Согласие на обработку персональных данных на сайте: что должно быть у формы заявки, чтобы не попасть на штраф

Согласие на обработку персональных данных — тот самый мелкий текст под кнопкой «Отправить», из-за которого малый бизнес получает запрос от надзорного органа чаще, чем из-за настоящих утечек. Форма заявки собирает имя и телефон, значит, данные вы обрабатываете. А раз обрабатываете, закон ждёт не галочки ради приличия, а связки из четырёх вещей: законного основания, понятного текста согласия, опубликованной политики и поданного уведомления.

Дальше — разбор сайтовой части: что должно стоять рядом с формой, какой документ висит в подвале, куда и в какой срок подаётся уведомление, какие поля лишние и что делать с базой заявок, которая копится третий год. Формулировки закона привожу по действующей редакции со ссылками, а где требование читается неоднозначно — честно пишу об этом и отправляю к юристу. Если параллельно нужен работающий канал заявок, у меня это продвижение сайта в Яндексе, но здесь речь о том, что происходит с данными после нажатия кнопки.

Статья про сайт, а не про кадровые бланки: кто здесь оператор

Половина запросов про согласие приходит от кадровиков: им нужен бланк на подпись сотруднику. Здесь этого не будет. Речь про владельца сайта, у которого есть форма заявки, окно обратного звонка, подписка, корзина или онлайн-запись — то есть про сбор данных через интернет.

Оператором становится тот, кто организует обработку персональных данных и определяет её цели. ИП с сайтом-визиткой и одной формой определяет цель («перезвонить по заявке»), состав данных и хранит их в почте или CRM. Обязанности возникают не с оборота, а с факта сбора — сайт из пяти страниц и магазин на десять тысяч позиций тут в одной категории, различается только объём рисков.

Четыре элемента у формы, без которых начинаются вопросы

Если свести требования к тому, что физически видно на странице, получается короткий список. Он не заменяет юридическую проверку, но закрывает то, что проверяется первым — глазами, за две минуты.

Элемент	Зачем он нужен	Где стоит на сайте
Отдельный чекбокс согласия	Подтверждает активное и однозначное действие, а не «молчание = согласие»	В каждой форме, рядом с кнопкой отправки
Текст согласия	Раскрывает цель, состав данных, срок и порядок отзыва	Отдельная страница или блок по ссылке из формы
Политика обработки данных	Требуется от оператора, который собирает данные через сеть	Отдельная страница, ссылка в подвале и у каждой формы
Уведомление в надзорный орган	Подаётся до начала обработки; отсутствие — отдельный состав нарушения	Не на сайте: портал персональных данных или бумага
Защищённое соединение	Данные из формы не должны идти открытым текстом	Сертификат на домене, страницы с формами по https

Пункт про соединение — не формальность: форма, отправляющая телефон по незашифрованному каналу, читается любым узлом на пути. Как переезжать на защищённый протокол, я разбирал в материале про протокол безопасности HTTPS.

Каким закон требует видеть текст согласия

Закон описывает согласие пятью прилагательными: конкретное, предметное, информированное, сознательное и однозначное. Субъект принимает решение свободно, своей волей и в своём интересе. Форма — любая, позволяющая подтвердить факт получения. И отдельно оговорено: согласие оформляется отдельно от иных информации и (или) документов, которые человек подтверждает или подписывает. Формулировки — в статье 9 закона № 152-ФЗ.

На практике это значит вот что. Один чекбокс, в котором сразу и согласие на обработку данных, и принятие оферты, и подписка на рассылку, требованию «отдельно от иных документов» не отвечает. Разносите на три галочки.

Второй момент — бремя доказывания. Обязанность предоставить доказательство получения согласия лежит на операторе: не человек доказывает, что не соглашался, а вы доказываете, что он согласился. Значит, факт отправки формы должен фиксироваться — лог с датой, временем, составом полей и версией текста согласия на странице. Галочка, которая нигде не сохраняется, доказательством не является.

