Один чекбокс на согласие: как форма заявки нарушает два закона

Согласие на обработку персональных данных и согласие на рассылку — два разных документа с разными целями: первое разрешает обработать контакты для конкретной услуги, второе — присылать рекламу и новости. Единый чекбокс «согласен с политикой» на форме заявки нарушает сразу 152-ФЗ и закон о рекламе, даже если политика конфиденциальности на сайте есть и юрист её читал.

история одной жалобы: как один чекбокс на сайте обернулся предписанием РКН

Мебельная компания в Москве работает с офисами: 40-60 заявок в месяц с формы «заказать замер» на сайте. Форма короткая — телефон, имя, один чекбокс «согласен на обработку персональных данных», обязательный, без него кнопка отправки неактивна. С виду всё настроено правильно: согласие есть, ссылка на политику конфиденциальности в подвале сайта есть, галочка обязательная, юрист при последнем аудите претензий не высказал.

Но каждая заявка автоматически попадает в CRM и оттуда — в сегмент «новые лиды» сервиса email-рассылок. Раз в неделю сегмент получает письмо с акциями и новинками каталога — так настроил маркетолог полгода назад, чтобы не терять контакт с теми, кто не купил сразу. Для отдела маркетинга это стандартная воронка подогрева. Для человека, который просто хотел узнать цену на замер переговорной, — незапрошенная реклама, о которой он не просил.

Один из заявителей сделку не заключил, а через три недели получил письмо «скидка 20% на переговорные комнаты». Он не подписывался на рассылку — соглашался только на обработку контактов для расчёта заказа, и то один раз. Пожаловался на спам через форму отписки сервиса рассылок, оттуда жалоба дошла до Роскомнадзора уже с формулировкой «рассылка рекламы без согласия».

Проверка запросила отдельное согласие на рассылку по этому адресу — выяснилось, что его нет: есть только общая формулировка про обработку персональных данных, где рассылка как отдельная цель не указана вовсе. Оператор связи, через которого шла рассылка, к этому моменту уже зафиксировал жалобу в собственной статистике по домену — это отдельный след, который остаётся, даже если разбирательство с РКН как-то уладится полюбовно. Компании выдали предписание переделать форму и подтвердить согласия по всей действующей базе подписчиков. Дополнительно пришлось объясняться перед ФАС — закон «О рекламе» требует отдельного предварительного согласия на получение рекламных рассылок, и общая галочка про персональные данные его не заменяет, сколько бы юристов её ни утверждало.

почему это два разных документа, а не один пункт в подвале сайта

152-ФЗ в статье 9 требует, чтобы согласие на обработку персональных данных было конкретным, информированным и предметным — оператор обязан отдельно перечислить цели обработки, а рассылка рекламы — это отдельная цель, а не часть «обработки заявки». Смешивать её с согласием на обработку контактов для оказания услуги — значит получать согласие на цель, которую пользователь не выбирал и о которой его прямо не спросили.

Закон «О рекламе» добавляет вторую планку, независимую от 152-ФЗ: рассылка по email или SMS — это реклама, распространяемая по сетям электросвязи, и статья 18 закона разрешает её только при предварительном согласии адресата, которое можно отозвать в любой момент без объяснения причин. Согласие на рассылку должно быть получено именно на рассылку, а не выведено логически из общей формулировки про обработку персональных данных — эти два закона проверяются разными органами и не признают согласие друг друга взаимозаменяемым.

Отсюда и практическое следствие: нельзя обусловить отправку заявки согласием на рассылку. Услуга — расчёт стоимости, обратный звонок, консультация — не может требовать от клиента согласия на цель, которая к этой услуге не относится. Именно так чаще всего и выглядит нарушение: не в тексте политики конфиденциальности, а в логике формы.

Частая ошибка на этом этапе — считать, что ссылки на политику конфиденциальности в подвале сайта достаточно, раз пользователь технически мог её открыть перед отправкой формы. Политика описывает, как компания вообще обращается с данными, а не согласие конкретного человека на конкретную цель здесь и сейчас. Кто-то должен явно поставить галочку под текстом «согласен получать рассылку», а не молча пролистать документ, ссылку на который в реальности открывают единицы.

во сколько обходится один чекбокс на двоих

Раздельные согласия выглядят формальностью ровно до первой жалобы. Дальше в дело идёт статья 13.11 КоАП РФ за нарушения при обработке персональных данных и предписание Роскомнадзора устранить нарушение в указанный срок — а это уже не спокойная доработка по плану, а срочная переделка формы под давлением проверки, юридическая переписка и объяснительные, которые отвлекают и юриста, и разработчика от текущих задач.

Параллельно жалоба на спам бьёт по email-репутации домена: сервисы рассылок и почтовые провайдеры снижают доставляемость при росте жалоб получателей, и следующие письма — уже не только рекламные, но и транзакционные, счета, подтверждения заказов, уведомления о статусе заявки — начинают попадать в спам у всех получателей подряд, включая тех, кто действительно ждёт письмо от компании. Восстановление репутации домена занимает недели, а не часы, и всё это время часть переписки с реальными клиентами просто не доходит.

