Зачем на сайте нужно согласие на обработку персональных данных
Любая форма на сайте — заявка, обратный звонок, подписка на рассылку — собирает данные: имя, телефон, e-mail. Это уже обработка персональных данных по 152-ФЗ, даже если полей всего два.
Что считается персональными данными? Не только паспорт, адрес или СНИЛС. Обычные контакты из формы — имя, номер телефона, e-mail — тоже персональные данные, если по ним можно прямо или косвенно определить конкретного человека.
Чекбокс — способ подтвердить, что согласие на обработку персональных данных получено добровольно и осознанно. По ч. 1 ст. 9 152-ФЗ оно должно быть конкретным, предметным, информированным, сознательным и однозначным, а даётся свободно, своей волей и в своём интересе. При этом закон прямо разрешает получать согласие «в любой форме, позволяющей подтвердить факт его получения» — отметка в веб-форме этому требованию соответствует.
Когда нужен чекбокс согласия на обработку ПДн, а когда можно без него
Если форма нужна только чтобы ответить на заявку или оформить заказ, по п. 5 ч. 1 ст. 6 152-ФЗ можно обрабатывать данные без отдельного согласия — это обработка для исполнения договора по инициативе самого субъекта. Но как только цели выходят за рамки «ответить клиенту» — рассылки, передача данных третьим лицам, хранение «на будущее», аналитика — согласие уже обязательно.
Категорично утверждать «без чекбокса — всегда штраф» юридически неточно. Но на практике безопаснее ставить его на любой форме, где собираются персональные данные: именно так смотрит на сайт и автоматический бот Роскомнадзора при сканировании.
Важно: закон не требует чекбокс абсолютно всегда и на всё. Но при проверках и автоматическом сканировании отсутствие чекбокса на форме сбора данных — одна из самых частых находок. Проще поставить его один раз, чем потом доказывать, что согласие не требовалось.
Что по закону должно быть рядом с чекбоксом
Рядом с галочкой должно быть три элемента: прямое указание, что данные будут обрабатываться; конкретная цель обработки — не абстрактное «согласен на всё», а, например, «для обработки заявки и связи с вами»; и активная ссылка на документ — политику обработки персональных данных или текст согласия.
Что изменилось с 1 сентября 2025: по 156-ФЗ согласие теперь должно быть оформлено отдельно от других документов — оферты, договора, анкеты. «Зашить» его в текст пользовательского соглашения больше нельзя: нужен отдельный чекбокс со ссылкой на отдельный документ согласия. Согласия, собранные до этой даты, переоформлять не нужно.
Отдельно, чтобы не напугать себя лишним: перечень из ч. 4 ст. 9 152-ФЗ — ФИО, паспортные данные, подпись — это требования к письменной форме согласия, а не к веб-форме на сайте. Для обычной формы заявки достаточно чекбокса — «иной формы, подтверждающей факт получения» согласия.
Ссылка рядом с чекбоксом должна вести на политику обработки персональных данных. Что именно должно быть в этом документе — тема отдельной статьи, здесь достаточно помнить: ссылка обязана вести на реальный, открывающийся текст, а не на пустую страницу.
Изменения 2025 года легко пропустить — форма на сайте могла остаться прежней. Проверьте бесплатно, что видит Роскомнадзор на вашем сайте.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЧастые ошибки: как чекбокс делают неправильно
На практике чекбокс делают неправильно почти по одному и тому же сценарию. Вот пять типовых ошибок:
- Галочка стоит по умолчанию — «предзаполненное согласие» не отражает свободного волеизъявления и согласием не считается.
- Формулировка «Отправляя заявку, вы соглашаетесь…» без отдельной галочки — согласие нигде не зафиксировано, есть только текст рядом с кнопкой.
- Один общий чекбокс сразу на обработку персональных данных, оферту и рекламную рассылку — цель должна быть конкретной, а рассылка требует отдельного согласия (подробнее — в разделе ниже).
- Ссылка на политику спрятана только в футере сайта, рядом с самим чекбоксом её нет.
- Согласие «зашито» в текст оферты — прямое нарушение требования 156-ФЗ об обособлении из предыдущего раздела.
Предупреждение: предзаполненный чекбокс — типовая находка на проверках и при автоматическом сканировании сайтов. Пользователь обязан поставить галочку сам, а форма без неё не должна отправляться. Это прямое нарушение принципа «согласие даётся свободно, своей волей» — по сути, обработка данных без надлежащего согласия.
