Согласие на обработку персональных данных на сайте нужно, если форма собирает имя, телефон или почту, а другого основания для обработки нет. С 1 сентября 2025 года его оформляют отдельно от оферты и других документов.
Закон не требует именно галочки: подойдёт любая форма, по которой можно подтвердить согласие. Отдельный неотмеченный чекбокс у каждой формы — самый простой способ это доказать.
Штраф компании за обработку без основания — 150–300 тыс. ₽.
Статья — для владельца бизнеса или маркетолога, у которого на сайте есть заявки, квизы, чат или подписка. Нормы и суммы — по действующим редакциям 152-ФЗ и КоАП на 24.10.2026. Свой случай покажите юристу.
Коротко.
- Имя, телефон и почта из формы — персональные данные, а владелец сайта — их оператор. Для каждой цели нужно основание: согласие, договор с человеком или закон.
- С 1 сентября 2025 года согласие оформляют отдельно от других документов: общая галочка «принимаю оферту и даю согласие» больше не подходит.
- Политику обработки данных публикуют там же, где стоят формы. Политика не заменяет согласие: её публикует оператор, а согласие даёт посетитель.
- Рекламная рассылка — только с предварительного согласия, и доказать его должен тот, кто рассылает. Удобнее всего — отдельный необязательный чекбокс.
- Штрафы компании по ст. 13.11 КоАП: 150–300 тыс. ₽ за обработку без основания, 30–60 тыс. ₽ без политики, 100–300 тыс. ₽ без уведомления Роскомнадзора.
Что считается персональными данными на сайте и кто оператор
Персональные данные — любая информация о человеке, которого по ней можно прямо или косвенно определить (п. 1 ст. 3 152-ФЗ). Имя и телефон из заявки, email из подписки, резюме из отклика на вакансию — всё это персональные данные.
Человек, чьи это данные, в законе называется субъектом персональных данных.
Оператор — тот, кто определяет цели обработки и что делать с данными (п. 2 ст. 3). Для сайта это его владелец: компания, ИП или физическое лицо. Оператором может быть и самозанятый, и владелец лендинга без юрлица.
Если форму сделал подрядчик, а заявки хранит CRM-сервис, отвечает перед посетителем всё равно оператор (ч. 5 ст. 6). Подрядчик отвечает уже перед вами — по договору.
Обработка — любое действие с данными: сбор, запись, хранение, передача, удаление (п. 3 ст. 3). Даже если заявка просто приходит в ящик и через неделю удаляется, это обработка.
Когда согласие нужно, а когда хватает договора
Согласие — одно из оснований обработки в ч. 1 ст. 6 152-ФЗ, а не единственное. Данные можно обрабатывать и без него, если это нужно для договора с человеком или того требует закон. Для рекламы и данных о здоровье правила строже.
| Что делает сайт | Основание по закону | Нужно ли согласие |
|---|---|---|
| Оформляет заказ: оплата, доставка, личный кабинет покупателя | Заключение и исполнение договора по инициативе человека (п. 5 ч. 1 ст. 6) | Для самого заказа может не требоваться — решите с юристом |
| Принимает заявку: «перезвоните», расчёт стоимости, консультация | Согласие (п. 1 ч. 1 ст. 6); граница с «договором по инициативе человека» спорная | Да, так безопаснее — рекомендация редакции |
| Подписывает на рассылку, звонит и пишет с предложениями | Только предварительное согласие (ст. 15 152-ФЗ, ст. 18 38-ФЗ «О рекламе») | Да, отдельное |
| Спрашивает о здоровье: симптомы, диагноз, анкета пациента | Специальная категория данных — согласие в письменной форме (п. 1 ч. 2 ст. 10) | Да, письменное |
| Распознаёт лицо или голос, чтобы установить личность | Биометрия — только согласие в письменной форме (ч. 1 ст. 11) | Да, письменное |
Письменное согласие — собственноручная подпись на бумаге или электронный документ, подписанный электронной подписью (ч. 4 ст. 9). Какая подпись подойдёт в вашем случае, решают с юристом по закону «Об электронной подписи».
Обычная галочка в форме — не подпись на бумаге и не электронный документ с подписью. Поэтому для анкеты о здоровье на сайте клиники её может не хватить: такие формы покажите юристу до запуска.
