Согласие на обработку данных: где ставить галочку и что писать

Сразу оговорка: это разбор устройства формы, а не юридическая консультация. Состав согласия зависит от того, что именно бизнес делает с данными, и типовой текст такую работу не заменяет.

Где на странице стоит галочка

Места закон не называет. Он называет признак: согласие должно быть однозначным, то есть выраженным действием самого человека. Отсюда всё остальное.

• Галочка стоит в той форме, к которой относится. Согласие, спрятанное в общий документ об условиях сайта, к конкретной отправке не привязано, и доказать по нему нечего.
• Она не отмечена заранее. Слова «галочка» в законе нет; ближайшая по смыслу норма — часть 8 статьи 10.1, где сказано, что молчание или бездействие ни при каких обстоятельствах не может считаться согласием. Написана она про другой вид согласия, о нём ниже, но подход законодателя из неё виден.
• Строка с согласием читается глазами до отправки: не свёрнута в «подробнее», не набрана серым по светлому и не капсом. Информированность — это то, что человек увидел, а не то, что лежало в разметке.
• Нажимается вся строка целиком, а не квадратик. Это уже не норма, а следствие: по мелкой цели человек промахивается, жмёт «отправить», ничего не происходит, и он уходит, считая, что форма сломана.
• Пока галочки нет, отправка не проходит, и на экране написано почему.

Что писать в тексте согласия

Часть 4 статьи 9 перечисляет, что должно быть в согласии, данном в письменной форме: сведения о человеке и документе, удостоверяющем личность, наименование и адрес оператора, цель обработки, перечень данных, перечень действий с ними, срок действия и порядок отзыва, подпись.

Здесь важна честная оговорка. Галочка на сайте письменной формой не является, и формально этот перечень к ней не относится: письменное согласие закон требует в отдельных случаях — например, для биометрических данных (часть 1 статьи 11) и для специальных категорий, таких как сведения о здоровье или о религиозных убеждениях (пункт 1 части 2 статьи 10). Но состав из части 4 статьи 9 давно работает как ориентир: по нему сверяют содержание согласия и при проверке, и в споре. Поэтому текст пишется так, как будто перечень применяется, — кроме паспортных данных и подписи, которых в заявке с сайта быть не должно.

Что это означает построчно:

• Кто оператор. Наименование и адрес полностью, как в реестре, а не «наша компания».
• Какие данные. Перечислением полей: имя, номер телефона, адрес электронной почты. Формулировка «данные, указанные в форме» не предметна: состав полей меняется, а согласие остаётся прежним.
• Зачем. Одна цель на одно согласие. «Ответ на обращение и согласование условий договора» проверяемо. «Улучшение качества обслуживания» — нет: под такую цель подходит что угодно, а значит согласие перестаёт быть конкретным.
• Что с данными делают. Сбор, запись, хранение, уточнение, использование, удаление. Если заявки уходят в стороннюю систему учёта, её тоже называют.
• Сколько это действует. До достижения цели или до отзыва. Срок, записанный в согласии, должен совпадать с тем, что происходит в почтовом ящике на самом деле.
• Как отозвать. Адрес, на который приходит отзыв. Живой.

Сколько галочек нужно

Столько, сколько разных целей. На обычном сайте услуг их две, реже три.

Заявка. Обязательная галочка, без неё форма не отправляется.

Рассылка и реклама. Отдельная и необязательная. Часть 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» допускает рекламу по сетям электросвязи только при предварительном согласии абонента и прямо говорит, что реклама считается распространённой без согласия, пока рекламораспространитель не докажет обратное. Это согласие по другому закону и с другим предметом: согласие на обработку данных его не заменяет.

Публикация. Если имя человека появится на сайте — в отзыве, в списке участников, в фотографии с подписью, — нужно согласие на обработку данных, разрешённых для распространения. Статья 10.1 требует оформлять его отдельно от иных согласий, а требования к его содержанию утверждены отдельным приказом Роскомнадзора. Галочкой «согласен с политикой» этот случай не закрывается.

Одного здесь делать нельзя: связывать обязательную и необязательную галочки. Форма, которая не отправляется, пока человек не согласился на рассылку, ставит его перед выбором, которого у него быть не должно. Закон о защите прав потребителей (Закон РФ от 07.02.1992 № 2300-1) в статье 16 прямо запрещает отказывать потребителю в заключении договора из-за отказа предоставить данные, если эти данные для договора не нужны.

