришёл запрос от РКН. Вопрос короткий: на каком основании вы обработали телефон гражданки N и прислали ей SMS о новом расписании. У студии есть чекбокс в форме записи, есть политика на сайте. Но когда начинают разбираться, оказывается, что галочка вела на пользовательское соглашение, где согласие было шестым пунктом, а про SMS-рассылку там не было ни слова.
С 1 сентября 2025 года такая конструкция уже нарушение сама по себе: согласие на обработку оформляется отдельно от иных документов. Ниже о том, как это сделать и что хранить на случай вопросов.
Что изменилось и что нет
Раньше многие сайты обходились одной строкой «Отправляя форму, вы принимаете условия политики». Теперь согласие живёт отдельным текстом. Его нельзя встроить в оферту, пользовательское соглашение или политику обработки ПДн.
Не поменялось другое: политика по-прежнему нужна, и она описывает обработку в целом. Согласие касается конкретной цели и конкретного набора данных. Как устроена сама политика, мы разобрали в статье о составе политики обработки ПДн, здесь повторять не будем.
Когда согласие вообще не нужно
Прежде чем ставить галочки везде, стоит понять, где они не обязательны. 152-ФЗ разрешает обрабатывать данные без согласия, например, для исполнения договора, стороной которого является сам человек, и для выполнения обязанностей работодателя по ТК.
На практике это значит: пекарня с доставкой может использовать адрес и телефон покупателя, чтобы привезти заказ, потому что это исполнение договора. А вот чтобы через месяц прислать ему промокод на круассаны, нужно согласие, и не просто согласие, а отдельное, на рекламу.
Работодатель может обрабатывать данные сотрудников для кадрового учёта, но передавать их третьим лицам без согласия, как правило, нельзя (ст. 88 ТК). Подробнее в статье о данных работников.
Поля согласия
Минимальный состав, который ждёт проверяющий:
| Поле | Как заполнить | Пример: юрист-ИП с формой консультации |
|---|---|---|
| Кто даёт согласие | данные из формы или способ идентифицировать человека | имя и телефон, указанные в форме |
| Оператор | полное наименование или ФИО ИП, ИНН, адрес | ИП Иванова А. С., ИНН, адрес |
| Цели | конкретно, каждая отдельно | связаться для записи на консультацию, подготовить ответ на вопрос |
| Перечень данных | только то, что реально приходит | имя, телефон, email, текст вопроса |
| Действия | сбор, запись, хранение, использование, удаление и т.д. | без передачи третьим лицам, кроме CRM |
| Срок | дата или событие | до окончания консультации и закрытия обращения |
| Способ отзыва | куда и как написать | письмо на email ИП с темой «отзыв согласия» |
Поле «способ отзыва» заполняйте живым адресом. Если человек отзывает согласие, оператор прекращает обработку и уничтожает данные в срок до 30 дней, если нет других законных оснований их хранить. Письмо, которое ушло в неразобранный ящик, этот срок не останавливает.
Формулировки: как не надо и как можно
| Так не работает | Так понятнее |
|---|---|
| «для улучшения качества обслуживания» | «чтобы перезвонить и подтвердить время занятия» |
| «персональные данные» без перечня | «имя, номер телефона» |
| «любые действия, предусмотренные законом» | перечень действий, которые вы правда совершаете |
| «бессрочно» | «до отзыва согласия» или до наступления конкретного события |
| «я согласен на обработку и получение рекламы» в одной строке | две галочки: обработка для записи и отдельно рассылка акций |
Последняя строка важна для всех, кто делает рассылки. Реклама без согласия получателя нарушает ст. 18 закона «О рекламе», штраф для юрлица от 100 до 500 тыс. рублей по ч. 1 ст. 14.3 КоАП. Это отдельная история от 152-ФЗ, о ней мы пишем в статье про согласие на рассылку.
Механика в форме
Текст согласия лежит на отдельной странице. В форме под полями стоит чекбокс, а в его подписи ссылка именно на этот текст:
☐ Я даю согласие на обработку моих персональных данных на условиях согласия (ссылка на текст) для записи на занятие
Требования к чекбоксу короткие:
- пустой по умолчанию, ставит сам человек;
- без галочки форма не отправляется;
- ссылка открывает текст согласия до отправки, а не после;
- для рассылки отдельная галочка, необязательная;
- если форм несколько с разными целями (запись, подарочный сертификат, вакансии), у каждой своё согласие или хотя бы своя цель в общем.
Если сайт собран на Тильде, настройку чекбокса мы разобрали в отдельной инструкции.
Как доказать, что согласие было
Сам текст согласия на сайте ничего не доказывает: важно, что конкретный человек в конкретный момент поставил галочку. Мы советуем хранить по каждой отправке формы:
- Дату и время отправки.
- Данные из формы.
- Отметку, что чекбокс был проставлен.
- Версию текста согласия на тот момент. Проще всего держать старые версии на сайте по постоянным адресам с датой в названии.
- Технические сведения о заявке, которые сохраняет ваша CRM или сервис форм.
Пекарне с доставкой хватит выгрузки из CRM, где у заявки видна дата и пометка о согласии. Юристу, который принимает вопросы через сайт, разумно хранить заявки вместе с версией текста, действовавшей на дату обращения.
При отзыве согласия фиксируйте и его: когда пришло письмо и когда данные удалены.
Штраф за ошибки
Обработка без согласия или с согласием, которое не отвечает требованиям закона, подпадает под ч. 2 ст. 13.11 КоАП. Для юрлица это от 300 до 700 тыс. рублей, для должностного лица от 100 до 300 тыс. Повторное нарушение для ИП обходится уже от 500 тыс. до 1 млн рублей.
Чек-лист перед запуском формы
- Согласие опубликовано отдельной страницей, а не разделом другого документа.
- Цели, данные и срок совпадают с тем, что реально делает форма.
- Указан рабочий email для отзыва.
- Чекбокс пустой и обязательный.
- Рассылка вынесена в отдельное согласие.
- Заявки сохраняются с датой и версией текста.
Есть ещё один вид согласия, который часто путают с обычным: на распространение данных, то есть на публикацию фото, отзывов и имён. Оно оформляется отдельно и от этого согласия, об этом в следующей статье.