Для работников компании большая часть обработки идёт по закону и трудовому договору. Это кадровая тема, к формам сайта она не относится.
Какие формы на сайте собирают персональные данные
Любая форма, куда человек вводит имя, телефон, email или пишет о себе. Политику публикуют там, где сайт собирает данные (ч. 2 ст. 18.1), поэтому ссылка на неё нужна у каждой такой формы. Согласие — там, где нет другого основания.
| Форма | Какие данные | О чём забывают |
|---|---|---|
| Заявка, форма обратной связи, «перезвоните мне» | Имя, телефон | Всплывающее окно с копией формы на других страницах |
| Квиз-калькулятор | Ответы о задаче, телефон на последнем шаге | Галочка нужна на шаге, где просят контакт |
| Онлайн-чат и чат-бот | Имя, телефон, переписка | Форма контакта внутри виджета стороннего сервиса |
| Подписка на рассылку | Почта | Отдельное согласие на рекламу |
| Отклик на вакансию | ФИО, опыт, иногда фото | Данные кандидатов — отдельная цель в согласии |
| Отзыв на сайте | Имя, иногда фото | Публикация отзыва — уже распространение данных |
| Заказ и личный кабинет | ФИО, адрес, телефон | Лишние поля, не нужные для заказа |
Перечень — разбор редакции, а не список из закона. Пройдите по сайту и выпишите все места, где человек что-то вводит: это и есть ваш список форм. Лишних полей не держите — данные не должны быть избыточными для цели (ч. 5 ст. 5).
Те же формы часто страдают от ботов: как защитить их и не потерять живые заявки, мы разобрали в статье о спаме с форм сайта.
Как оформить согласие в форме на сайте
Согласие можно дать в любой форме, которая позволяет подтвердить факт его получения (ч. 1 ст. 9). Доказать, что согласие было, обязан оператор (ч. 3 ст. 9). Поэтому на сайте его удобнее всего оформить так:
- Рядом с кнопкой отправки — отдельная галочка «Даю согласие на обработку персональных данных». По умолчанию она не отмечена.
- В подписи к галочке — ссылка на текст согласия и отдельная ссылка на политику обработки данных.
- Если основание формы — согласие, форма не отправляется без галочки. Это рекомендация редакции: так в каждой заявке согласие точно есть.
- Если есть рассылка — второй чекбокс, на рекламу. Он необязательный: заявку можно отправить и без неё.
- Вместе с заявкой сохраняется дата, адрес формы и версия текста согласия — подробнее ниже.
Менять форму — в настройках блока формы в конструкторе сайта или у разработчика. Отдельно проверьте всплывающие окна и квизы: у них бывает своя копия формы без галочки.
С 1 сентября 2025 года согласие оформляют отдельно
С 1 сентября 2025 года согласие должно быть оформлено отдельно от иных информации и документов, которые человек подтверждает или подписывает. Это предложение в ч. 1 ст. 9 152-ФЗ добавил Федеральный закон от 24.06.2025 № 156-ФЗ.
Для сайта это значит: согласие — отдельный текст и отдельная отметка, а не пункт оферты или пользовательского соглашения и не общая галочка «Принимаю условия и даю согласие».
Проще всего держать согласие на обработку персональных данных отдельным документом по своему адресу.
Согласие и политика — тоже разные документы: согласие даёт посетитель, политику публикует оператор (ст. 18.1). Держите их отдельными документами по разным адресам.
Галочка, «нажимая кнопку» и оферта: что можно, а что нет
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9). По этим признакам и видно, какие формы согласия на сайте работают, а какие — нет.
| Как сделано на сайте | Оценка | Почему |
|---|---|---|
| Отдельный неотмеченный чекбокс со ссылкой на текст согласия | Можно | Человек сам выбрал, текст ему доступен, факт можно подтвердить |
| Галочка уже стоит | Нельзя | Человек ничего не выбирал — согласие трудно назвать сознательным |
| Одна галочка «принимаю оферту и даю согласие» | Нельзя с 01.09.2025 | Согласие не отделено от других документов |
| «Нажимая кнопку, вы соглашаетесь…» без галочки | Рискованно | Согласие слито с отправкой заявки, явный выбор человека доказать сложнее |
| «Продолжая пользоваться сайтом, вы соглашаетесь» | Не годится для форм | Продолжение просмотра — не выбор, а бездействие |
| Одно согласие на всё: заявку, рассылку, передачу партнёрам | Рискованно | Согласие должно быть конкретным: под каждую цель — своё |
Оценки — вывод редакции по тексту ч. 1 ст. 9. Для согласия на публикацию данных закон прямо говорит, что молчание и бездействие согласием не считаются (ч. 8 ст. 10.1).