Что грозит за отсутствие или неверное согласие
Разбирать все составы 152-ФЗ здесь не будем — этому посвящена отдельная статья про штрафы Роскомнадзора. Но два состава касаются именно чекбокса и документа, на который он ссылается.
| Нарушение | Часть | Граждане | Долж. лица | ИП | Юрлица |
|---|---|---|---|---|---|
| Обработка ПДн без надлежащего согласия (нет чекбокса, согласие оформлено неверно) | ч. 2 ст. 13.11 КоАП | 10 000–15 000 ₽ | 100 000–300 000 ₽ | как долж. лицо | 300 000–700 000 ₽ |
| Нет или не опубликована политика, на которую ссылается чекбокс | ч. 3 ст. 13.11 КоАП | 1 500–3 000 ₽ | 6 000–12 000 ₽ | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
Доказать, что согласие получено, обязан оператор — то есть бизнес, а не Роскомнадзор. Если доказательств нет, по умолчанию считается, что согласия не было. Отсюда практическая необходимость фиксировать факт согласия: дату, время, идентификатор отправки формы.
Честно: громких судебных дел именно «оштрафовали за чекбокс» в открытых источниках 2025–2026 немного. Массовая практика — предписания по итогам работы автоматического бота-сканера Роскомнадзора, который проверяет формы на сайтах в зонах .RU/.РФ/.SU: сначала короткий срок на устранение, и только при неисполнении — штраф по ст. 13.11.
Как оформить чекбокс правильно: пример и чек-лист
Рабочий вариант текста рядом с галочкой: «Я даю согласие на обработку моих персональных данных для обработки заявки и связи со мной в соответствии с политикой обработки персональных данных» — и активная ссылка на документ. Ключевое отличие от неправильного варианта — форма не должна отправляться, пока галочка не поставлена вручную.
Проверить у себя за минуту: откройте свою форму заявки в режиме инкогнито и попробуйте отправить её, не трогая чекбокс. Если заявка ушла — согласие на сайте не работает.
- Чекбокс не предзаполнен — галочка пустая по умолчанию.
- Пользователь ставит галочку сам, осознанным действием.
- Без галочки форма не отправляется — проверка и на фронтенде, и на сервере.
- Текст рядом называет конкретную цель обработки, а не общую формулировку.
- Рядом — активная ссылка на политику обработки персональных данных или отдельный документ согласия.
- Факт согласия фиксируется: дата, время, идентификатор отправки — на случай, если понадобится его доказать.
Согласие на ПДн — не согласие на рекламную рассылку: как не перепутать
Это два разных согласия и два разных закона. Согласие на обработку персональных данных (152-ФЗ) нужно для любой формы, где собираются данные. Согласие на рекламную рассылку (ст. 18 38-ФЗ) — отдельный чекбокс, который требуется, только если вы дальше будете слать email, SMS или сообщения в мессенджерах. Один общий чекбокс «согласен на обработку данных, оферту и рекламу» нарушает оба закона одновременно.
| Согласие | Закон | Когда нужен отдельный чекбокс | Макс. штраф юрлицу |
|---|---|---|---|
| На обработку персональных данных | 152-ФЗ, ст. 9 | Любая форма со сбором ПДн, если обработка выходит за рамки исполнения заявки | до 700 000 ₽ (ч. 2 ст. 13.11 КоАП) |
| На рекламную рассылку | 38-ФЗ, ст. 18 | Перед email/SMS/мессенджер-рассылкой | до 1 000 000 ₽ (ч. 4.1 ст. 14.3 КоАП) |
По рекламе действует та же логика: рассылка считается сделанной без согласия, если бизнес не докажет обратное. И там, и там доказывать согласие обязан не Роскомнадзор, а сам оператор. Как оформить согласие на рекламную рассылку отдельным чекбоксом — тема отдельной статьи.
Для полноты картины: есть ещё согласие на распространение персональных данных — когда данные публикуются в открытом доступе, по приказу РКН № 18. К обычной форме заявки оно не применяется, упоминаем только чтобы не путать.
Итог: как проверить, что чекбокс на сайте оформлен верно
Коротко: на своей форме прямо сейчас стоит проверить четыре вещи — галочка не предзаполнена; без неё форма не отправляется; текст рядом называет конкретную цель; рядом работает ссылка на политику обработки персональных данных.
Держите в голове границу: согласие на обработку ПДн — это отдельно от согласия на рассылку и отдельно от согласия на cookies/аналитику. У пользователя, кстати, есть право в любой момент отозвать согласие — это уже тема отдельной статьи про отзыв согласия на обработку данных.
Ещё один свежий штрих: с 28 декабря 2025 года дела по ст. 13.11 КоАП снова рассматривают мировые судьи — регулирование персональных данных сейчас меняется буквально на ходу.
Чекбокс — лишь один из пунктов, которые смотрит бот Роскомнадзора и полноценная проверка сайта на 152-ФЗ: рядом всегда идут политика конфиденциальности, согласие на рассылку, cookies и ещё десяток проверок. Проще один раз посмотреть картину целиком, чем гадать по одной форме.