Согласие на обработку персональных данных в форме сайта: как оформить с 1 сентября 2025 года

Коротко

• С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от других документов (ч. 1 ст. 9 152-ФЗ в редакции закона № 156-ФЗ от 24.06.2025).
• Нельзя «зашивать» согласие в оферту, пользовательское соглашение или политику конфиденциальности.
• В форме нужен отдельный чекбокс без предустановленной галочки и ссылка на текст согласия.
• Доказать, что согласие было, должен владелец сайта, поэтому факт согласия стоит сохранять.

Что изменилось с 1 сентября 2025 года?

Закон № 156-ФЗ изменил ч. 1 ст. 9 закона о персональных данных: согласие должно быть оформлено отдельно от иной информации и документов, которые человек подписывает или подтверждает. Раньше многие сайты писали под формой одну фразу: «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности и обработкой данных». Теперь такая конструкция рискованна: согласие смешано с другим документом и не выражено отдельным действием.

Остальные требования к согласию прежние: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласия, полученные до 1 сентября 2025 года, переоформлять не нужно — новые правила касаются того, как вы собираете данные сейчас.

Всегда ли форме нужно согласие?

Не всегда. Закон перечисляет случаи, когда данные можно обрабатывать без согласия. Например, п. 5 ч. 1 ст. 6 152-ФЗ разрешает это, если обработка нужна для заключения договора по инициативе самого человека или для исполнения договора с ним. Иногда этим оправдывают формы заказа в интернет-магазине.

На практике у формы «перезвоните мне» или «запишите меня» обычно есть и другие цели: напомнить о визите, предложить акцию, передать заявку в CRM. Поэтому большинство владельцев сайтов берут согласие — так проще доказать законность обработки. Если хотите обойтись без согласия, решение лучше принять вместе с юристом и записать основание в политике обработки персональных данных.

Как должна выглядеть форма заявки?

1. Отдельный чекбокс «Я даю согласие на обработку персональных данных» — без заранее поставленной галочки.
2. Ссылка на текст согласия рядом с чекбоксом — отдельная страница или всплывающее окно, а не политика.
3. Кнопка не отправляет заявку без галочки — иначе согласие не однозначно.
4. Ссылка на политику — отдельно, как информация, а не как часть согласия.
5. Только нужные поля: для обратного звонка достаточно имени и телефона. Чем больше полей, тем больше данных вы обязаны защищать.
6. Согласие на рассылку — отдельной необязательной галочкой. Заявку можно отправить и без неё.

Одинаковыми правила должны быть для всех форм сайта: главной формы, всплывающего окна «Обратный звонок», квиза, формы отзыва, онлайн-записи и чата.

Что написать в тексте согласия?

Закон перечисляет обязательные сведения для письменного согласия (ч. 4 ст. 9 152-ФЗ). Для формы на сайте обычно указывают:

Пишите только то, что действительно происходит с данными. Если в тексте одна цель — «обратная связь», а вы потом добавляете номер в рекламную рассылку, согласие эту рассылку не покрывает.

Как доказать, что согласие было?

По ч. 3 ст. 9 152-ФЗ доказывать получение согласия должен оператор, то есть владелец сайта. Сама галочка в форме доказательством не станет, если о ней нигде не осталось следа.

Что стоит сохранять по каждой заявке:

• дату и время отправки;
• страницу и форму, через которую пришла заявка;
• отметку о согласии и версию текста согласия, который действовал в тот день;
• отдельную отметку о согласии на рассылку, если человек её поставил.

Многие CRM и конструкторы сохраняют это сами — проверьте, что поле с отметкой согласия действительно приходит вместе с заявкой. Если текст согласия меняется, старую версию не удаляйте: она понадобится, чтобы показать, на что человек соглашался раньше.

Что делать, если клиент отозвал согласие?

Человек может отозвать согласие в любой момент (ч. 2 ст. 9 152-ФЗ). После этого оператор обязан прекратить обработку и, если данные больше не нужны для цели, уничтожить их в срок не более 30 дней с даты получения отзыва (ч. 5 ст. 21 152-ФЗ). Исключения бывают — например, если с клиентом заключён договор и данные нужны для его исполнения.

Практически это значит: в тексте согласия должен быть понятный способ отзыва (обычно электронная почта), а у вас — порядок, кто удаляет данные из CRM, таблиц и сервиса рассылок.

Согласие на рассылку и на публикацию отзывов — это отдельные документы?

