Согласие на обработку персональных данных на сайте

Если сайт собирает через форму имя, телефон, email или другие данные посетителя, на это нужно согласие субъекта персональных данных. Требования к согласию установлены статьёй 9 152-ФЗ. Разберём, каким оно должно быть, как выглядит на практике, что чаще всего делают неправильно и как хранить доказательство.

Каким должно быть согласие

По части 1 статьи 9 152-ФЗ согласие должно быть:

• конкретным — понятно, кто оператор, какие данные и с какой целью обрабатывает;
• информированным — у пользователя есть доступ к политике обработки данных;
• сознательным — это осознанное действие пользователя, а не условие «по умолчанию»;
• предметным — отдельно на каждую цель (обработка заявки, рассылка, передача партнёрам);
• однозначным — из действия пользователя ясно следует, что он согласен;
• данным в форме, позволяющей подтвердить факт его получения.

Согласие даётся свободно: пользователь должен иметь возможность не согласиться и всё равно получить услугу, если данные не являются необходимыми для её оказания. Отказ от необязательной рассылки не может быть условием отправки формы.

Как это выглядит на практике

Рядом с формой ставится отдельный чекбокс, который пользователь отмечает сам, со ссылкой на политику обработки персональных данных. Текст у чекбокса — например:

Я даю согласие на обработку моих персональных данных в целях обработки этого обращения в соответствии с Политикой обработки персональных данных.

Если форма отправляет данные в стороннюю систему (CRM, сервис форм, мессенджер), это отражается в политике как передача обработчику; сам факт и текст согласия при этом не меняются, но такой сервис должен быть российским либо обеспечивать локализацию данных в РФ.

Отдельные согласия: рассылка, партнёры, распространение

Рекламная рассылка. Отправка рекламы по email или в мессенджер требует отдельного согласия — не «в нагрузку» к заявке. Обычно это второй, необязательный чекбокс: «Хочу получать новости и акции».

Передача данных партнёрам. Если данные уходят не обработчику по вашему поручению, а самостоятельному третьему лицу для его собственных целей, нужно отдельное согласие с указанием, кому и зачем.

Распространение (публикация). Размещение данных в открытом доступе — отзыв с именем, фотография клиента, публичный профиль — требует согласия на распространение по статье 10.1 152-ФЗ. Оно оформляется отдельно и не может действовать «по умолчанию»: пользователь должен явно выбрать, какие данные и на каких условиях можно сделать общедоступными.

Когда нужно согласие в письменной форме

Для обычной веб-формы достаточно электронного согласия (чекбокс плюс фиксация факта). Письменная форма с обязательным перечнем сведений (ч. 4 ст. 9 152-ФЗ: ФИО и адрес субъекта, реквизиты документа, удостоверяющего личность, цель, перечень данных, срок действия, подпись и др.) требуется, когда этого прямо требует федеральный закон — например, для специальных категорий данных (здоровье, судимость), биометрии, а также в ряде отраслей. Обработка без письменного согласия там, где оно обязательно, наказывается по части 2 статьи 13.11 КоАП (для юрлиц — от 300 000 до 700 000 ₽).

Как фиксировать и хранить согласие

Согласие нужно уметь доказать. Минимальный набор, который стоит сохранять в базе при отправке каждой формы: дата и время, отметка чекбокса (true/false), точный текст согласия, версия или дата политики на тот момент, технические данные (IP, user-agent). Хранить эти записи следует столько же, сколько обрабатываются сами данные. Если текст согласия менялся — храните историю версий: при споре важно, на что именно согласился конкретный человек в конкретный день.

Как отозвать согласие

В политике должен быть указан работающий способ отзыва — обычно обращение на адрес электронной почты оператора. После получения отзыва оператор прекращает обработку в срок не более 30 дней, если нет другого законного основания её продолжать (например, исполнение договора или требование закона о сроках хранения). Пользователь не обязан объяснять причину отзыва.

Частые ошибки

• Чекбокс уже отмечен. Предзаполненная галочка не является свободным волеизъявлением — согласие недействительно (ч. 1 ст. 13.11 КоАП).
• Нет чекбокса вообще, только приписка «нажимая кнопку, вы соглашаетесь». Такое конклюдентное согласие проверяющими и судами, как правило, надлежащим не признаётся.
• Одна галочка на всё сразу — обработка, рассылка, передача партнёрам. Согласия на разные цели нужно разделять.
• Нет ссылки на политику — согласие не считается информированным.
• Согласие нельзя отозвать или адрес для отзыва не работает.
• Факт согласия нигде не сохраняется — при жалобе нечем подтвердить, что оно было.
• Отказ от рассылки блокирует отправку формы — согласие перестаёт быть свободным.

Частые вопросы

Что ещё нужно сделать

Согласие работает в связке с политикой обработки персональных данных, уведомлением в Роскомнадзор и, если есть аналитика, cookie-баннером. Обзор всех требований — на странице 152-ФЗ простыми словами.

Материал носит информационный характер и не является юридической консультацией. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточник: ст. 9 и 10.1 152-ФЗ на pravo.gov.ru.