ФОРМЫ И ЧЕКБОКСЫ ПЕРСОНАЛЬНЫХ ДАННЫХ НА САЙТЕ: ТРЕБОВАНИЯ В 2026 ГОДУ

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу. Поэтому типичная форма обратной связи с именем, телефоном или электронной почтой почти всегда требует анализа по 152-ФЗ.

К точкам сбора на сайте обычно относятся:

• форма «Оставить заявку» или «Заказать звонок»;
• расчёт стоимости и бриф;
• оформление заказа;
• регистрация и личный кабинет;
• подписка на рассылку;
• анкета, опрос или запись на мероприятие;
• форма комментария, отзыва или обращения;
• чат и сторонний виджет, если через него передаются сведения о пользователе.

Общую систему требований к сайту мы разбираем в хаб-материале «Персональные данные на сайте: требования 152-ФЗ». Здесь фокус только на формах и действии пользователя перед отправкой.

Статья 6 152-ФЗ перечисляет случаи, в которых допускается обработка персональных данных. Один из них — согласие субъекта. Закон предусматривает и другие основания, например обработку, необходимую для исполнения договора или заключения договора по инициативе самого человека, а также обработку для выполнения предусмотренных законом обязанностей.

Поэтому вопрос «нужна ли галочка в форме?» нельзя решать только по внешнему виду формы. Сначала определите:

1. какую конкретную цель запускает отправка;
2. какие данные действительно нужны;
3. что происходит с ними после отправки;
4. какое основание применяется именно к этой цели.

Если основанием выступает согласие, дальше включаются требования статьи 9. Подробно содержание и границы согласия мы вынесли в отдельную статью «Согласие на обработку персональных данных на сайте», чтобы эта страница не дублировала тот же интент.

Если оператор использует согласие как основание обработки, статья 9 требует, чтобы оно было свободным, конкретным, предметным, информированным, сознательным и однозначным. Кроме того, именно оператор обязан доказать факт его получения.

ПУСТОЙ ЧЕКБОКС — БЕЗОПАСНАЯ БАЗОВАЯ МЕХАНИКА

Для сайта практичнее показывать согласие без заранее установленной отметки. Пользователь сам ставит галочку перед отправкой формы. Такая механика лучше показывает отдельное активное действие и снижает спорность вокруг того, было ли волеизъявление сознательным и однозначным.

152-ФЗ не формулирует универсальную техническую команду «любой checkbox обязан быть изначально пустым». Поэтому корректнее оценивать заранее отмеченную галочку через требования к свободе, сознательности, однозначности согласия и обязанность оператора доказать его получение. Для новой формы я бы такую механику не использовал.

ЕСЛИ СОГЛАСИЕ ОБЯЗАТЕЛЬНО ДЛЯ ЭТОЙ ЦЕЛИ

Форму можно настроить так, чтобы отправка происходила только после самостоятельной отметки. При этом сам факт технической обязательности поля не исправляет слабый текст согласия: пользователь должен понимать, кому, для чего и в каком контексте он даёт согласие.

Действующая редакция статьи 9 152-ФЗ требует оформлять согласие на обработку персональных данных отдельно от иной информации и документов, которые субъект подтверждает или подписывает.

Для формы это означает, что опасно объединять в одно действие несколько самостоятельных подтверждений. Например, конструкция «Я принимаю оферту, соглашаюсь с политикой, обработкой персональных данных и рекламной рассылкой» создаёт сразу несколько разных смыслов внутри одного чекбокса.

ПОЛИТИКА И СОГЛАСИЕ РЕШАЮТ РАЗНЫЕ ЗАДАЧИ

Политика оператора описывает правила обработки и должна быть доступна пользователю на страницах, где происходит сбор. Когда для конкретной цели требуется согласие, ссылка на политику сама по себе его не заменяет.

Отдельный материал о самом документе уже закреплён за страницей «Политика обработки персональных данных для сайта».