Отдельная галочка на рассылку и рекламу
Реклама по сетям электросвязи — в том числе по телефону и мобильной связи — допускается только с предварительного согласия адресата. Не докажете согласие — реклама считается разосланной без него (ч. 1 ст. 18 38-ФЗ «О рекламе»).
То же для данных: прямые контакты с потенциальным покупателем с помощью средств связи — только с предварительного согласия, и доказывает его оператор (ч. 1 ст. 15 152-ФЗ). Отказ от рекламы выполняют немедленно (ч. 2 ст. 15).
Поэтому согласие на рассылку — второй, необязательный чекбокс. Ответить на заявку можно и без него, а рекламу человеку, который его не отметил, не отправляйте.
Как доказать, что согласие было
Если возникнет спор, предъявить согласие придётся оператору. Скриншот формы мало что доказывает: форма меняется, а вопрос обычно касается конкретной заявки и конкретного человека.
Рекомендация редакции: вместе с заявкой сохраняйте дату и время, адрес формы, отметку согласия и номер версии текста согласия. Старые версии текста не удаляйте, храните их с датами.
Если форма раньше работала без галочки, в 156-ФЗ нет правила о согласиях, полученных до 1 сентября 2025 года. Новые заявки собирайте по новым правилам, а рекламу по старой базе без доказуемого согласия не отправляйте.
Что должно быть в тексте согласия
Перечень сведений закон даёт для письменного согласия (ч. 4 ст. 9). Для галочки на сайте он не обязателен целиком, но это лучший ориентир: без этих пунктов согласие трудно назвать конкретным и информированным. Это вывод редакции.
| Пункт ч. 4 ст. 9 | Что написать для сайта |
|---|---|
| Оператор: наименование или ФИО и адрес | Название компании или ИП и адрес; ИНН — по желанию |
| Цель обработки | Конкретно: «ответить на заявку и подготовить расчёт», а не «любые цели» |
| Перечень персональных данных | Ровно те поля, что есть в форме: имя, номер телефона, почта |
| Кто обрабатывает по поручению оператора | Наименование и адрес CRM-сервиса, колл-центра или подрядчика |
| Действия с данными и способы обработки | Сбор, запись, хранение, передача исполнителю, удаление; с автоматизацией или без |
| Срок действия и способ отзыва | Срок или событие окончания и адрес, куда писать об отзыве |
| ФИО, адрес, паспорт человека; подпись | Для галочки на сайте не собирают: это реквизиты письменного согласия |
Поручить обработку другому лицу оператор может с согласия человека, если закон не говорит иное, и по договору с этим лицом (ч. 3 ст. 6). Поэтому CRM-сервис или колл-центр стоит назвать прямо в тексте согласия.
Образец согласия на обработку персональных данных для сайта
Готовый образец согласия на обработку персональных данных: бланк ниже — для формы заявки. Квадратные скобки замените своими данными, а текст сверьте с юристом: это образец редакции, а не утверждённая форма.
Согласие на обработку персональных данных
Отправляя форму на сайте [адрес сайта], я даю согласие [ООО «Название», ИНН, адрес] (далее — оператор) на обработку моих персональных данных: имени, номера телефона, адреса электронной почты и текста сообщения.
Цель обработки: ответить на мою заявку, связаться со мной по ней и подготовить предложение по услуге, о которой я спросил.
Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение — с использованием средств автоматизации и без них.
Оператор может поручить обработку [наименование и адрес CRM-сервиса или подрядчика] и передать ему данные для этой цели. Другим третьим лицам данные не передаются.
