СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ НА САЙТЕ: ТРЕБОВАНИЯ 2026 ГОДА

Федеральный закон № 152-ФЗ допускает несколько оснований обработки персональных данных. Согласие субъекта указано в пункте 1 части 1 статьи 6, но рядом существуют и другие основания, например необходимость исполнения договора, выполнения обязанности, установленной законом, или иные предусмотренные статьёй случаи.

Поэтому для каждой точки сбора на сайте сначала полезно ответить на три вопроса: какую цель вы решаете, какие данные для этого действительно нужны и какое правовое основание применяется. Общая карта обработки разобрана в статье «Персональные данные на сайте: требования 152-ФЗ».

ТИПИЧНЫЕ СЦЕНАРИИ, ГДЕ СОГЛАСИЕ НУЖНО ПРОВЕРИТЬ ОСОБЕННО ВНИМАТЕЛЬНО

• Форма обратной связи или заявка, если обработка строится на согласии пользователя.
• Подписка на рассылку и дальнейшее продвижение товаров или услуг.
• Регистрация личного кабинета, когда часть обработки выходит за пределы необходимого для исполнения договора.
• Публикация отзыва, фотографии, кейса или иных данных человека в открытом доступе.
• Анкеты, опросы и лид-магниты, где собирается больше данных, чем нужно для одного технического действия.

Статья 6 152-ФЗ перечисляет случаи, когда обработка допустима. Согласие пользователя является одним из них. Для части процессов основанием может быть договор с субъектом, обязанность оператора по закону или другой предусмотренный законом случай.

Это важно для сайта по двум причинам. Во-первых, текст документов должен соответствовать реальной схеме. Во-вторых, статья 9 допускает отзыв согласия. Если после отзыва оператор продолжает обработку, ему нужно иметь другое законное основание из предусмотренных законом.

КАК ПРОВЕРИТЬ ОСНОВАНИЕ

1. Зафиксируйте конкретную цель обработки.
2. Определите минимальный набор данных для этой цели.
3. Проверьте основания статьи 6 и специальные нормы для конкретного процесса.
4. Если основанием выбрано согласие, переходите к требованиям статьи 9.
5. Не используйте одно согласие как универсальное объяснение всех процессов сайта.

Часть 1 статьи 9 требует, чтобы решение о предоставлении данных и согласие на их обработку были свободными и принимались субъектом в своём интересе. Само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.

Для сайта эти характеристики нужно переводить в понятную практику. Пользователь должен понимать, кто получает данные, для какой цели он разрешает обработку и что именно подтверждает своим действием. Текст не должен маскировать несколько самостоятельных решений под одну общую формулировку.

ПЯТЬ КРИТЕРИЕВ В ПРАКТИЧЕСКОМ ВИДЕ

• Конкретность. Согласие связано с определённой целью, а не с абстрактной «обработкой любых данных».
• Предметность. Понятно, к каким данным и операциям относится волеизъявление.
• Информированность. Пользователь получает необходимую информацию до подтверждения.
• Сознательность. Интерфейс не скрывает смысл действия и не подменяет его другим подтверждением.
• Однозначность. Из зафиксированного действия можно сделать вывод, что пользователь действительно выразил согласие.

Федеральный закон № 156-ФЗ дополнил часть 1 статьи 9 правилом: согласие на обработку персональных данных должно быть оформлено отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Изменение вступило в силу 1 сентября 2025 года.

Для сайта это означает, что согласие опасно прятать внутри политики, оферты, пользовательского соглашения или длинной формулировки, где одним действием пользователь якобы подтверждает сразу всё. Интерфейс и текст должны позволять отделить волеизъявление на обработку персональных данных от других подтверждений.

ЧТО СТОИТ ПЕРЕСМОТРЕТЬ НА САЙТЕ

• Формулировки «нажимая кнопку, вы соглашаетесь с политикой, офертой и обработкой данных».
• Согласие, полностью спрятанное внутрь пользовательского соглашения или оферты.
• Одна общая галочка для обработки данных, рекламы и других самостоятельных действий.
• Ссылку на политику вместо самостоятельного текста согласия, если основанием обработки выступает именно согласие.

Статья 9 разрешает получать согласие в любой форме, которая позволяет подтвердить факт его получения, если федеральный закон не требует специальной письменной формы. Поэтому обычное онлайн-согласие и письменное согласие из части 4 статьи 9 нельзя механически считать одним и тем же документом.

Для обычной формы на сайте текст согласия стоит строить от реального процесса. Пользователю должно быть понятно, кто является оператором, зачем обрабатываются данные, какие категории данных затрагиваются и какие действия с ними предполагаются. Также важно описать срок или условие прекращения обработки и понятный способ отзыва, если эти элементы относятся к вашей модели согласия.

КОГДА ТРЕБУЕТСЯ ПИСЬМЕННАЯ ФОРМА

В случаях, прямо предусмотренных федеральным законом, часть 4 статьи 9 требует письменного согласия. Для него закон перечисляет специальный состав сведений, включая идентификационные данные субъекта, сведения об операторе, цель, перечень данных, действия, срок действия и способ отзыва. Электронный документ в таком случае должен отвечать требованиям к электронной подписи.

