Почти на каждом сайте под формой заявки стоит галочка «Согласен с политикой конфиденциальности». В большинстве случаев она не является согласием на обработку персональных данных — и формально сайт собирает контакты без законного основания. Разбираем 152-ФЗ ст. 9 простыми словами: каким должно быть согласие, чем оно отличается от политики и как правильно оформить чек-бокс.

Согласие на обработку ПД — один из 18 параметров, которые мы проверяем. Общий обзор требований — в чек-листе соответствия сайта законам РФ, а про cookie-согласие (это отдельная история) читайте в специальном гайде. Здесь — про согласие для форм.

Главная путаница, из которой растут почти все нарушения:

  • Политика обработки ПД — документ оператора: что собираем, зачем, сколько храним, как защищаем. Оператор обязан её опубликовать (152-ФЗ ст. 18.1). Это информирование, а не разрешение.
  • Согласие — волеизъявление конкретного человека: «я разрешаю обрабатывать мои данные для такой-то цели». Это правовое основание обработки.

Галочка «Ознакомлен с политикой» подтверждает только факт ознакомления. Согласия она не заменяет — и именно на этом чаще всего ловят.

2. Каким должно быть согласие

Закон предъявляет к согласию сразу шесть требований — и все они проверяемы.

«Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным… Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе.»

Что это значит на практике:

  1. Конкретное и предметное — под понятную цель («обработка заявки», «запись на консультацию»), а не «для любых целей компании».
  2. Информированное — человек видит, кто оператор, какие данные и зачем собираются.
  3. Сознательное и однозначное — активное действие, а не молчание. Заранее проставленная галочка не годится.
  4. Свободное — нельзя вынуждать: если данные не нужны для услуги, отказ не должен блокировать её получение.

3. Нельзя «одной галочкой на всё»

Отдельное правило, которое нарушают массово: оператор не вправе объединять в одном согласии разные цели и заставлять соглашаться «пакетом».

«Не допускается объединение согласий на обработку персональных данных в различных целях… Оператор не вправе требовать от субъекта персональных данных согласия на обработку его персональных данных в целях, не связанных с достижением цели, ради которой они предоставляются.»

Практический вывод: заявка и рассылка — разные цели. Согласие на обработку заявки — обязательный чек-бокс, согласие на маркетинговую рассылку — отдельный и необязательный (это ещё и требование 38-ФЗ — см. разбор про рассылки).

4. Что должно быть в тексте согласия

Для обычной веб-формы достаточно короткой формулировки рядом с чек-боксом, но в ней должны быть:

  • кто оператор — наименование/ФИО и ИНН (или ссылка на страницу с реквизитами);
  • какие данные — имя, телефон, email;
  • цель — обработка обращения, связь с клиентом;
  • срок и порядок отзыва — как и куда написать, чтобы отозвать согласие;
  • ссылки на полный текст согласия и политику.

Развёрнутое согласие с полным перечнем сведений (по ст. 9 ч. 4) размещают отдельной страницей — на неё и ведёт ссылка из формы.

5. Отзыв согласия — обязательный механизм

Согласие можно отозвать в любой момент, и оператор обязан прекратить обработку (152-ФЗ ст. 9 ч. 2). Значит, на сайте должен быть работающий канал: email или форма для обращений — и он должен быть указан в политике. «Отозвать нельзя» — незаконное условие.

6. Пять типовых ошибок на сайтах

  1. Только «Ознакомлен с политикой» вместо согласия на обработку.
  2. Предзаполненная галочка или согласие «по факту отправки формы» без отдельного действия.
  3. Одна галочка на заявку + рассылку — запрещённое объединение целей.
  4. Нет ссылки на текст согласия и политики рядом с формой.
  5. Нет способа отозвать согласие и контактов оператора.

7. Чем грозит нарушение

Обработка ПД без согласия, когда оно требуется — ст. 13.11 КоАП. После реформы 2025 года суммы по этому составу для юрлиц выросли до сотен тысяч рублей, а за утечку ПД введены отдельные оборотные штрафы (см. разбор про утечки). Дела возбуждаются в основном по жалобам пользователей: достаточно одного недовольного клиента, чтобы РКН запросил у вас основания обработки. Актуальные суммы — в материале «Штрафы РКН в 2026», а порядок подготовки к проверке — в чек-листе РКН.

Как проверить свой сайт

Запустите бесплатную экспресс-проверку на главной странице — сервис покажет, есть ли на сайте политика обработки ПД, cookie-баннер и реквизиты оператора. Корректность самих форм и согласий разбираем в полном отчёте по 18 параметрам, а готовые тексты согласий под вашу нишу входят в пакет документов (тариф 1 900 ₽).