Для согласия в письменной форме закон перечисляет девять сведений: данные субъекта и представителя, данные оператора, цель обработки, перечень данных, сведения о лице, обрабатывающем данные по поручению оператора, описание действий и способов обработки, срок действия и порядок отзыва, подпись. Веб-форма письменной не является, но перечень удобен как каркас текста на сайте. Нужна ли в вашем случае письменная форма — вопрос к юристу.

Политика обработки данных: отдельный документ и отдельная ссылка

Политика и текст согласия — разные документы, подменять один другим нельзя. Согласие обращено к конкретному человеку и конкретной форме. Политика описывает, как вы обращаетесь с данными вообще: какие категории собираете, зачем, как храните, кому передаёте, как уничтожаете.

Требование к публикации сформулировано прямо: оператор, собирающий данные с использованием информационно-телекоммуникационных сетей, обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, в том числе на страницах принадлежащего ему сайта, с использованием которых осуществляется сбор. Это часть 2 статьи 18.1. Практический вывод: ссылка на политику должна быть доступна там, где стоит форма, а не только в разделе «О компании».

В той же статье перечислены меры оператора: назначение ответственного за организацию обработки для юрлиц, издание политики и локальных актов с категориями и перечнем данных, сроками обработки и хранения, порядком уничтожения; меры безопасности; внутренний контроль; оценка возможного вреда субъектам; ознакомление работников с требованиями. У ИП без работников часть мер вырождается, но политика и порядок уничтожения остаются.

Типичная ошибка — скачанный шаблон, где остались чужие реквизиты, отдел кадров и видеонаблюдение, которого у вас нет. Расхождение между текстом политики и тем, что происходит на самом деле, хуже короткого, но честного документа.

Уведомление в Роскомнадзор: кто подаёт, что пишет и чем рискует

Оператор до начала обработки обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении её осуществлять — кроме случаев из части 2 статьи 22. Важная деталь: в действующей редакции пункты 1–6 этой части утратили силу, прежние «бытовые» основания не подавать уведомление из закона ушли. Сверить состав исключений можно в тексте статьи 22, а вывод «мне уведомление не нужно» стоит проверять с юристом, а не по форумам.

Подаётся уведомление через портал персональных данных надзорного органа: на бумаге, в электронной форме с усиленной квалифицированной электронной подписью либо через авторизацию на портале государственных услуг. Формы утверждены приказом Роскомнадзора от 28 октября 2022 года № 180, актуальный бланк — на портале персональных данных. Указываются сведения об операторе, цель обработки, категории данных и субъектов, правовое основание, способы обработки, меры безопасности, дата начала, сведения о трансграничной передаче и месте хранения.

Сроки, о которых забывают: об изменении ранее поданных сведений уведомляют не позднее 15-го числа месяца, следующего за месяцем изменений, а о прекращении обработки — в течение десяти рабочих дней. Смена адреса, новая цель, закрытие направления — это конкретная дата в календаре, а не «когда-нибудь потом».

Ответственность за неуведомление выделена в отдельный состав в статье 13.11 КоАП: по данным справочной системы на дату публикации это штраф от 5 000 до 10 000 рублей для граждан, от 30 000 до 50 000 для должностных лиц и от 100 000 до 300 000 для юридических; норма введена законом от 30 ноября 2024 года № 420-ФЗ и применяется с 30 мая 2025 года. Редакции меняются — перед тем как ссылаться на цифру, сверьте действующий текст статьи. За нарушения с зарубежными сервисами авторизации санкции считаются по другим нормам, об одном таком случае я писал в разборе штрафа за кнопку входа через зарубежный сервис.

Лишние поля в форме: почему меньше — безопаснее

Закон формулирует это так: содержание и объём обрабатываемых данных должны соответствовать заявленным целям, обрабатываемые данные не должны быть избыточными по отношению к этим целям. Перевод на язык практики: каждое поле формы должно быть объяснимо целью, которую вы сами записали в тексте согласия.

