Галочка согласия по умолчанию: с чего Роскомнадзор проверяет сайт

Роскомнадзор редко сканирует сайт целиком: проверка почти всегда стартует с жалобы пользователя и запроса трёх документов — политики обработки персональных данных, формы согласия и списка целей сбора данных. Чаще всего первый вопрос инспектора касается чекбокса согласия, отмеченного по умолчанию: именно с него начинается почти каждое предписание.

🔍 Жалоба, с которой чаще всего начинается проверка

Типичная история выглядит так. Интернет-магазин автозапчастей в Москве держит на сайте форму «заказать звонок»: имя, телефон, кнопка отправить — и чекбокс согласия на обработку персональных данных, отмеченный галочкой заранее, чтобы не отпугивать клиента лишним кликом. Разработчики форм годами ставили галочку заранее, потому что конверсия заявок росла на пару процентов — но именно эта экономия на клике и создаёт риск. Покупатель оставляет заявку на стартер, через восемь дней получает три SMS с акциями на шиномонтаж, которых не заказывал. В магазин он не звонит — жалуется через приёмную Роскомнадзора на сайте rkn.gov.ru, указав адрес страницы и дату обращения.

Для магазина жалоба анонимна: приходит официальное письмо с формулировкой «нарушение при получении согласия на обработку персональных данных на сайте», без имени заявителя. Разбирательство начинается не с осмотра всего сайта и не с внеплановой выездной проверки, а с конкретного запроса документов по одному эпизоду. Разница между «сайт целиком под подозрением» и «одна форма под вопросом» определяет, сколько времени и денег уйдёт на закрытие истории.

📋 Три документа, которые запрашивают первыми

В письме пункты идут по порядку, и порядок не случаен. Сначала — действующая политика обработки персональных данных, размещённая по прямой ссылке, доступной с той же страницы, где стоит форма, а не спрятанная в архиве или в подвале сайта тремя переходами. Затем — скриншот или лог формы согласия на момент обращения заявителя: как выглядел чекбокс, был ли он предзаполнен, что написано в тексте под ним. Третий пункт — подтверждение, кому дальше передаются данные: сервису SMS-рассылок, CRM, системе аналитики. Если операторов несколько, а в политике указан один — это отдельное основание для предписания, даже если сам чекбокс оформлен правильно.

Требование опирается на статью 9 152-ФЗ: согласие на обработку персональных данных должно быть конкретным, информированным и сознательным действием субъекта. Чекбокс, отмеченный за пользователя разработчиком формы, юридически не согласие, а его имитация — и с этой формулировки инспектор обычно начинает диалог.

Что не спрашивают в первом письме

Реестр операторов персональных данных, факт трансграничной передачи и защиту сервера, на котором хранится база клиентов, инспектор поднимает позже — если первые три документа не сняли вопрос или магазин не уложился в срок ответа. На старте проверяющего интересует конкретный эпизод: форма, через которую подавал заявку заявитель, а не вся инфраструктура сайта. Плановая проверка Роскомнадзора устроена иначе — компанию включают в план по критериям риска и предупреждают заранее, а список документов там шире. Жалоба работает быстрее и точечнее: инспектор реагирует на конкретный факт, а не на общую картину соответствия сайта закону. Проверить это заранее проще, чем ждать письма от инспектора — это как раз то, что входит в аудит сайта по 9 направлениям.

⚖️ Три способа оформить чекбокс согласия — и как их читает инспектор

Разница между предупреждением и штрафом часто укладывается в одну деталь реализации формы — кто и когда ставит галочку.

Магазин из примера использовал первый вариант — самый частый на сайтах, которые собирали формы ещё до 2021 года и с тех пор не пересматривали. Проблема не в злом умысле, а в том, что форму один раз сделали и забыли: чекбокс работал, заявки приходили, и никто не сверял его с текстом закона. Отдельный нюанс: согласие на рекламную SMS-рассылку регулируется не только 152-ФЗ, но и статьёй 18 закона «О рекламе» — она отдельно требует предварительного согласия абонента на получение рекламы по сети электросвязи. Объединять оба согласия в одном чекбоксе рискованно вдвойне: нарушение фиксируется сразу по двум законам.

🛠 Как магазин закрывал предписание: разбор по шагам

Срок на ответ в запросе был указан прямо — 10 рабочих дней с момента получения письма. Магазин уложился, и вот как выглядела работа изнутри.

1. ✓День 1. Получили запрос, прочитали список из трёх пунктов и поняли, что предписание касается конкретно формы «заказать звонок» и рассылки SMS, а не всего сайта — это сузило объём работы с «переделать всё» до «исправить одну форму и один документ».
2. ✓День 2–3. Сняли предзаполненную галочку, разделили согласие на два отдельных чекбокса: один — на обработку данных для обработки заявки, второй — на получение рекламных SMS и email. Переписали текст под чекбоксами так, чтобы цель обработки была видна без перехода по ссылке.
3. ✓День 4. Обновили политику обработки персональных данных: добавили в список операторов, которым передаются данные, сервис SMS-рассылок и систему аналитики, которые раньше в документе не упоминались.
4. ✓День 6. Собрали скриншоты формы «до» и «после», выгрузили лог изменений на сервере и подготовили сопроводительное письмо с описанием исправлений.
5. ✓День 9. Отправили ответ на запрос с приложенными доказательствами — за день до истечения десятидневного срока.
6. ✓День 30. Пришло письмо о том, что нарушение устранено, дело закрыто без штрафа: закон допускает такой исход, если оператор исправляет нарушение до истечения срока, указанного в предписании.