Согласие действует [до достижения цели обработки, но не дольше одного года] с даты отправки формы. Я могу отозвать его, написав на [почта] или по адресу [почтовый адрес].
Политика обработки персональных данных оператора: [ссылка на политику].
Срок «не дольше одного года» в образце — условный пример, закон конкретного срока не задаёт. Поставьте свой, исходя из того, сколько вам нужны данные для этой цели.
Срок действия и отзыв согласия
Срок действия согласия оператор указывает сам: в письменном согласии закон требует назвать срок и способ отзыва (п. 8 ч. 4 ст. 9), но число не задаёт. Человек вправе отозвать согласие (ч. 2 ст. 9).
| Что пришло от человека | Что сделать и в какой срок |
|---|---|
| Отзыв согласия | Прекратить обработку и, если данные больше не нужны, уничтожить их — не позже 30 дней (ч. 5 ст. 21). Исключения — договор с человеком и другие основания |
| Требование прекратить обработку | 10 рабочих дней, продление — не больше чем на 5 рабочих дней с уведомлением (ч. 5.1 ст. 21) |
| Запрос «какие данные обо мне есть» | Ответить в течение 10 рабочих дней, продление — не больше 5 рабочих дней (ч. 1 ст. 20) |
| Отказ от рекламы | Прекратить немедленно (ч. 2 ст. 15 152-ФЗ, ч. 1 ст. 18 38-ФЗ) |
Удалять данные нужно везде, где они лежат: в CRM, почте, таблицах и сервисе рассылки. Если обработку ведёт исполнитель по поручению, закон обязывает оператора обеспечить уничтожение и у него (ч. 5 ст. 21).
Политика обработки персональных данных: где разместить
Политику и сведения о том, как оператор защищает данные, публикуют на страницах сайта, через которые идёт сбор данных, и дают к ним доступ (ч. 2 ст. 18.1). На практике это ссылка в подвале сайта и рядом с каждой формой.
Компания должна издать документы, где для каждой цели указаны категории и перечень данных, чьи это данные, способы и сроки обработки и хранения, порядок уничтожения (п. 2 ч. 1 ст. 18.1).
Политика на сайте — публичная часть этих документов.
Нет политики на сайте — отдельный штраф по ч. 3 ст. 13.11 КоАП: компании 30–60 тыс. ₽. Политика описывает правила оператора и не заменяет согласие посетителя.
Cookie и Яндекс Метрика: что требует закон
Отдельной статьи про cookie в 152-ФЗ нет. Действует общее определение: если по cookie, IP-адресу или идентификатору можно прямо или косвенно определить человека, это персональные данные (п. 1 ст. 3).
Вывод редакции: тогда для счётчиков и cookie нужны цель в политике и основание обработки. Баннер о cookie закон прямо не требует, но через него сайты берут и фиксируют согласие на аналитику и рекламу.
Фраза «продолжая пользоваться сайтом, вы соглашаетесь» спорна: согласие должно быть однозначным (ч. 1 ст. 9), а продолжение просмотра — не выбор.
Безопаснее поставить кнопки «Принять» и «Отказаться» и не запускать счётчики после отказа.
Если счётчик зарубежный, данные могут уходить за границу — об этом следующий раздел. Чем Метрика отличается от Google Analytics 4 и что они собирают о посетителях, мы разобрали в обзоре Яндекс Метрики и GA4.
Куда уходят данные из формы: CRM, почта, мессенджеры
Согласие у формы — только первый шаг. Дальше заявка уходит в почту, CRM, мессенджер или таблицу, и на каждом шаге у закона свои требования.
| Куда уходит заявка | Что требует закон | Норма |
|---|---|---|
| База, где лежат заявки: CRM, сервер сайта, таблица | При сборе данных граждан РФ записывать, накапливать и хранить их — в базах на территории России | ч. 5 ст. 18 |
| Подрядчик или сервис обрабатывает данные за вас | Поручение с согласия человека и договор с перечнем данных, действий и целей | ч. 3 ст. 6 |
| Зарубежный сервис: почта, CRM, таблицы, аналитика | При сборе записывать и хранить данные граждан РФ с использованием базы за рубежом нельзя. Передача уже собранных данных — трансграничная, по правилам ст. 12 | ч. 5 ст. 18, ст. 12 |
| Ошибка подрядчика | Перед посетителем отвечает оператор, подрядчик — перед оператором | ч. 5 ст. 6 |
У правила о базах в России есть исключения — случаи из п. 2, 3, 4 и 8 ч. 1 ст. 6: закон, суды, госуслуги, СМИ (ч. 5 ст. 18 152-ФЗ). К заявкам с сайта они обычно не относятся.