Поле в форме	Когда оправдано	Что делать, если цели нет
Имя	Почти всегда: нужно для обращения при звонке	Оставить, но не делать обязательным на первом шаге
Телефон или почта	Одного канала связи хватает для ответа на заявку	Не требовать оба сразу, второе поле сделать необязательным
Дата рождения	Только если возраст влияет на услугу или допуск	Убрать из формы полностью
Адрес	Доставка, выезд мастера, замер на объекте	Спрашивать при оформлении, а не в форме первого контакта
Паспортные данные	Только там, где этого требует закон или договор	Не собирать через обычную веб-форму

Есть и коммерческий эффект: короткая форма конвертирует лучше длинной — редкий случай, когда требования закона и интересы продаж совпадают. Если непонятно, где посетители бросают форму, посмотрите, как заявки с сайта теряются по дороге — материал из предыдущей партии рубрики.

Cookies, счётчики и аналитика — соседняя тема

Файлы cookie и системы веб-аналитики живут по своей логике: другое основание обработки, другие формулировки уведомления и другие последствия для скорости сайта. Смешивать их с согласием на обработку заявки не стоит. Про то, как поставить уведомление о cookie и не уронить загрузку, есть отдельный материал: баннер cookie на WordPress.

Общее у двух тем одно: счётчики и внешние скрипты передают данные о посетителе третьей стороне. Виджеты обратного звонка, чаты и квизы собирают телефоны так же, как ваша форма, но данные попадают на сервер сервиса, а не к вам.

Накопленная база заявок: сроки хранения, обращения и инциденты

Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок не установлен законом или договором. Данные подлежат уничтожению либо обезличиванию по достижении целей — это статья 5. Вывод неприятный: папка «заявки 2021» и выгрузка контактов в мессенджере — не архив на всякий случай, а обработка без цели.

Разумный порядок: определить срок хранения по каждой цели и записать его в политику; собрать все места, где физически лежат данные — почта, CRM, таблицы, телефоны сотрудников, диски; удалить вышедшее за срок; закрыть лишние доступы. Держать заявки в одной системе проще, чем в пяти: если CRM ещё нет, начните с бесплатного варианта — подборка есть в обзоре бесплатных CRM для малого бизнеса.

Дальше идут сроки, которые запускаются помимо вашего желания. При обращении субъекта закон отводит оператору десять рабочих дней на ответ, срок продлевается не более чем на пять рабочих дней с уведомлением уполномоченного органа. При выявлении неправомерной обработки данные блокируются на период проверки; уточнение — семь рабочих дней; прекращение неправомерной обработки — не более трёх рабочих дней. При отзыве согласия или достижении цели на уничтожение отводится не более тридцати дней.

Отдельно — инциденты. Статья 21 устанавливает два жёстких интервала: в течение двадцати четырёх часов оператор уведомляет о произошедшем инциденте, в течение семидесяти двух часов сообщает результаты внутреннего расследования. Порядок действий на случай утечки должен существовать заранее: за сутки его с нуля не напишешь. И скрывать инцидент нельзя — схема «замолчать и надеяться» превращает административную историю в куда более тяжёлую.

Где этот чеклист не поможет

Границы стоит обозначить прямо. Статья не заменяет юридическую проверку: состав требований зависит от того, какие данные вы собираете, кому передаёте и есть ли трансграничная передача. Здесь ничего нет про специальные категории — сведения о здоровье, биометрию, данные детей: для медицинских, образовательных и финансовых проектов набор обязанностей заметно шире. Не касаюсь я и кадровой части: согласия работников, модель угроз, аттестация систем.

Суммы штрафов и редакции норм меняются несколько раз в год, поэтому перед решением на основе конкретной цифры сверяйте её на дату решения. И чеклист не отвечает, что делать, если запрос уже пришёл: там порядок другой — не спорить, уложиться в срок, дать содержательный ответ и параллельно привести документы в порядок. Помощь юриста в этой ситуации нужна по существу, а не для спокойствия.

Частые вопросы

Достаточно ли одной галочки под формой?