Техническую часть — разделение чекбоксов, переписанные тексты согласия, логирование изменений — магазин заказал у подрядчика. Такая точечная правка обычно укладывается в два-три часа работы разработчика или системного администратора; у нас подобные разовые работы и последующее сопровождение сайта стоят от 3800 рублей в час.

💸 Цена бездействия: во что обходится галочка по умолчанию

Если бы магазин не ответил в срок или не устранил нарушение, штраф по статье 13.11 КоАП РФ для юридического лица составил бы от 60 000 до 100 000 рублей за один эпизод, а при повторном нарушении сумма растёт кратно. Но сам штраф — не главная статья потерь.

Пока форма остаётся в прежнем виде, каждая новая заявка через неё — не источник продаж, а потенциальный повод для новой жалобы: обращения от разных пользователей не объединяются в одно дело, каждое открывает отдельную проверку с собственным сроком ответа. У магазина из примера форма «заказать звонок» получала около 40 заявок в день, то есть риск копился ежедневно, а не разово в момент первой жалобы. Отдельная статья расходов — время: юрист или ответственный сотрудник тратит часы на подготовку ответа, сбор логов и переписку с надзорным органом, и это время выпадает из обычных задач компании на всё время проверки. Есть и репутационная часть: жалобщик почти всегда после разбирательства оставляет отзыв о компании там, где его увидят другие клиенты, и связывает его с историей про навязчивые SMS, а не с качеством товара. Индексируется такой отзыв в поисковике вместе с названием компании, и увидеть его может любой будущий клиент, который проверяет магазин перед покупкой.

✅ Как проверить свои формы, не дожидаясь жалобы

Проверка занимает три шага на каждую форму сайта, где собираются телефон, email или имя. Первое — чекбокс согласия пуст по умолчанию и требует осознанного клика. Второе — текст под чекбоксом описывает конкретную цель обработки, а не общую фразу «согласен с условиями сайта». Третье — ссылка на политику конфиденциальности ведёт на актуальную страницу, а не на документ, который в последний раз правили несколько лет назад и не обновляли под текущий список сервисов рассылок и аналитики.

Что чаще всего упускают при самостоятельной проверке

Отдельная форма подписки в подвале сайта, форма обратного звонка во всплывающем окне, форма в мобильной версии, которая визуально отличается от десктопной, и форма в личном кабинете — на сайтах с историей в пять и более лет таких мест обычно набирается больше, чем кажется на первый взгляд, и упустить одну из них легко.

Если форм на сайте больше пяти, ручная проверка занимает день или два и требует внимательности юриста и одновременно разработчика, который понимает, как форма технически передаёт данные дальше. Мы закрываем эту задачу как часть аудита сайта по 9 направлениям: проверяем каждую форму сбора данных, политику конфиденциальности и то, куда фактически уходят данные — не только с точки зрения 152-ФЗ, но и технически, включая передачу третьим сервисам. Разумная частота повторной проверки — раз в год или после смены сервиса рассылок и аналитики, потому что именно смена подрядчика чаще всего меняет список получателей данных, а политику никто не обновляет вслед за этим. После такой проверки магазин из примера обновил чекбоксы не только на форме «заказать звонок», но и на форме регистрации в личном кабинете — потому что жалоба показала: если ошибка есть в одном месте сайта, вероятность найти её и в другом почти всегда высокая. Стоимость и сроки такой проверки — на странице тарифов.

❓ Частые вопросы

Какой документ Роскомнадзор запрашивает первым при проверке сайта?

Обычно запрашивают три документа сразу: политику обработки персональных данных с прямой ссылкой на сайте, скриншот или лог формы согласия на момент обращения заявителя и подтверждение, кому передаются данные дальше — сервисам рассылок, CRM, аналитике.

Чем опасен чекбокс согласия, отмеченный по умолчанию?

Такой чекбокс не считается осознанным согласием по статье 9 152-ФЗ, потому что решение за пользователя принял разработчик формы. Это самое частое основание для предписания и повод для жалобы, если следом приходит незапрошенная рассылка.

Сколько времени есть на исправление нарушения после запроса Роскомнадзора?

Срок указывается в самом запросе и обычно составляет 10 рабочих дней. Если устранить нарушение и предоставить доказательства до истечения срока, дело закрывают без штрафа.

Какой штраф грозит за форму согласия без учёта 152-ФЗ?

По статье 13.11 КоАП РФ для юрлица штраф составляет от 60 000 до 100 000 рублей за один эпизод, при повторном нарушении сумма увеличивается кратно.

Как проверить все формы на сайте на соответствие 152-ФЗ самостоятельно?

Пройти по каждой форме, где собираются телефон, email или имя, и проверить три вещи: чекбокс пуст по умолчанию, текст согласия описывает конкретную цель, а ссылка на политику ведёт на актуальную страницу. На сайте с историей в несколько лет проще заказать аудит, чтобы не пропустить скрытые формы.