Как оформить согласие на обработку данных в форме по закону

Законное согласие на обработку персональных данных в форме — это не строчка «нажимая кнопку, вы соглашаетесь», а снятый по умолчанию чекбокс со ссылкой на политику и сохранённый факт нажатия. Настраивается за полчаса, без юриста и без переписывания сайта. Ниже — что закон считает согласием, как оформить чекбокс, чтобы он работал, и три состава КоАП, которые ловит форма без него. Если не уверены, что поля вашей формы вообще относятся к персональным данным, — сначала загляните в разбор какие данные считаются персональными.

Что закон считает согласием

Закон не описывает, как выглядит галочка на сайте, — он задаёт признаки, которым согласие обязано соответствовать в любой форме. Их пять, и все перечислены в части 1 статьи 9 152-ФЗ: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. И дано оно должно быть свободно, своей волей и в своём интересе — то есть человек вправе его не давать.

Из этих признаков следует всё остальное. Конкретное и предметное — согласие на что-то одно, а не на «любую обработку любых данных в любых целях». Информированное — человек видит, кто оператор и на что соглашается, поэтому рядом обязательна ссылка на политику. Сознательное и однозначное — действие активное: галочку ставит сам посетитель, молчание и заранее проставленная отметка согласием не считаются.

Форму согласия закон не навязывает: та же часть 1 статьи 9 разрешает дать его в любой форме, позволяющей подтвердить факт его получения. Для сайта это и есть чекбокс плюс запись о том, что его нажали. «Мокрая подпись» на бумаге для обычной формы заявки не нужна — письменное согласие с паспортными данными закон требует только в особых случаях, о них ниже.

С 1 сентября 2025 года добавилось ещё одно требование. Федеральный закон от 24.06.2025 № 156-ФЗ ввёл правило: согласие оформляется отдельно от иных документов. Спрятать его строкой внутри пользовательского соглашения или оферты больше нельзя — согласие на обработку данных должно быть самостоятельным действием, а не пунктом в чужом тексте.

И главное, что переворачивает логику: доказывать наличие согласия обязан оператор, а не посетитель (часть 3 статьи 9). Нет записи о том, что галочку поставили, — для проверяющего согласия не было. Поэтому согласие в форме — это не только чекбокс на экране, но и его фиксация на вашей стороне.

Галочка или отдельный документ — что нужно вашей форме

Форма согласия зависит от того, что именно собирает форма. Для большинства сайтов достаточно первой строки таблицы.

Что собирает форма	Какое согласие нужно
Имя, телефон, e-mail для заявки, заказа, обратного звонка	чекбокс со ссылкой на политику и фиксация факта
Подписка на рассылку	отдельное согласие отдельной галочкой — другая цель
Данные о здоровье, убеждениях (специальные категории)	письменное согласие по части 4 статьи 9
Публикация данных — отзыв с именем, фото (распространение)	отдельное согласие на распространение

Заявка, заказ, обратный звонок, запись на приём — это обычные персональные данные, и для них хватает снятого чекбокса со ссылкой на политику, факт нажатия которого вы сохранили. Отдельный документ с подписью здесь не требуется, а собирать паспортные данные ради «правильного» согласия не нужно — это сбор лишнего.

Письменное согласие с полным набором реквизитов из части 4 статьи 9 — ФИО, документ, удостоверяющий личность, перечень данных, срок, способ отзыва — закон требует там, где риск выше: специальные категории данных, биометрия и распространение, то есть публикация для неограниченного круга. Форма обратной связи под это не попадает; форма, где клиника собирает сведения о здоровье, — попадает.

Отдельно про «нажимая кнопку „Отправить“, вы соглашаетесь». Такая строка вместо чекбокса — распространённый, но слабый вариант. Формально это попытка получить согласие действием, но она спотыкается на двух признаках из статьи 9: согласие должно быть однозначным — а нажатие «Отправить» выражает намерение отправить заявку, а не отдельно согласиться, — и с сентября 2025 года оформленным отдельно. Спор о том, засчитывается ли оно, будет не в вашу пользу: доказывать его придётся вам. Дешевле поставить чекбокс, чем объяснять на проверке, почему его нет.

