Согласие на обработку персональных данных для сайта: как оформить в 2026 году
С 1 сентября 2025 года согласие нельзя «зашивать» в оферту, политику или анкету — оно оформляется отдельно. Разбираем, что должно быть в тексте согласия, чем сайтовая форма отличается от письменного согласия, как разделить согласия на данные, рассылку и cookie и что сохранять, чтобы доказать получение.
Когда согласие нужно, а когда основание другое
Согласие — только одно из оснований обработки данных, и не всегда самое удобное. Статья 6 закона допускает обработку без согласия, если она нужна для исполнения договора с человеком, для соблюдения обязанности оператора по закону или для осуществления его прав в ряде других случаев.
«Чтобы ничего не нарушить, попросим согласие на всё: на заказ, на бухгалтерию, на хранение договора».
Если данные нужны для исполнения договора или требуются по закону, основанием служит договор или норма, а не согласие. Лишнее согласие даёт человеку право отозвать его в любой момент — и оператор оказывается в положении, когда обработка формально должна прекратиться.
Практическое правило: согласие берут там, где обработка не обязательна для сделки, — маркетинговая рассылка, аналитика поведения, публикация отзыва с именем, передача данных партнёру. Для самой заявки и исполнения заказа основанием обычно выступает договор.
Что изменилось с 1 сентября 2025 года
Часть 1 статьи 9 теперь прямо требует: согласие оформляется отдельно от иных информации и документов, которые человек подтверждает или подписывает. Кроме того, согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а оператор обязан уметь подтвердить факт его получения.
Что это означает для сайта. Одна галочка «Соглашаюсь с политикой конфиденциальности и даю согласие на обработку данных» больше не подходит: в ней смешаны ознакомление с документом и согласие. Нужны отдельные элементы — отметка о согласии со ссылкой на текст самого согласия. За обработку без надлежащего согласия ответственность наступает по ч. 2 ст. 13.11 КоАП: для юридических лиц 300 000 – 700 000 ₽.
Из чего состоит согласие
Здесь чаще всего путаются. Девять обязательных элементов из части 4 статьи 9 — это состав письменного согласия, которое требуется в случаях, прямо названных законом: например, для специальных категорий данных или биометрии. Форма заявки на сайте обычно к таким случаям не относится, но структура текста берётся именно отсюда: она показывает, что человек должен понимать, давая согласие.
| Элемент по ч. 4 ст. 9 | Как это выглядит в согласии для сайта |
|---|---|
| Данные субъекта, включая паспортные | Для сайта паспорт не запрашивают: человека идентифицируют по данным, которые он вводит в форму, — имя, телефон, электронная почта |
| Наименование и адрес оператора | Юридическое лицо или ИП с адресом — те же реквизиты, что в политике и в уведомлении Роскомнадзора |
| Цель обработки | Отдельно по каждой цели: обработка заявки, запись на консультацию, отправка информационных писем |
| Перечень данных | Конкретно: имя, телефон, электронная почта, компания, текст обращения |
| Лицо, обрабатывающее данные по поручению | Если заявки уходят в CRM или рассылочный сервис, это указывают |
| Перечень действий и способы обработки | Сбор, запись, хранение, использование, передача, удаление; с использованием средств автоматизации |
| Срок действия и способ отзыва | Например: до достижения цели или до отзыва; отзыв — письмом на указанный адрес |
| Подпись | На сайте роль подписи выполняет активное действие: отметка в поле и отправка формы, зафиксированные в логах |
Где взять формулировки. Цели и перечень данных должны совпадать с тем, что написано в политике обработки персональных данных и заявлено в уведомлении Роскомнадзора. Расхождение между тремя документами — первое, что видно на проверке.
Три разных согласия на одном сайте
Требование «конкретности» на практике означает, что цели нельзя складывать в одну кучу. На типовом сайте живут три разных согласия, и смешивать их нельзя.
Мы пишем тексты согласий под конкретные формы и цели сайта, увязываем их с политикой и уведомлением и помогаем внедрить вместе с разработчиком. Подробнее — разработка документов для сайта.
Как это выглядит в форме и что сохранять
Часть 3 статьи 9 возлагает на оператора обязанность доказать, что согласие получено. Спор обычно возникает через год-два после события, поэтому важно не только правильно собрать отметку, но и сохранить следы.
Поле согласия не должно быть предзаполнено, а отправка формы без него — блокироваться только там, где согласие действительно необходимо. Ознакомление с политикой оформляется отдельной строкой, а не тем же полем.
Рядом с полем — ссылка на страницу с полным текстом согласия. Это и есть «отдельный документ»: человек видит, на что соглашается, до отправки данных.
Сохраняйте дату и время отправки, какие поля были отмечены, какую версию текста видел пользователь и идентификатор обращения. Тогда через год можно показать не «у нас стоит галочка», а конкретную запись.
При изменении текста согласия сохраняйте прежнюю редакцию с датами действия. Иначе доказательство рассыпается: текущая редакция не подтверждает, что человек видел её в момент отправки.
Отзыв согласия
Согласие может быть отозвано в любой момент. После отзыва оператор вправе продолжить обработку только при наличии других оснований из закона — например, когда данные нужны для исполнения договора или хранятся в силу требований бухгалтерского и налогового законодательства.
Если других оснований нет, обработка прекращается, а данные уничтожаются в срок не более 30 дней — порядок и подтверждение уничтожения разобраны в материале об отзыве согласия и удалении данных. Способ отзыва указывают в самом согласии: адрес электронной почты, форма в личном кабинете или письмо на юридический адрес. Отзыв, который нельзя подать, — такой же дефект, как отсутствие согласия.
Ошибки, которые видно с первого взгляда
Самая частая ошибка после 1 сентября 2025 года. Ознакомление с документом и согласие на обработку — разные действия и разные элементы формы.
Заявка, рассылка и аналитика собраны в одну строку. Отозвать рассылку, не отказавшись от обработки заявки, человек не может — согласие перестаёт быть конкретным.
Предзаполненная отметка не подтверждает волю человека. То же касается формулировок «продолжая пользоваться сайтом, вы соглашаетесь».
Страница переписывается без сохранения версий, логов нет. При жалобе оператору нечего предъявить, а обязанность доказывания лежит на нём.
В согласии одна цель, а данные уходят в рассылку и партнёрам. Это уже обработка без надлежащего основания, а не формальность.
Как проверить себя за полчаса. Откройте каждую форму на сайте и выпишите: какие поля собираются, что написано рядом с отметкой, куда уходят данные, есть ли ссылка на отдельный текст согласия и сохраняется ли факт отправки. Расхождения с политикой и уведомлением обычно находятся сразу. Тот же порядок действий — в основе аудита по 152-ФЗ.
Частые вопросы о согласии на обработку данных
Нужна ли на сайте собственноручная подпись?
Можно ли объединить согласие на обработку и на рассылку?
Сколько действует согласие?
Что делать с согласиями, собранными до сентября 2025 года?
Нужно ли согласие для cookie и счётчиков?
Связанные материалы
Согласия и документы под формы вашего сайта
Готовим тексты согласий под реальные формы и цели, увязываем их с политикой и уведомлением в Роскомнадзор, помогаем внедрить на сайте.