Да, и смешивать их с согласием на обработку заявки не стоит.

Рассылка. По ч. 1 ст. 18 закона «О рекламе» реклама по SMS, почте и в мессенджерах допускается только с предварительного согласия получателя. Если согласие не доказано, считается, что его не было. Поэтому галочка «Хочу получать акции» должна быть отдельной и необязательной. Как устроить рассылку по базе без жалоб, мы разбирали в статье о том, как вернуть клиентов с помощью бота.

Отзывы с именем и фото. Если вы публикуете на сайте данные клиента — имя, фото, отзыв — для этого нужно отдельное согласие на распространение персональных данных (ст. 10.1 152-ФЗ). В нём человек сам выбирает, какие данные можно показывать.

Какие ошибки встречаются чаще всего?

• Согласие спрятано внутри политики или оферты.
• Галочка стоит по умолчанию — так бывает в шаблонах конструкторов, о настройке на Tilda читайте в статье «Сайт на Tilda и 152-ФЗ».
• Чекбокс есть только у одной формы, а у всплывающего окна, квиза или виджета записи его нет.
• Одна галочка сразу на обработку, рассылку и политику.
• Текст согласия скопирован с чужого сайта, и в нём указан чужой оператор или лишние цели.
• Форма отправляет данные на зарубежный сервис, а на сайте подключены шрифты и капча Google — это отдельный риск, подробнее в статьях про Google Fonts и reCAPTCHA и про штраф за Google Analytics.

Когда мы технически проверяли сайты 45 салонов красоты и стоматологий Москвы, формы заявки без согласия на обработку данных нашлись на 14 сайтах — это 31%, а среди стоматологий — 39%.

Сколько стоит ошибка?

За обработку данных без согласия в случаях, когда оно обязательно, ч. 2 ст. 13.11 КоАП предусматривает штраф для компаний от 300 до 700 тыс. ₽. Сумма зависит от обстоятельств, но даже нижняя граница ощутима для малого бизнеса. Все суммы для ИП и ООО собраны в таблице штрафов по 152-ФЗ.

Согласие в форме — только одна часть. Рядом обычно проверяют политику обработки данных и cookie-баннер.

Частые вопросы

Нужно ли заново собирать согласия, полученные до 1 сентября 2025 года?

Нет. Ранее полученные согласия сохраняют силу. Менять нужно формы, через которые данные собираются сейчас.

Достаточно ли чекбокса, или нужна подпись?

Для формы на сайте обычно достаточно отдельного чекбокса со ссылкой на текст согласия. Главное — чтобы действие было отдельным и однозначным, а вы могли доказать, что оно было.

Можно ли одним чекбоксом согласиться и на обработку, и на рассылку?

Лучше разделить. Согласие на рекламную рассылку регулирует закон о рекламе, и оно должно быть необязательным: заявку человек может отправить и без него.

Где хранить подтверждение согласия?

Вместе с заявкой — в CRM или в системе, куда приходят заявки: дата, время, форма, отметка согласия и версия текста. Если клиент спросит или придёт проверка, вы покажете, когда и как он дал согласие.

Сколько времени есть на удаление данных после отзыва согласия?

Не более 30 дней с даты получения отзыва, если нет другого законного основания продолжать обработку (ч. 5 ст. 21 152-ФЗ).

Нужно ли согласие для формы в чате или виджете записи?

Да, правила те же: если через виджет или чат вы получаете имя и телефон, перед отправкой нужна та же отдельная галочка со ссылкой на текст согласия.

Итог

С 2025 года форма заявки без отдельного согласия — одна из самых частых и дорогих ошибок на сайте. Исправить её несложно: отдельный чекбокс без галочки по умолчанию, отдельный текст согласия, отдельная галочка для рассылки и сохранение отметки вместе с заявкой. Если хотите, чтобы это сделали за вас вместе с политикой, cookie-баннером и остальными пунктами, — исправим сайт по 152-ФЗ, стоимость от 9 900 ₽. Технические исправления снижают риски, но не заменяют юридическую оценку всех процессов компании. Если у вас клиника или стоматология, прочитайте отдельно, что меняется для данных пациентов на сайте.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных» — КонсультантПлюс
• Изменения ст. 9 152-ФЗ законом № 156-ФЗ — 1С:ИТС
• Реклама без согласия, ст. 18 закона «О рекламе» — КонсультантПлюс
• КоАП РФ, ст. 13.11 — КонсультантПлюс