Текст согласия на обработку персональных данных на сайте: как составить

Согласие на обработку персональных данных — отдельный юридический текст, который сайт получает от пользователя до отправки любой формы: заявки, звонка, подписки. По 152-ФЗ он обязан содержать данные оператора, цель обработки, перечень действий и срок хранения, а чекбокс должен оставаться пустым — галочка по умолчанию делает согласие недействительным.

что обязательно должно быть в тексте согласия по 152-ФЗ

Согласие на обработку персональных данных — не формальность для отчётности, а документ, который защищает компанию при проверке Роскомнадзора или при жалобе клиента. 152-ФЗ «О персональных данных» в статье 9 задаёт конкретный список обязательных пунктов, и если хотя бы один отсутствует, согласие юридически не действует — даже если пользователь поставил галочку сам.

• ✓полное наименование и адрес оператора — юрлица или ИП, который собирает данные через сайт
• ✓цель обработки, сформулированная конкретно: не «в маркетинговых целях», а, например, «обработка заявки на аренду сервера»
• ✓перечень персональных данных, которые собирает форма — имя, телефон, email, название компании
• ✓перечень действий с данными: сбор, хранение, передача подрядчикам — например, в CRM или сервис email-рассылок
• ✓срок действия согласия и порядок его отзыва пользователем
• ✓способ фиксации согласия — что именно подтверждает факт согласия и когда он получен

какие данные закон считает персональными

На сайтах малого и среднего бизнеса чаще всего собирают имя, телефон, email и название компании — этого уже достаточно, чтобы данные подпадали под 152-ФЗ. Формально персональными считаются любые сведения, которые прямо или косвенно относятся к конкретному человеку, включая данные представителя компании-клиента в B2B-заявке.

почему на сайте возникает ошибка в тексте согласия

У компании, которая сдаёт в аренду офисную технику в Москве, форма заявки стоит на сайте три года и приносит по 15-20 обращений в день. Чекбокс «согласен с обработкой персональных данных» отмечен галочкой по умолчанию — так сделал подрядчик при запуске сайта, решив, что пустая форма отпугивает часть посетителей. Но предустановленная галочка и есть нарушение: закон требует явного действия пользователя, а не согласия, которое стоит без его участия.

При проверке — по жалобе клиента, конкурента или при плановой проверке Роскомнадзора — оператору нужно доказать, что согласие получено правильно. А текст на этом сайте достался в наследство от старого шаблона: в нём указано название другого юридического лица, нет ссылки на политику конфиденциальности, срок хранения данных не прописан вовсе.

Жалобу в Роскомнадзор в таких историях нередко пишет не рядовой посетитель, а конкурент — например, участник того же тендера, который перед подачей заявки на закупку проверяет сайт соперника на соответствие 152-ФЗ.

Дальше сценарий стандартный: предписание устранить нарушение, а при повторном нарушении — штраф по ст. 13.11 КоАП РФ для юридического лица. Пока форму приводят в порядок, разумнее временно отключить приём заявок через неё — значит, компания на несколько дней теряет входящий поток лидов с сайта, который для B2B часто остаётся основным каналом продаж.

как составить текст согласия на обработку персональных данных

Текст согласия и политика конфиденциальности — разные документы. Политика описывает, как компания в целом обращается с персональными данными, согласие — конкретное действие конкретного пользователя перед конкретной формой на сайте.

1. ✓указать реквизиты оператора: название компании, ИНН, юридический адрес
2. ✓сформулировать цель обработки под конкретную форму — для заявки, обратного звонка и подписки на рассылку цель обычно разная, иногда нужно отдельное согласие на каждую
3. ✓перечислить данные, которые собирает форма, и действия с ними
4. ✓добавить рабочую ссылку на полный текст политики конфиденциальности
5. ✓сделать чекбокс пустым по умолчанию и заблокировать отправку формы без явного клика по нему
6. ✓настроить сохранение факта согласия — дату, время, IP-адрес и версию текста — в базе или CRM

Как эти требования выглядят на практике — в сравнении с тем, что обычно есть на сайте:

Хорошая проверка перед запуском — открыть форму в приватном окне браузера, ничего не отмечать и попытаться отправить заявку: она не должна уйти, пока чекбокс пустой. Если уходит, значит согласие где-то в коде уже стоит по умолчанию, даже если в вёрстке это не видно на глаз.

где на сайте размещать текст согласия

Чекбокс с согласием ставят рядом с каждой формой, которая передаёт данные из браузера на сервер: заявка, обратный звонок, скачивание прайса, чат на сайте, форма подписки в футере. Если на сайте пять разных форм, формально нужно пять согласий, а не одно общее «согласен с условиями сайта» в подвале страницы.

Отдельно оформляют cookie-баннер — это не то же согласие, что на форму: cookies собираются автоматически при заходе на сайт, а не при отправке данных пользователем. На сайтах на 1С-Bitrix эти два согласия иногда путают и делают одно на двоих — при проверке это тоже считается нарушением, потому что у них разные цели обработки.

как исправить ошибку в согласии, если она уже на сайте

Если форма уже работает и собирает заявки, переписывать текст вслепую рискованно — можно сломать вёрстку или интеграцию с CRM. Разумный порядок другой: сначала разобраться, что именно не так с текстом и логикой согласия, потом вносить правки.