Есть и обратная крайность, которая тоже стоит денег: испугавшись предписания, компания иногда просто выключает всю рассылку целиком, включая тех, кто согласие давал добровольно и осознанно. Так теряется канал, который годами приносил повторные продажи, — вместо того чтобы навести порядок в двух документах, бизнес жертвует рабочим каналом связи с клиентами.

По времени переделка формы после предписания и та же переделка в спокойном режиме отличаются не составом работ, а сроками: юристу нужно полчаса на две формулировки, разработчику — один спринт на второе поле и правку записи в CRM. Разница в том, что предписание задаёт срок устранения, а не компания сама, и параллельно с доработкой формы приходится готовить ответ регулятору и объяснять, почему согласия не было раньше.

один чекбокс против двух: что меняется при разделении согласий

Разница видна не только юристу — она сказывается на конверсии формы, на риске при проверке и на том, что вообще можно предъявить регулятору по конкретному адресату.

Из таблицы видно, что раздельные согласия не увеличивают риск для конверсии — они требуют одной дополнительной строки текста, а не отдельной страницы или второй формы.

как развести два согласия на сайте без потери заявок

Разделение не требует переписывать сайт заново — обычно хватает одного спринта разработки и получаса юриста на формулировки.

1. ✓Оставить на форме заявки один обязательный чекбокс — только на обработку данных, нужных для оказания услуги: перезвонить, рассчитать стоимость, доставить заказ. Без него заявка действительно не может быть обработана, поэтому обязательность здесь оправдана.
2. ✓Добавить второй чекбокс отдельно — на получение рассылки, по умолчанию не отмеченный, с коротким текстом о том, что именно будет приходить и как часто. Предзаполненная галочка юридически равна её отсутствию — согласие должно быть активным действием пользователя.
3. ✓В CRM хранить дату и факт согласия по каждому полю отдельно, а не одной общей отметкой на карточке лида — иначе при проверке предъявить нечего даже там, где согласие фактически было получено.
4. ✓В каждом письме рассылки оставлять рабочую ссылку отписки, которая снимает только согласие на рассылку и не удаляет контакт из базы заявок — иначе отдел продаж теряет историю обращения вместе с отпиской от рекламы.
5. ✓Провести разовую сверку текущей базы контактов: если рассылка уходит на адреса, где отдельного согласия на неё нет, приостановить именно этот сегмент до получения согласия, а не рассылку целиком.

где это всплывает раньше, чем доходит до жалобы

Форма с одним чекбоксом на все случаи — одна из типовых находок при разборе сайта на соответствие законодательству: она не видна в аналитике и не влияет на скорость загрузки страницы, поэтому её пропускают в обычных технических проверках, которые смотрят на скорость и битые ссылки. В аудите сайта по 9 направлениям раздел юридического соответствия разбирает форму заявки отдельно от остального контента — какие поля собирают данные, куда фактически уходит согласие после отправки и совпадает ли текст чекбокса с тем, как контакт используется в CRM и рассылках. Отдельно проверяется, не осталось ли в базе адресов, которые попали в рассылку до появления второго чекбокса, — такие сегменты требуют либо повторного запроса согласия, либо исключения из рассылки.

Стоимость и состав тарифов на аудит — на странице цены и тарифы; для формы с одним чекбоксом на две цели правка обычно укладывается в рамки одного спринта разработки, без остановки приёма заявок на время доработки и без переписывания сайта с нуля.

❓ Частые вопросы

Можно ли использовать один чекбокс на форме заявки для согласия на обработку данных и на рассылку одновременно?

Нет. 152-ФЗ требует отдельного согласия на каждую цель обработки, а закон «О рекламе» — отдельного предварительного согласия именно на рассылку. Один чекбокс на обе цели сразу нарушает оба закона, даже если политика конфиденциальности на сайте оформлена корректно и ссылка на неё стоит рядом с формой.

Что грозит компании, если заявки с сайта автоматически попадают в рассылку без отдельного согласия на неё?

Жалоба клиента может дойти до Роскомнадзора и ФАС — компанию ждёт предписание устранить нарушение по статье 13.11 КоАП РФ и объяснительная по закону «О рекламе». Параллельно жалобы на спам снижают доставляемость почтового домена для всех писем, включая счета и подтверждения заказов клиентам.

Нужно ли делать чекбокс согласия на рассылку обязательным, как и согласие на обработку данных?

Нет, наоборот. Чекбокс на рассылку должен быть по умолчанию не отмечен и не обязателен для отправки заявки — форма обрабатывается и без него. Обязательным остаётся только согласие на обработку данных, необходимых для самой услуги: расчёт стоимости, обратный звонок, доставка заказа.

Что делать с контактами, которые уже получают рассылку без отдельного согласия на неё?

Провести разовую сверку базы: сегменты без отдельного согласия на рассылку либо исключить из рассылки полностью, либо запросить согласие повторно с явной формулировкой цели. Заявки этих контактов при этом продолжают обрабатываться в штатном режиме — отзыв согласия на рассылку не отменяет обработку заявки.

Сколько времени обычно занимает доработка формы для разделения двух согласий?

Обычно один спринт разработки: добавить второе поле на форме, изменить запись согласия в CRM и добавить отдельную ссылку отписки в письма рассылки. Юристу требуется около получаса, чтобы сформулировать два отдельных текста вместо одной общей формулировки про обработку данных.