Согласие на обработку персональных данных на сайте: как оформить в 2026 году

Форма «Имя + телефон + кнопка Отправить» выглядит технически простой. Юридически в ней одновременно могут возникать вопросы о цели обработки, составе данных, правовом основании, тексте согласия, ссылке на политику, рекламной рассылке и доказательстве того, что пользователь действительно совершил нужное действие.

С 1 сентября 2025 года к этой картине добавилось важное прямое требование закона: согласие на обработку персональных данных должно оформляться отдельно от иных информации и документов, которые человек подтверждает или подписывает.

А Роскомнадзор уже публично сообщил об автоматизированном выявлении нарушений при сборе согласий.

Поэтому старую формулу «нажимая кнопку, пользователь соглашается со всем сразу» в 2026 году стоит перепроверить в первую очередь.

Что изменилось с 1 сентября 2025 года

Часть 1 статьи 9 Федерального закона № 152-ФЗ требует, чтобы согласие было свободным, конкретным, предметным, информированным, сознательным и однозначным. Федеральный закон № 156-ФЗ от 24.06.2025 добавил отдельное правило: согласие на обработку персональных данных оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект.

Это не означает, что любой сайт обязан использовать один и тот же визуальный шаблон. Но оно делает особенно уязвимой механику, где одна галочка или одна кнопка одновременно означает:

• согласие на обработку персональных данных;
• принятие оферты;
• согласие с пользовательским соглашением;
• согласие на рекламную рассылку;
• согласие на передачу данных неопределенному кругу партнеров.

У этих действий могут быть разные правовые основания и разные юридические последствия.

Чекбокс обязателен всегда?

Нет универсального правила «любая форма должна иметь чекбокс».

Сначала нужно определить правовое основание конкретной обработки. Согласие - одно из оснований, но не единственное. В отдельных случаях обработка может быть необходима для исполнения договора, требований закона или опираться на иное основание из статьи 6 Закона № 152-ФЗ.

Ошибка начинается, когда владелец сайта вообще не проводит этот анализ и вместо него механически добавляет или, наоборот, убирает галочку.

Если основанием выбрано согласие, интерфейс должен позволять подтвердить его получение и соответствовать требованиям к самому согласию.

Какие вопросы задать к форме

1. Что именно пользователь разрешает делать

Фраза «согласен на обработку персональных данных» без понятного контекста сама по себе не объясняет цель и рамки обработки.

Пользователь должен понимать, кто является оператором и для чего его данные нужны. Чем сложнее процесс - тем опаснее пытаться спрятать все детали за одной общей фразой.

2. Какие данные реально нужны

Для звонка обычно не требуется дата рождения. Для отправки электронной версии материала может не требоваться телефон. Избыточный сбор не становится законным только потому, что человек поставил галочку.

Глава Роскомнадзора Андрей Липов, описывая автоматизированный контроль согласий, отдельно упоминал выявление нарушений, связанных с некорректным объемом собираемых данных.

3. Не отмечена ли галочка заранее

Предустановленная галочка плохо сочетается с идеей сознательного и однозначного волеизъявления. Пользователь должен совершить реальное действие, а не случайно оставить включенным решение, которое за него уже принял интерфейс.

4. Можно ли прочитать документ до отправки формы

Ссылка должна открываться, быть доступна без регистрации и вести именно к тому документу, который относится к этой обработке.

5. Отделено ли согласие на рекламу

Согласие на обработку данных для ответа на заявку и согласие получать рекламу - разные вещи. Не следует превращать заявку клиента в безусловное согласие на маркетинговые коммуникации.

Роскомнадзор уже автоматизировал выявление нарушений согласий

В октябре 2025 года глава Роскомнадзора Андрей Липов сообщил журналистам, что ведомство использует автоматизированную систему, которая выявляет неправомерные согласия на обработку персональных данных.

По его словам, система находит в том числе:

• согласия, оформленные с нарушениями;
• некорректный объем собираемых данных;
• проблемы со сроками хранения;
• другие нарушения порядка сбора.

За январь-май 2025 года сообщалось о 6,5 тыс. выявленных нарушений. «Ведомости» также приводили слова главы РКН о еще 3,5 тыс. случаях за сентябрь-октябрь.

Это важный сдвиг в оценке риска. Раньше владелец небольшого сайта мог исходить из предположения, что нарушение увидят только после жалобы или полноценной проверки. Теперь официально подтвержден как минимум один автоматизированный механизм поиска нарушений при сборе согласий.