Нужна ли галочка, если данные и так нужны для договора

Пункт 5 части 1 статьи 6 разрешает обработку без согласия, когда она необходима для исполнения договора, стороной которого является сам человек. Спор о том, попадает ли сюда заявка «перезвоните мне», реальный и не решённый: разбор доводов обеих сторон есть в статье 152-ФЗ простыми словами.

Добавлю к нему одно наблюдение. Даже если основание из статьи 6 сработало, оно закрывает вопрос об основании обработки и не закрывает статью 18: человека всё равно надо проинформировать, кто и для чего берёт его данные. А ещё на одном сайте обычно живёт не одна форма. «Оставить заявку» ещё можно подвести под будущий договор, «подписаться на новости» — уже никак. Держать две формы по разным правилам дороже, чем поставить галочку везде.

Чем доказывать, что согласие было

Часть 3 статьи 9 возлагает обязанность предоставить доказательство получения согласия на оператора. Не человек доказывает, что не соглашался, — оператор доказывает, что согласие получил.

Из этого следует вещь, о которой чаще всего забывают. Доказательством является не форма на сайте сегодня, а то, что было отправлено тогда. Значит, вместе с заявкой сохраняются дата и время, состав отправленных полей и точный текст согласия, действовавший в тот момент. Текст со временем правится, и если хранится только последняя его редакция, доказательство относится к сегодняшнему дню, а заявка пришла год назад.

То же касается места хранения. Журнал согласий — это тоже персональные данные, и требование части 5 статьи 18 о базе на территории России распространяется на него ровно так же, как на сами заявки.

Что делать, когда согласие отзывают

Отзыв предусмотрен частью 2 статьи 9 и не требует особой формы: письмо на адрес из политики — уже отзыв. После него часть 5 статьи 21 даёт оператору срок не более тридцати дней, чтобы прекратить обработку и уничтожить данные, если сохранять их для целей обработки больше не нужно.

Оговорка в этой же норме существенная. Отзыв согласия не всегда означает удаление: когда обработка держится на другом основании из части 1 статьи 6 — например, на уже заключённом договоре и связанном с ним учёте, — она продолжается по этому основанию. Удаляется то, что жило только на согласии.

Что мы делаем в формах и что нашли у себя

В каждой нашей форме есть галочка согласия и ссылка на политику обработки персональных данных. Галочка нажимается всей строкой, текст согласия набран строчными буквами обычного размера, а ссылка ведёт на настоящую страницу политики, а не на решётку. Сама политика входит в любой наш тариф. Наша опубликована по адресу /privacy.html.

Теперь честная часть. Когда мы написали проверку форм и прогнали её по собственным демонстрационным сайтам, она нашла пять форм без согласия разом — во всех образцах. Правило у нас было записано, а в разметку не попало, и заметить это глазами не получилось: форма выглядела исправной. Вывод отсюда не про юристов, а про порядок работы. Требование, которое живёт в памятке, рано или поздно расходится с тем, что стоит на странице; требование, которое проверяется на каждой сборке, не расходится. Поэтому проверка согласия в форме у нас гоняется вместе с остальными, а не перед сдачей.

Чего мы не делаем: не подаём за заказчика уведомление в Роскомнадзор и не сопровождаем обработку данных юридически. Если бизнес обрабатывает не только заявку с сайта, текст согласия пишется под его процессы, и это работа юриста.

И про штрафы — аккуратно. Правильная галочка не выдаёт иммунитета: претензия может прийти и по поводу целей обработки, и по поводу сроков хранения. Обратное утверждать можно спокойнее. Обработка в случаях, не предусмотренных законодательством, образует состав по части 1 статьи 13.11 КоАП, а отсутствие согласия там, где закон требует письменной формы, либо согласие без сведений из части 4 статьи 9 — по части 2 той же статьи. Размеры санкций в статье 13.11 менялись, последний раз заметно с 30 мая 2025 года, поэтому смотреть их нужно в действующей редакции, а не в статьях годичной давности.

Главный довод всего разбора такой: галочка нужна не ради галочки, а ради момента, в который человек узнал, кто и зачем берёт его данные. Поэтому проверять надо не наличие квадратика, а то, что написано рядом с ним, и то, что от этой отправки останется через год.