Согласие на обработку персональных данных: что считается настоящим

Разбираем, почему предзаполненная галочка на сайте не считается согласием по 152-ФЗ и как оформить форму правильно.

Ситуация, которая встречается почти на каждом втором сайте

Форма заявки, контактная форма, форма подписки — где-то внизу есть чекбокс «Согласен на обработку персональных данных». Он аккуратно отмечен галочкой ещё до того, как пользователь начал заполнять поля. Человеку остаётся только нажать «Отправить», галочку он даже не заметит. Владелец сайта смотрит на это и думает: согласие есть, юридически всё чисто. И вот тут начинается расхождение между тем, что видно на экране, и тем, что требует закон.

Что именно написано в законе, а не в пересказе

В 152-ФЗ «О персональных данных» есть формулировка, которую стоит прочитать буквально, а не по диагонали: согласие даётся свободно, своей волей и в интересе субъекта, конкретное, информированное и сознательное; форма должна позволять подтвердить факт получения. Здесь важны сразу два момента. Первый — «своей волей». Если чекбокс уже стоит, воли пользователя в этом действии нет: он ничего не выбирал, галочку поставил кто-то до него. Второй — форма должна позволять подтвердить факт получения согласия, то есть у оператора должна остаться техническая возможность доказать, что согласие действительно было дано, а не просто существовало на странице по умолчанию.

Подробнее о том, как устроен закон в целом, можно почитать в материале 152-ФЗ простыми словами.

Почему предзаполненная галочка — это не мелочь для проверки

Разница между «согласие есть» и «согласия нет» здесь решается не сложной юридической экспертизой, а одним взглядом на страницу. Открыл сайт, увидел отмеченный чекбокс — вопрос закрыт, дальше можно фиксировать нарушение. Именно поэтому эта ошибка встречается в актах проверок и жалобах чаще, чем сложные истории про трансграничную передачу данных или неправильную политику. Она видна невооружённым глазом, её легко проверить дистанционно, и её легко доказать.

Стоит подчеркнуть: сама буква закона говорит только о «свободной воле» и не описывает пиксель за пикселем, как должен выглядеть чекбокс. Требование «галочка не должна быть предзаполнена» — это устоявшаяся практика применения нормы и позиция регулятора, а не отдельная строчка в тексте статьи. Но на практике именно эта трактовка используется при проверках, и спорить с ней в суде — дорогое и не всегда успешное занятие.

Чем это может обернуться

Если согласие признают недействительным или отсутствующим, применяется ч. 1 ст. 13.11 КоАП РФ, штраф для юридических лиц — от 150 000 до 300 000 ₽. Отдельно от суммы штрафа есть ещё и репутационная сторона: жалоба от одного недовольного посетителя сайта может стать поводом для проверки, а разбираться потом придётся не только с формой на сайте, но и со всей политикой обработки данных. Подробнее про размеры штрафов и логику их назначения — в статье штрафы по 152-ФЗ.

Как проверить свою форму за 5 минут

Откройте свой сайт в режиме инкогнито, дойдите до любой формы с персональными данными — заявка, обратный звонок, подписка на рассылку, регистрация — и посмотрите на три вещи:

• стоит ли чекбокс согласия отмеченным сразу при загрузке страницы;
• есть ли рядом с чекбоксом текст с указанием цели обработки, перечня данных и названия оператора, а не просто ссылка «политика» без пояснений;
• сохраняется ли где-то техническая метка, что именно этот пользователь именно в этот момент поставил галочку — хотя бы дата и IP в базе заявок.

Если хотя бы один пункт не выполняется — это повод разобраться подробнее, не дожидаясь письма от регулятора.

Как исправить: что можно сделать самому, а что доверить другим

Самостоятельно решается быстрая правка: попросить разработчика или подрядчика сайта убрать атрибут «checked» у чекбокса в коде формы — это одна строчка, а не переделка сайта. Заодно стоит проверить, ведёт ли ссылка на согласии к реальному, актуальному документу, а не на заглушку или старую версию текста — тут поможет материал политика обработки персональных данных.

Разработчику стоит поручить техническую часть: логирование факта согласия (время, IP, версия текста, на который согласился пользователь), корректную работу формы без предзаполненных полей, а также проверку куки-баннера, если на сайте есть аналитика и реклама — про это отдельно написано в cookie-баннер и закон.

Юристу же стоит показать сам текст согласия и политику — убедиться, что формулировки цели обработки конкретны, а не абстрактны вроде «в целях улучшения сервиса», и что перечень обрабатываемых данных соответствует тому, что сайт реально собирает. Это не проверяется визуально за пять минут, здесь нужна отдельная сверка с фактическими процессами компании.

Если сомневаетесь, с чего начинать разбор своего сайта — можно сначала получить бесплатную автоматическую проверку на pdnrisk.ru, она покажет явные технические проблемы формы и подскажет, куда смотреть дальше.

Автор: Андронов Юрий, руководитель ПДн.Риск. Материал носит информационный характер и не является юридической консультацией.