Корректная формулировка именно такая. Нет оснований утверждать, что некий «ИИ Роскомнадзора» автоматически проверяет абсолютно каждый сайт и самостоятельно назначает штрафы.

Что с ответственностью

Статья 13.11 КоАП РФ разделяет разные нарушения.

Для юридических лиц по части 1 за обработку персональных данных в случаях, не предусмотренных законодательством, либо несовместимо с целями сбора предусмотрен штраф 150 000-300 000 ₽.

Часть 2 устанавливает более высокий штраф - 300 000-700 000 ₽ для юрлиц - за обработку без письменного согласия именно в тех случаях, когда закон требует согласия в письменной форме, либо за нарушение требований к составу такого письменного согласия.

Эти составы нельзя автоматически применять к любой кнопке на любом сайте. В статье важно честно объяснять пользователю: сначала устанавливаются факты обработки и конкретное требование закона, затем определяется возможная квалификация.

Пять распространенных ошибок формы

«Нажимая кнопку, соглашаюсь со всем»

Одна фраза объединяет ПДн, оферту и рекламу. После изменения статьи 9 это особенно плохая база для согласия на ПДн.

Галочка уже установлена

Человек может отправить форму, не заметив, что решение принято интерфейсом заранее.

Ссылка ведет на политику, но отдельного согласия нет

Политика и согласие выполняют разные функции. Наличие политики не превращает пользователя автоматически в давшего согласие.

В форме больше данных, чем требуется для цели

Чем больше полей, тем больше объем обработки и тем сложнее объяснить необходимость каждого из них.

Маркетинг включен в обязательную заявку

Пользователь хочет получить расчет или ответ, но вынужден одновременно «согласиться» на рекламные сообщения. Такие цели лучше разделять.

Практический пример: форма заявки

Представим форму:

• Имя
• Телефон
• Комментарий
• кнопка Получить консультацию

Перед публикацией владелец сайта должен ответить как минимум на вопросы:

1. Кто оператор?
2. Зачем нужны имя и телефон?
3. Нужно ли хранить комментарий после завершения обращения?
4. Какое правовое основание используется?
5. Если используется согласие - где его отдельная механика/текст?
6. Где политика?
7. Получает ли CRM эти сведения?
8. Сохраняет ли сайт IP, cookie, технические идентификаторы?
9. Запускаются ли в этот момент аналитические или рекламные скрипты?
10. Как доказать, какую редакцию согласия видел пользователь на момент отправки?

Последний пункт особенно важен для зрелого процесса: документ может измениться через месяц, а спор возникнуть через год.

Как проверить механику самостоятельно

Откройте сайт в приватном окне и для каждой формы проверьте:

• [ ] данные не отправляются до ожидаемого действия пользователя;
• [ ] обязательные и необязательные согласия визуально различимы;
• [ ] галочки не установлены заранее;
• [ ] согласие на ПДн отделено от других документов;
• [ ] рекламное согласие не склеено с основной заявкой;
• [ ] ссылки открываются до отправки;
• [ ] формулировки соответствуют фактической цели;
• [ ] нет явно избыточных обязательных полей;
• [ ] мобильная версия ведет себя так же, как desktop;
• [ ] фиксируется нужная версия текста/событие, если это необходимо для доказательства.

Что может проверить LegalScan

Бесплатный аудит предназначен для первичной автоматической диагностики публичной страницы и включает базовые проверки Core12 1-8, связанные в том числе с механикой форм, согласий и связанных документов.

Это позволяет быстро обнаружить часть интерфейсных проблем на конкретной странице, а не сверяться только с общей памяткой.

При этом качество и юридическая полнота самого текста согласия, выбор правового основания и соответствие внутренних процессов требуют содержательной юридической оценки - это уже задача более глубокого аудита.

Источники

• 152-ФЗ, ст. 9: https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/
• 156-ФЗ от 24.06.2025, изменение ст. 9, вступившее в силу 01.09.2025: https://www.consultant.ru/document/cons_doc_LAW_508287/1500545af6526db1dfa11aba44d4df42208a0b05/
• КоАП РФ, ст. 13.11: https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/
• Российская газета о системе РКН, 31.10.2025: https://rg.ru/2025/10/31/rkn-vyiavleno-65-tys-narushenij-v-rabote-s-soglasiiami-na-obrabotku-dannyh.html
• Ведомости о результатах автоматизированного мониторинга: https://www.vedomosti.ru/society/news/2025/10/31/1151332-rkn-zafiksiroval