Что подготовить до правки формы

Прежде чем трогать формы, соберите три вещи — иначе чекбокс будет ссылаться в пустоту.

• Опубликованная политика. Согласие информированное только тогда, когда человек может прочитать, на что соглашается. Политика должна быть опубликована отдельной страницей и доступна по ссылке — как её разместить и куда поставить ссылку, разобрано отдельно. Заодно проверьте, что в ней есть все обязательные разделы: цели, перечень данных, сроки — согласие ссылается именно на них.
• Текст рядом с чекбоксом. Короткая фраза «Я согласен на обработку персональных данных» и ссылка на политику в ней же. Без ссылки согласие перестаёт быть информированным.
• Понимание, сколько у вас целей. Заявка и рассылка — разные цели, и согласие на них конкретное, то есть раздельное. Одна галочка на обработку заявки, вторая — на маркетинговые письма. Склеивать их нельзя: согласие на рассылку по 152-ФЗ и по закону о рекламе собирается отдельно.

Как оформить согласие в форме: по шагам

Сама настройка — минут на тридцать, если политика уже опубликована.

1. Поставьте чекбокс и снимите его по умолчанию. В разметке это отсутствие атрибута checked. Заранее отмеченная галочка согласием не считается — человек ставит её сам. Готовые формулировки текста и html-разметка — в статье как оформить галочку согласия в форме.
2. Добавьте текст со ссылкой на политику прямо в подпись к чекбоксу. Ссылка ведёт на опубликованную страницу политики, а не на файл для скачивания.
3. Разведите цели по разным галочкам. Обязательное согласие на обработку ради ответа на заявку — одна галочка. Согласие на рекламную рассылку — вторая, необязательная. В одну их склеивать нельзя.
4. Соберите только те данные, что нужны. Форме обратного звонка хватает имени и телефона. Лишние поля «на всякий случай» превращаются в данные, которые вы обязаны защищать и указывать в уведомлении.
5. Не отправляйте форму без обязательной галочки. Валидация на стороне сайта: не поставил — кнопка не срабатывает. Это нормально и правильно.
6. Зафиксируйте факт согласия на своём сервере. Сохраните вместе с заявкой отметку: что галочка стояла, дату и время, версию политики, с которой согласились. Это и есть доказательство, которое по части 3 статьи 9 обязаны предъявить вы.

Как это видит проверяющий и наш робот

Проверяющий не заходит в вашу базу — он открывает страницу с формой как обычный посетитель и смотрит на разметку. Наш сканер моделирует тот же взгляд и по формам проверяет три вещи, каждой из которых соответствует свой состав.

• Есть ли чекбокс согласия у формы. Форма запрашивает персональные данные, а отдельного чекбокса рядом нет — робот помечает это нарушением. Состав — часть 1 статьи 13.11 КоАП, вилка по составу для юридического лица от 150 000 до 300 000 ₽. Часть 2, которая вдвое дороже, применяется только там, где закон требует согласия в письменной форме: спецкатегории, биометрия, трансграничная передача.
• Не проставлен ли он заранее. Чекбокс есть, но в разметке стоит checked — согласие считается неполученным. Та же часть 1 статьи 13.11, та же вилка.
• Есть ли рядом ссылка на политику. Галочка есть, а ссылки на документ, с которым соглашаются, нет — согласие не информированное. Снова часть 1 статьи 13.11.

Отдельно робот смотрит, куда форма отправляет данные. Если приёмник — зарубежный сервис вроде Google Forms или Mailchimp, данные пересекают границу, а это уже трансграничная передача с отдельным уведомлением в Роскомнадзор — состав по части 1 статьи 13.11.