Галочка — только способ зафиксировать активное действие. Чтобы согласие было информированным, рядом должен быть доступный текст: цель, состав данных, срок, порядок отзыва, кто оператор. Плюс опубликованная политика и фиксация факта отправки — иначе доказать получение согласия будет нечем.

Нужно ли уведомление, если я ИП и у меня одна форма обратной связи?

Общая обязанность уведомить до начала обработки установлена частью 1 статьи 22, а прежние широкие исключения из части 2 утратили силу. По умолчанию исходить стоит из того, что уведомление подаётся. Вывод об обратном — предмет разбора вашей ситуации с юристом, а не догадка по аналогии с соседним сайтом.

Человек просит удалить свои данные. Как быстро я обязан это сделать?

Отвечать на обращение нужно в срок, который закон считает в рабочих днях, а на уничтожение при отзыве согласия или достижении цели отводится не более тридцати дней. Отсюда требование к системам: должна быть возможность найти человека по телефону или почте во всех хранилищах и удалить записи, а не просто убрать строку из основной таблицы.

Виджет обратного звонка и чат — это тоже сбор данных?

Да, и данные при этом уходят на сторону сервиса. Значит, у формы виджета тоже должен быть текст согласия и ссылка на политику, а в самой политике — упоминание, что для обработки привлекается стороннее лицо. Проверьте заодно, какие ещё скрипты стоят на страницах с формами: часто там живут виджеты, которые ставили два подрядчика назад.

У темы есть и совсем не юридическая сторона. Перед тем как оставить телефон или заплатить, человек вас проверяет: смотрит выдачу по названию, читает отзывы, ищет реквизиты, открывает политику и договор. Пустой подвал, форма без объяснений и битая ссылка на политику читаются как сигнал «здесь не всё в порядке» — и заявку не оставляют вообще, безо всяких надзорных органов.

Если после ревизии сайт нужно чинить руками — переделать формы, развести чекбоксы, добавить страницы политики и согласия, закрыть формы защищённым соединением, — это доработка сайта в чистом виде. Формулировки всё равно даёт юрист, а моя часть — чтобы они появились на нужных страницах, не сломали форму и не утопили скорость загрузки.

Коротко

Форма заявки делает владельца сайта оператором персональных данных независимо от размера бизнеса: обязанности возникают с факта сбора, а не с оборота.

У формы должны быть четыре вещи: отдельный чекбокс, доступный текст согласия с целью и порядком отзыва, опубликованная политика и техническая фиксация факта отправки. Доказывать получение согласия придётся вам.

Согласие оформляется отдельно от иных информации и документов: один чекбокс сразу на обработку данных, рассылку и оферту требованию не отвечает.

Уведомление подаётся до начала обработки через портал персональных данных; прежние широкие исключения из части 2 статьи 22 утратили силу. Об изменениях сообщают не позднее 15-го числа следующего месяца, о прекращении — за десять рабочих дней.

Лишние поля — это и плохая конверсия, и расхождение с требованием о неизбыточности. Старые базы без цели подлежат уничтожению или обезличиванию.

После обращения человека или инцидента идут жёсткие сроки: десять рабочих дней на ответ, двадцать четыре часа на уведомление об инциденте, семьдесят два часа на результаты расследования.

Хотите разобрать это на своём сайте — что стоит у ваших форм, чего не хватает и как привести страницы в порядок, не потеряв заявки, — приходите на SEO-консультацию: посмотрим сайт вместе и отделим то, что чинится за вечер, от того, где действительно нужен юрист. Заодно станет видно, стоит ли вкладываться в SEO в вашей нише прямо сейчас.

Информация актуальна на дату публикации: 16 сентября 2026 года. Нормы о персональных данных и размеры штрафов меняются несколько раз в год. Я не юрист: этот материал — навигация по механике и первоисточникам, а не юридическая консультация. Для своего случая сверяйте действующую редакцию закона № 152-ФЗ и КоАП и обсуждайте формулировки документов с юристом, а сроки хранения первичных документов — с бухгалтером.