1. ✓выгрузить весь текст согласия и политики конфиденциальности с сайта и сверить с перечнем из статьи 9 152-ФЗ
2. ✓проверить исходный код чекбокса — стоит ли в вёрстке атрибут, который отмечает его по умолчанию
3. ✓проверить, куда ведёт ссылка на политику конфиденциальности, и не отдаёт ли страница ошибку 404
4. ✓если данные передаются подрядчикам — в CRM, сервис email-рассылок, систему аналитики — добавить это в перечень действий
5. ✓обновить текст и протестировать отправку формы: без галочки заявка не должна уходить

Такую проверку разумно делать не отдельно, а вместе с остальным техническим и юридическим состоянием сайта. Юридический блок входит в аудит сайта по 9 направлениям — там же смотрят политику cookies, публичную оферту и другие обязательные документы, которые обычно страдают той же болезнью, что и согласие: скопированы со старого шаблона и давно не обновлялись. Если правки в форму и логику согласия должен вносить программист, а не только юрист, работа по коду оценивается по тарифу сопровождения — от 3800 руб/час.

что делать, если ошибка в согласии повторяется

Бывает, что текст согласия один раз привели в порядок, а через полгода ошибка возвращается. Причина обычно не в юристе, а в процессе: разработчик обновил шаблон формы и подтянул старую версию согласия из резервной копии; подрядчик переустановил виджет обратного звонка со своими настройками по умолчанию; маркетинг запустил новый лендинг под рекламную кампанию, скопировав форму с другой страницы сайта — вместе с устаревшим текстом.

Поэтому разовое исправление не снимает риск полностью. Нужен процесс: каждое изменение формы или виджета на сайте должно проходить проверку — совпадает ли текст согласия с актуальной версией, не появился ли чекбокс с галочкой по умолчанию снова. Без этого пункта в чек-листе релиза ошибка возвращается ровно в тот момент, когда про неё уже все забыли.

Простая мера контроля — раз в квартал открывать сайт в режиме инкогнито и вручную проверять форму: это занимает пять минут, но ловит регресс раньше, чем жалоба клиента или запрос Роскомнадзора.

как предотвратить повторное появление ошибки в согласии

Разово исправленный текст согласия остаётся в порядке, пока в него никто не вмешивается. Дальше работает не текст, а процесс вокруг него.

• ✓закрепить один актуальный текст согласия как эталон и хранить его отдельно от кода формы, а не только в вёрстке
• ✓назначить ответственного, который проверяет форму после каждого обновления сайта, CRM или рекламных виджетов
• ✓включить проверку согласия в регулярный технический аудит сайта, а не рассматривать её как разовую задачу
• ✓фиксировать версию текста при каждом изменении — пригодится, если понадобится доказать, на каких условиях получено конкретное согласие

кто отвечает за согласие на стороне бизнеса

На практике за согласие на сайте никто не отвечает целиком: юрист пишет текст, но не проверяет вёрстку; маркетолог меняет форму под рекламную кампанию, но не в курсе требований 152-ФЗ; программист выполняет техническое задание, а не решает, какой текст юридически корректен. Рабочая схема — закрепить это письменно за одним человеком, обычно за тем, кто отвечает за сайт в целом, и подключать юриста и разработчика по конкретным правкам.

Периодическая проверка обходится дешевле, чем разбор ситуации после жалобы или предписания. Аудит сайта по 9 направлениям закрывает и юридическую часть, и техническую — скорость, безопасность, SEO. Стоимость аудита и точечных доработок — на странице тарифов.

❓ Частые вопросы

Нужно ли отдельное согласие на рассылку, если на сайте уже есть согласие на обработку данных в форме заявки?

Да, если цели обработки разные. Согласие в заявке покрывает обработку самой заявки, а не последующую рассылку писем. Для email- и SMS-рассылок закон требует отдельного согласия с указанием именно этой цели — общая фраза «согласен с условиями сайта» рассылку не легализует.

Можно ли взять готовый текст согласия с другого сайта и просто заменить название компании?

Технически можно, но риск в деталях: в чужом тексте могут быть не ваши цели обработки, не ваш перечень действий с данными или устаревшая ссылка на политику конфиденциальности. Такой текст лучше проверить построчно по статье 9 152-ФЗ, а не копировать целиком.

Что грозит компании, если на сайте нет текста согласия на обработку персональных данных?

Формально — предписание Роскомнадзора устранить нарушение и административный штраф по статье 13.11 КоАП РФ для юридического лица. На практике проверке часто предшествует жалоба клиента или конкурента, и до решения вопроса форму на сайте разумно временно отключить.

Как долго нужно хранить согласия пользователей, полученные через сайт?

Срок хранения компания определяет сама и указывает его в самом согласии — закон не задаёт единую цифру для всех случаев. Дольше цели обработки, ради которой согласие получено, данные хранить не стоит; факт согласия лучше сохранять вместе с датой и версией текста.

Кто должен проверять текст согласия на сайте — юрист, программист или маркетолог?

Формулировку текста лучше доверить юристу, а корректность работы чекбокса и хранение факта согласия — программисту. Маркетолог, который меняет формы под рекламу, должен знать, что менять текст согласия самостоятельно нельзя. Проще всего закрепить это за одним ответственным и делать сверку при аудите сайта.