Согласие на обработку персональных данных на сайте: проверили 139 сайтов, ошибки у каждого второго с формой

Согласие на обработку персональных данных на сайте - это подтверждение посетителя, что он разрешает вам обрабатывать имя, телефон или почту, которые он оставил в форме заявки. С 1 сентября 2025 года закон требует оформлять его отдельно от политики конфиденциальности, пользовательского соглашения и других документов, а не прятать в общей фразе у кнопки.

Кроме согласия, владелец сайта обязан опубликовать политику обработки данных на страницах, где идёт сбор, заранее уведомить Роскомнадзор и записывать данные в базы на территории России.

Полная версия с таблицей штрафов и ответами на частые вопросы лежит у нас в блоге: saitpodklyuch.ru.

Коротко: проверьте свою форму за пять минут

Это можно сделать прямо сейчас с телефона. Юрист для первой проверки не нужен, достаточно открыть свой сайт и прочитать мелкий шрифт под кнопкой.

1. Пройдите по всем формам сайта: заявка, обратный звонок, квиз, всплывающее окно, форма в подвале. Проверять нужно каждую, а не только ту, что на главной.
2. Найдите рядом с кнопкой согласие на обработку персональных данных. Оно должно стоять отдельной строкой, а не внутри фразы «принимаю политику и условия».
3. Посмотрите на галочку до того, как что-то нажали. Если она уже стоит, её поставил сайт, а не посетитель, и это первое, что стоит исправить.
4. Откройте ссылку на политику обработки персональных данных. В ней должны быть ваше название и ваши цели, а не шаблон с пустыми реквизитами.
5. Проверьте, подавали ли вы уведомление в Роскомнадзор. Операторы персональных данных внесены в открытый реестр на сайте ведомства.
6. Узнайте, куда уходит заявка после отправки: почта, таблица, CRM, чат-бот. Если сервис зарубежный, это отдельный и дорогой вопрос.

Если что-то не сходится, паниковать не нужно, но разобраться лучше до проверки, а не после неё. Ниже объясняем, что можно поправить самому.

Что поменялось с 1 сентября 2025 года

Главное изменение уместилось в одно предложение статьи 9 закона о персональных данных. В редакции закона от 24 июня 2025 года № 156-ФЗ согласие должно быть оформлено так:

«отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных».

Субъект здесь - ваш посетитель, который оставляет телефон.

Под удар попадает самая популярная подпись под кнопкой: «Нажимая кнопку, я соглашаюсь с политикой конфиденциальности, пользовательским соглашением и даю согласие на обработку персональных данных». Три документа в одном клике больше не выглядят безопасно, потому что согласие теперь должно стоять отдельно от всего остального.

В той же статье перечислено, каким должно быть само согласие: «конкретным, предметным, информированным, сознательным и однозначным». Галочка, которую за человека поставил сайт, со словами «сознательным и однозначным» сочетается плохо. А фраза «принимаю политику конфиденциальности» вообще про другое: человек подтвердил, что видел документ, а не разрешил вам что-то делать с его телефоном.

Есть деталь, которую обычно пропускают. По части 3 той же статьи доказывать, что согласие было получено, обязан оператор, то есть вы. Не посетитель доказывает, что не соглашался, а вы доказываете, что он согласился, поэтому важна не только галочка, но и то, где сохраняется факт её нажатия.

Справедливости ради, согласие не единственное основание. Закон разрешает обрабатывать данные и без него, например, если это нужно для заключения договора по инициативе самого человека. Но наличие такого основания по той же части 3 тоже доказывает оператор, и какое основание подходит именно вашей форме, по шаблону из интернета не решить.

Мы проверили 139 сайтов: что стоит под кнопкой «Отправить»

Чтобы не пересказывать закон, мы посмотрели, как это выглядит на живых сайтах. 23 сентября 2026 года наш скрипт обошёл 166 сайтов компаний из открытых карт в четырёх городах Подмосковья: Одинцово, Химки, Подольск и Красногорск. В выборке клиники, стоматологии, салоны, фитнес-клубы, автосервисы и юристы, среди них есть и филиалы федеральных сетей. Открылись 139 сайтов.

Смотрели только главную страницу и только то, что видно в коде сразу. Формы, которые подгружаются скриптом, в выборку не попали, внутренние страницы тоже. Форма с полем для телефона нашлась на 72 сайтах, всего таких форм 265.

Итог по сайтам с формой: у 39 из 72 есть хотя бы одна из трёх проблем. Либо в форме с телефоном ни слова о персональных данных, либо галочка согласия уже стоит, либо на главной нет ссылки на политику. Полностью чистых сайтов 33.

1. 14 сайтов из 72 ставят галочку согласия за посетителя. По формам это 65 из 265: человек ещё ничего не прочитал, а согласие уже «дано».
2. На 24 сайтах хотя бы в одной форме с телефоном нет слов о персональных данных, а на 17 их нет ни в одной форме вообще.
3. На 11 сайтах на главной нет ссылки на политику, хотя закон требует публиковать её на страницах, через которые собирают данные.
4. Ещё на 22 сайтах ни в одной такой форме нет галочки вообще. Закон галочку как таковую не требует, но доказать согласие без неё сложнее.