За невыполнение этой обязанности при сборе — отдельный штраф: компании 1–6 млн ₽, повторно 6–18 млн ₽ (ч. 8 и 9 ст. 13.11 КоАП). Это самые крупные суммы среди нарушений, не связанных с утечками.
Если собранные заявки потом уходят в зарубежный сервис, это уже трансграничная передача (ст. 12). До её начала оператор отдельно уведомляет Роскомнадзор (ч. 3) и получает от получателя сведения о защите данных (ч. 5).
В страны не из перечня Роскомнадзора передавать нельзя, пока не истёк срок на его решение (ч. 9 и 11), а передачу он может запретить или ограничить (ч. 7–8). Подходит ли ваш зарубежный сервис, разберите с юристом.
Отзывы, фото и кейсы клиентов: согласие на распространение
Если вы публикуете на сайте отзыв с именем и фото, историю клиента или фото сотрудников, данные становятся доступны неограниченному кругу лиц. На это нужно отдельное согласие на распространение (ст. 10.1 152-ФЗ).
- Оформляется отдельно от других согласий человека (ч. 1 ст. 10.1).
- Человек сам выбирает, какие данные можно публиковать, и может запретить передавать их дальше (ч. 1 и 9).
- Молчание или бездействие согласием на распространение не считается (ч. 8).
- Условия и запреты человека оператор публикует не позже трёх рабочих дней после получения согласия (ч. 10).
Согласие можно получить напрямую или через информационную систему Роскомнадзора (ч. 6 ст. 10.1). На портале персональных данных есть функция подготовки шаблона согласия на распространение.
Как устроить страницу отзывов, чтобы она помогала выбору, разобрано на примере клиник в статье о странице отзывов на сайте.
Уведомление Роскомнадзора: нужно ли владельцу сайта
Да, если данные обрабатываются с помощью средств автоматизации: оператор до начала обработки обязан уведомить Роскомнадзор (ч. 1 ст. 22). Форма на сайте и CRM — это автоматизация.
Без уведомления закон разрешает обработку в трёх случаях: в государственных системах безопасности, для транспортной безопасности и исключительно без средств автоматизации (ч. 2 ст. 22). Сайт с формами под них обычно не подходит.
Себя можно найти по ИНН в реестре операторов персональных данных на портале Роскомнадзора, там же подают уведомление.
С 30 мая 2025 года за неподанное или поданное с опозданием уведомление — отдельный штраф по ч. 10 ст. 13.11: компании 100–300 тыс. ₽, гражданину 5–10 тыс. ₽. ИП платит как компания (примечание 1 к ст. 13.11).
Какие штрафы грозят владельцу сайта
Штрафы за персональные данные собраны в ст. 13.11 КоАП, для сайта с формами главные — пять частей.
Суммы для компаний — по редакции на 24.10.2026, после изменений Федерального закона от 30.11.2024 № 420-ФЗ, действующих с 30 мая 2025 года.
| Нарушение | Часть ст. 13.11 | Штраф компании |
|---|---|---|
| Обработка без согласия и без другого основания | ч. 1; повторно — ч. 1.1 | 150–300 тыс. ₽; повторно 300–500 тыс. ₽ |
| Нет письменного согласия, где закон требует именно его, или в нём не хватает обязательных сведений | ч. 2; повторно — ч. 2.1 | 300–700 тыс. ₽; повторно 1–1,5 млн ₽ |
| Политика не опубликована на сайте | ч. 3 | 30–60 тыс. ₽ |
| Не подано уведомление в Роскомнадзор | ч. 10 | 100–300 тыс. ₽ |
| При сборе данные граждан РФ записаны и хранятся не в базе в России (локализация) | ч. 8; повторно — ч. 9 | 1–6 млн ₽; повторно 6–18 млн ₽ |
Сумму 300–700 тыс. ₽ часто приводят как штраф за любую форму без галочки. По тексту ч. 2 она касается письменного согласия — там, где закон требует именно его. Форма заявки без согласия по тексту ближе к ч. 1.