Если закон допускает согласие в форме, позволяющей подтвердить факт его получения, сайт должен сохранять связь между конкретным пользователем, конкретной версией согласия и действием, которым это согласие было выражено.

Обычная практика интерфейса — отдельный элемент подтверждения рядом с формой и доступный текст согласия. Заранее отмеченный элемент создаёт высокий риск: у оператора становится меньше оснований утверждать, что пользователь совершил самостоятельное положительное действие и выразил однозначную волю.

ЧТО ЖЕЛАТЕЛЬНО ФИКСИРОВАТЬ ТЕХНИЧЕСКИ

• дату и время подтверждения;
• форму или страницу, из которой отправлены данные;
• версию текста согласия, действовавшую в этот момент;
• сам факт отдельного подтверждающего действия;
• технические сведения, которые помогают связать событие с конкретной заявкой без избыточного сбора данных.

Подробно механику полей, обязательность чекбоксов, заранее отмеченные элементы, несколько согласий возле одной формы и типовые ошибки интерфейса разберём в отдельной статье «Формы и чекбоксы персональных данных на сайте».

ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

Базовое согласие регулируется прежде всего статьёй 9 152-ФЗ. Оно относится к конкретной обработке и должно соответствовать требованиям к волеизъявлению субъекта.

РЕКЛАМНЫЕ РАССЫЛКИ

Если данные используются для прямого продвижения товаров, работ или услуг средствами связи, статья 15 152-ФЗ требует предварительного согласия субъекта. Для рекламы по сетям электросвязи статья 18 закона о рекламе также требует предварительного согласия адресата. Поэтому подписку на рекламу опасно автоматически включать в согласие, которое пользователь даёт только ради ответа на заявку.

РАСПРОСТРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Когда данные человека планируется сделать доступными неопределённому кругу лиц, действует статья 10.1 152-ФЗ. Согласие на обработку персональных данных, разрешённых для распространения, оформляется отдельно от иных согласий.

COOKIE И АНАЛИТИКА

Cookie, идентификаторы и аналитические системы требуют отдельного анализа фактических данных и сценария их использования. Эту тему мы выносим в самостоятельный материал «Cookie и персональные данные», чтобы не смешивать разные интенты в одной статье.

Обязанность доказать получение согласия лежит на операторе. Поэтому простой факт наличия текущего текста на сайте не доказывает, что именно эту редакцию пользователь подтверждал раньше.

При изменении согласия стоит сохранять версии документа и дату начала их использования. В системе заявок полезно хранить идентификатор версии или другой признак, позволяющий восстановить текст, связанный с конкретной отправкой формы.

ЧТО МОЖЕТ ВОЙТИ В ДОКАЗАТЕЛЬСТВО

• идентификатор заявки или пользователя;
• время подтверждения;
• страница и форма;
• версия согласия;
• зафиксированное действие пользователя;
• журнал изменений текста согласия.

Если форма или текст согласия меняются, проверяйте также политику обработки персональных данных. Документы должны описывать одну и ту же фактическую схему, а не противоречить друг другу.

Пользователь вправе отозвать согласие. После отзыва оператор оценивает, может ли обработка продолжаться на другом основании, предусмотренном законом. Если такого основания нет, процесс нужно привести в соответствие требованиям о прекращении обработки и удалении данных.

Для сайта заранее определите рабочий канал отзыва: электронную почту, форму обращения или иной понятный способ. Сотрудники, которые получают такие запросы, должны понимать, куда их передавать и как связать обращение с данными пользователя.

ПОЧЕМУ ЭТО ВАЖНО ДЛЯ ТЕКСТА СОГЛАСИЯ

Если в согласии указан способ отзыва, он должен реально работать. Адрес, который никто не проверяет, или инструкция, которую невозможно выполнить, создают расхождение между документом и процессом.

Отдельный обзор ответственности и штрафных рисков мы закрепили за страницей «Штрафы за персональные данные на сайте», чтобы эта статья сохраняла фокус именно на согласии.

• Вместо отдельного согласия стоит только ссылка на политику обработки персональных данных.
• Одной галочкой объединены согласие на ПДн, реклама, оферта и другие самостоятельные действия.
• Элемент согласия отмечен заранее.
• В тексте нет понятной цели или она сформулирована слишком широко.
• Собираемые поля не совпадают с перечнем данных, указанным в документе.
• Согласие ссылается на несуществующую или недоступную политику.
• После изменения текста невозможно установить, какую редакцию подтвердил конкретный пользователь.
• Рекламная рассылка запускается по контактам из заявок без отдельной проверки предварительного согласия.

Автоматическая проверка способна найти часть таких публичных признаков: наличие документов, ссылки возле форм, заранее отмеченные элементы и другие видимые настройки. Внутреннюю логику хранения доказательств всё равно нужно проверять отдельно.