Несколько подписей, которые стоят под кнопками прямо сейчас, названия компаний не приводим:

«нажимая на кнопку, я принимаю условия соглашения» (с уже поставленной галочкой)«я принимаю правила и условия и политику конфиденциальности»«нажимая кнопку «отправить», вы принимаете политику конфиденциальности»

Отдельного согласия на обработку данных нет ни в одной из них.

Сколько стоит ошибка: штрафы без страшилок

Наш скрипт видит только форму. Подано ли уведомление в Роскомнадзор и куда уходят заявки, снаружи не понять, а штрафы как раз там самые крупные. Суммы ниже взяты из статьи 13.11 КоАП, текст мы сверили по двум независимым публикациям кодекса.

Размер зависит от того, кто нарушил: гражданин, должностное лицо вроде директора или компания. Мы приводим цифры для компаний, а для ИП там, где кодекс прямо приравнивает их к компаниям.

1. Политика не опубликована на сайте (часть 3): ИП от 10 000 до 20 000 рублей, компания от 30 000 до 60 000 рублей.
2. Данные обрабатываются без законного основания, например без согласия (часть 1): компания от 150 000 до 300 000 рублей, директор от 50 000 до 100 000. Повторно компания платит от 300 000 до 500 000.
3. Не подано уведомление в Роскомнадзор (часть 10): компания и ИП от 100 000 до 300 000 рублей.
4. При сборе данные записываются в базы за пределами России (часть 8): компания и ИП от 1 до 6 миллионов рублей, повторно от 6 до 18 миллионов.
5. Утечка данных от 1 000 до 10 000 человек (часть 12): компания и ИП от 3 до 5 миллионов рублей. Если о ней не сообщили в Роскомнадзор, это ещё и часть 11, от 1 до 3 миллионов.

Отдельно про 700 000 рублей, которые часто пишут про любую форму без галочки. Это часть 2, и она про случаи, когда закон требует согласия в письменной форме, с паспортными данными и подписью. Обычная форма заявки ближе к части 1, где суммы ниже, но тоже ощутимые.

Что поправить самому, а где нужен специалист

Часть работы действительно занимает вечер. Снять предустановленную галочку, вынести согласие отдельной строкой, поставить ссылку на политику рядом с каждой формой - это правки в самом сайте, и толковый подрядчик сделает их быстро. Если сайт принимали по акту, эту проверку стоит добавить в список из нашей статьи про приёмку сайта.

Дальше начинается то, что по шаблону не делается. Согласие по закону «конкретное» и «предметное», а шаблон, скачанный с чужого сайта, описывает чужой бизнес. Если в нём написано про передачу данных партнёрам, которых у вас нет, и ничего про CRM, которая у вас есть, такой документ вас плохо защищает.

Уведомление в Роскомнадзор тоже не формальность на пять минут. По статье 22 в нём указывают цели обработки, меры защиты, ответственного и место, где находится база с данными. Ошибиться проще, чем кажется, особенно если вы сами не знаете, где физически лежат ваши заявки.

Отсюда вопрос про заявки. Сайт мог отправлять их на почту, в таблицу, в CRM или в мессенджер, а подрядчик, который это настраивал, давно занят другим. Часть 5 статьи 18 в редакции от 28 февраля 2025 года при сборе данных не допускает их запись и хранение в базах за пределами России, исключения там узкие.

Как проследить путь заявки, мы разбирали в статье о том, откуда на самом деле приходят заявки, а на кого оформлены сервисы сайта, в материале о том, кому принадлежит сайт после оплаты. Оба вопроса напрямую касаются того, кто здесь оператор и где хранятся данные.

Если сайт делаем мы, форму с отдельным согласием, пустой галочкой и ссылкой на политику закладываем сразу, а куда пойдут заявки, обсуждаем до запуска. Тексты политики и согласия под ваш бизнес лучше доверить юристу, мы подскажем, что ему передать. Сайт под ключ у нас от 70 000 рублей, лендинг от 30 000 рублей, срок 7-14 дней.

Частые вопросы

Можно ли поставить галочку согласия заранее, чтобы клиенту было удобнее?

Мы бы не стали. Закон требует, чтобы согласие было сознательным и однозначным, а галочку, которая стоит по умолчанию, поставил сайт, а не человек. В нашей выборке так делают 14 сайтов из 72 с формой заявки, и это самая простая правка из всех: убрать одно значение в коде формы.

Можно ли объединить согласие и политику конфиденциальности в одну галочку?

С 1 сентября 2025 года это рискованно. В статье 9 закона о персональных данных теперь прямо сказано, что согласие оформляется отдельно от иной информации и документов, которые подтверждает человек. Фраза «принимаю политику, условия и даю согласие» в одном клике как раз склеивает их вместе, надёжнее вынести согласие отдельной строкой.

Правда ли, что за первое нарушение дают только предупреждение?

Не всегда. Статья 4.1.1 КоАП позволяет заменить штраф предупреждением, если нарушение совершено впервые, выявлено в ходе государственного контроля и соблюдены условия части 2 статьи 3.4 кодекса. Решает это тот, кто рассматривает дело, а не владелец сайта, и строить на этом план не стоит: поправить форму проще, чем надеяться на снисхождение.

Остальные вопросы, включая уведомление Роскомнадзора для сайта с одной формой, разобраны в полной версии: «Согласие на обработку персональных данных на сайте» на saitpodklyuch.ru.

👉 Хотите, чтобы форма на вашем сайте была сделана правильно с первого дня? Сайт под ключ за 7-14 дней: saitpodklyuch.ru