Эти составы считаются отдельно и складываются с остальными нарушениями по статье 13.11 в одном деле. Как именно складываются и почему срок давности не даёт «пересидеть» нарушение — разобрано в статье про штраф за отсутствие политики конфиденциальности; механика общая для всей статьи.

Что чаще всего ломается

Одни и те же ошибки повторяются из формы в форму, и почти все — не про отсутствие галочки, а про то, что она есть, но собранное ею согласие недействительно.

• Галочка проставлена заранее. Самый частый случай: чекбокс стоит с checked, чтобы «не мешать» отправке. Активного действия не было — согласие неполучено.
• Одна галочка на всё сразу. «Согласен с политикой, офертой и на рассылку» одной отметкой. Согласие перестаёт быть конкретным: человек не может согласиться на обработку, но отказаться от рекламы.
• «Отправляя форму, вы соглашаетесь» вместо чекбокса. Однозначного действия, выражающего именно согласие, нет, а с сентября 2025 года оно ещё и не оформлено отдельно.
• Ссылки на политику рядом нет или она битая. Человек соглашается с документом, которого не видит; для проверяющего согласие не информированное.
• Согласие спрятано в пользовательское соглашение. До сентября 2025 так делали часто. Теперь это прямо нарушает требование оформлять согласие отдельно от иных документов.
• Форма собирает лишнее. Дата рождения и адрес в форме обратного звонка — данные, которые вы обязаны защищать и декларировать, хотя для звонка они не нужны.

Как проверить свои формы

Пройдите по каждой форме на сайте — в режиме инкогнито, глазами обычного посетителя:

• у каждой формы, где просят имя, телефон или почту, есть чекбокс согласия;
• чекбокс снят по умолчанию — открыв форму, вы видите пустую галочку;
• рядом с чекбоксом есть работающая ссылка на политику конфиденциальности;
• согласие на рассылку — отдельной галочкой, а не в одной со сбором заявки;
• без обязательной галочки форма не отправляется;
• форма собирает только то, что нужно для ответа, без лишних полей;
• где-то на вашей стороне сохраняется отметка о том, что согласие было дано.

Быстрее всего это делает бесплатная проверка: она открывает сайт как посетитель, находит формы и смотрит, есть ли у них чекбокс, не проставлен ли он заранее и стоит ли рядом ссылка на политику.

Частые вопросы

Нужна ли для формы на сайте письменная подпись или скан согласия? Нет. Часть 1 статьи 9 152-ФЗ разрешает согласие в любой форме, позволяющей подтвердить факт его получения. Для обычной заявки достаточно снятого чекбокса со ссылкой на политику и записи о том, что его нажали. Письменное согласие с паспортными данными нужно только для специальных категорий, биометрии и распространения данных.

Достаточно ли строки «нажимая кнопку, вы соглашаетесь»? Рискованно. Такое согласие трудно назвать однозначным — нажатие «Отправить» выражает намерение отправить заявку, а не отдельно согласиться, — и с сентября 2025 года оно не оформлено отдельно от других действий. Доказывать его действительность придётся вам. Чекбокс надёжнее и настраивается за минуты.

Можно ли одной галочкой согласиться и с политикой, и на рассылку? Нет. Это разные цели, а согласие должно быть конкретным. Обработка данных ради ответа на заявку — одна галочка, рекламная рассылка — отдельная и необязательная. Согласие на рекламу к тому же регулируется ещё и законом о рекламе.

Что именно сохранять, чтобы доказать согласие? Отметку о том, что галочка стояла, дату и время отправки, состав данных и версию политики, с которой согласились. Доказывать наличие согласия по части 3 статьи 9 обязан оператор — то есть вы, а не посетитель.

Если на сайте уже есть баннер cookie, нужен ли ещё чекбокс в форме? Да. Это разные точки сбора и разные основания. Баннер закрывает cookie и счётчики по статье 6, а форма заявки требует отдельного согласия по статье 9. Одно другое не заменяет — когда нужен баннер согласия на cookie, разобрано отдельно.