В интерфейсе удобно оставить короткую формулировку и ссылку на полный текст согласия. Например:

Сам текст должен позволять человеку понять содержание действия. Для обычного электронного согласия закон не устанавливает одну универсальную фразу для всех сайтов. Наполнение зависит от цели, состава данных, способа обработки и конкретной ситуации.

Не стоит использовать подписи вроде «Нажимая кнопку, вы соглашаетесь со всем» без понятного содержания и разделения самостоятельных действий. Чем больше разных целей спрятано в одной формулировке, тем сложнее показать предметность и однозначность согласия.

Если форма получает данные для заявки, а затем компания хочет использовать контакты ещё и для рекламной рассылки, эти цели лучше разделить. Рекламный контакт имеет отдельные требования, о которых ниже.

Часть 3 статьи 9 возлагает обязанность доказать получение согласия на оператора. Поэтому при проектировании формы важно думать не только о том, что видит пользователь, но и о том, что сохраняется после отправки.

ЧТО ПОЛЕЗНО ФИКСИРОВАТЬ ТЕХНИЧЕСКИ

• факт установки пользователем чекбокса;
• дату и время отправки;
• версию текста согласия или идентификатор редакции;
• форму и страницу, через которую получены данные;
• данные заявки в объёме, который нужен для процесса;
• другие технические сведения, если они действительно нужны для доказательства и обрабатываются законно.

Это практическая схема доказательности, а не универсальный закрытый перечень из 152-ФЗ. Конкретный набор зависит от риска, архитектуры сайта и способа хранения заявок.

Статья 15 152-ФЗ устанавливает, что обработка персональных данных для продвижения товаров, работ и услуг посредством прямых контактов с потенциальным потребителем с помощью средств связи допускается только при предварительном согласии. Если оператор не докажет его получение, такая обработка считается осуществляемой без предварительного согласия.

Поэтому форму заявки не стоит автоматически превращать в подписку на маркетинговые сообщения. Если после обращения планируется отдельная рекламная коммуникация, это нужно проектировать как самостоятельную цель и проверять применимые требования к согласию и рекламе.

• Галочка отмечена заранее. Пользователь не совершает отдельного активного действия, что осложняет доказательство однозначного и сознательного согласия.
• Один чекбокс объединяет оферту, согласие на ПДн и рекламу. Разные действия и цели теряются внутри общей формулировки.
• Форма ссылается только на политику. Политика информирует о правилах обработки, но не заменяет согласие там, где оно является основанием.
• Ссылка рядом с формой не работает. Пользователь не может открыть документ, на который ссылается интерфейс.
• В форме слишком много обязательных полей. Состав данных может оказаться избыточным относительно цели.
• После отправки не сохраняется доказательство. Оператор видит заявку, но не может восстановить, какое согласие и в какой редакции было подтверждено.
• Разные формы используют один универсальный текст. Цели и наборы данных могут отличаться, а согласие должно оставаться конкретным и предметным.

Если нарушение связано с правилами обработки или уведомлением регулятора, последствия уже выходят за рамки интерфейса формы. Эту тему отдельно закроет статья «Штрафы за персональные данные на сайте».

1. Определите цель каждой формы и набор обязательных полей.
2. Проверьте правовое основание обработки для этой цели.
3. Если используется согласие, добавьте отдельный чекбокс без предварительной отметки.
4. Сделайте текст согласия доступным по понятной ссылке рядом с формой.
5. Проверьте доступ к политике обработки персональных данных.
6. Разведите заявку и маркетинговые подписки, если они решают разные задачи.
7. Отправьте тестовую заявку и посмотрите, какие данные реально приходят в Tilda, CRM, почту и другие подключённые сервисы.
8. Убедитесь, что можно подтвердить факт согласия и актуальную редакцию текста.

Если после аудита потребуется изменить форму, логику интерфейса или интеграции, у меня есть отдельная услуга разработки и доработки сайта на Tilda.