Владелец сайта — гражданин платит меньше: по ч. 1 и ч. 2 — 10–15 тыс. ₽, по ч. 3 — 1,5–3 тыс. ₽.
Для ИП статья называет свои суммы в ч. 2.1 — 500 тыс. – 1 млн ₽ и в ч. 3 — 10–20 тыс. ₽, а по ч. 1.1 и ч. 8–18 ИП отвечает как компания. В ч. 1 и ч. 2 ИП отдельно не названы — уточните у юриста.
Утечки данных — отдельные ч. 11–18: компании до 20 млн ₽, за повторную утечку — 1–3% выручки. Это тема защиты данных, а не оформления формы. Таблица — ориентир по тексту КоАП, свой случай покажите юристу.
FAQ: согласие на обработку персональных данных на сайте
Где взять бланк согласия на обработку персональных данных — скачать готовый?
Обязательной формы согласия для сайта закон не устанавливает. Образец согласия на обработку персональных данных скачать отдельно не нужно: он есть в разделе выше — замените данные в скобках.
Сверьте текст с полями формы и целями.
Нужна ли галочка, если на сайте уже есть политика конфиденциальности?
Политика и согласие — разные документы. Политику публикует оператор, согласие даёт посетитель, и политика сама по себе основанием для обработки не становится. Если основание формы — согласие, отметка о нём нужна.
Можно ли обойтись фразой «нажимая кнопку, вы соглашаетесь»?
Прямого запрета в законе нет, но доказать по такой фразе конкретное согласие и явный выбор человека сложнее, чем по отдельному чекбоксу. С 1 сентября 2025 года согласие ещё и должно быть отделено от других документов.
Касается ли это ИП и самозанятых?
Да. Оператором может быть и компания, и физическое лицо (п. 2 ст. 3 152-ФЗ). Политика у форм и уведомление Роскомнадзора при автоматизированной обработке нужны и ИП, и самозанятому.
Согласие — там, где основание формы именно оно, а не договор с человеком. Внутренние документы по п. 2 ч. 1 ст. 18.1 закон требует от компаний, суммы штрафов — в разделе о штрафах.
Человек не хочет ставить галочку, но хочет оформить заказ. Что делать?
Если данные нужны для договора, который человек сам заключает, обработка возможна без согласия (п. 5 ч. 1 ст. 6). Тогда отметку для заказа можно сделать необязательной, а согласие оставить для рассылки.
Решите это с юристом до правки формы.
Нужно ли заново собирать согласия после 1 сентября 2025 года?
В 156-ФЗ нет правила о согласиях, полученных раньше. Новые заявки собирайте по новым правилам. Что делать со старой базой, решите с юристом, а рекламу по ней без доказуемого согласия не отправляйте.
Проверьте свой сайт: пять проверок в браузере
Для этих проверок не нужен доступ к админке — только браузер и список форм из раздела выше.
- Откройте каждую форму, включая всплывающие окна, квиз и чат: рядом есть ссылка на политику. Если основание формы — согласие, у неё отдельная неотмеченная галочка и ссылка на текст согласия.
- Пройдите по ссылкам на согласие и политику: документы открываются, в политике есть цели и перечень данных, а согласие не спрятано в оферту.
- Найдите подписку на рассылку: согласие на рекламу должно стоять отдельным необязательным чекбоксом.
- Откройте сайт в окне инкогнито: есть ли выбор по cookie и нет ли формулировки «продолжая пользоваться сайтом».
- Найдите свою компанию по ИНН в реестре операторов Роскомнадзора.
Часть этих проверок можно сделать автоматически: наша бесплатная проверка юридических рисков сайта открывает указанную страницу и смотрит найденные на ней формы, cookie, счётчики и ссылки на документы.
Остальные страницы и формы из списка, чаты во встроенных окнах и закрытые разделы проверьте вручную.
Снаружи не видно, где лежат заявки, какие договоры с подрядчиками и есть ли внутренние документы. Это проверяют вместе с юристом.
