Согласие на обработку персональных данных на сайте: когда оно нужно
Согласие на обработку персональных данных на сайте нужно, если форма собирает имя, телефон или почту. С 1 сентября 2025 года закон прямо требует оформлять согласие отдельно от других документов. Второй обязательный документ — политика обработки персональных данных, опубликованная на сайте. Ниже — что написано в законе 152-ФЗ и КоАП, дословно и со ссылкой на статью.
Все цитаты — по тексту закона на КонсультантПлюс в редакции от 26 июля 2026 года. Сайт предупреждает, что уже подготовлены изменения, которые ещё не вступили в силу. Статья не юридическая консультация: итоговые тексты согласия и политики готовьте с юристом.
Что закон считает персональными данными
Определения даёт статья 3 закона 152-ФЗ «О персональных данных»:
- Персональные данные — «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». Имя и номер телефона из формы заявки под это определение подходят.
- Оператор — в том числе «юридическое или физическое лицо», которое организует или осуществляет обработку и определяет её цели. ООО, ИП и частный специалист с сайтом — операторы.
- Обработка — «любое действие (операция)» с данными, «включая сбор, запись, систематизацию, накопление, хранение». Заявка, пришедшая в Telegram или на почту, — уже сбор и хранение.
Отсюда следует простое правило: если на сайте есть форма, в которую человек вводит свои контакты, закон о персональных данных к вам относится.
Каким должно быть согласие по статье 9
Главные требования — в части 1 статьи 9. Согласие даётся «свободно, своей волей и в своем интересе». Дальше закон перечисляет его качества:
«Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным».
152-ФЗ, статья 9, часть 1
Форма согласия свободная: его можно дать «в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом».
Отдельный документ. С 1 сентября 2025 года в части 1 статьи 9 есть предложение: «Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Его добавил закон от 24.06.2025 № 156-ФЗ, дата вступления в силу указана в его статье 7. Для сайта это значит: согласие нельзя спрятать внутри политики, оферты или пользовательского соглашения.
Отзыв и доказательства. Согласие «может быть отозвано» (часть 2). Доказывать, что согласие было получено, обязан оператор (часть 3). Поэтому факт, что посетитель дал согласие на обработку персональных данных на сайте, сохраняйте вместе с заявкой.
Что входит в согласие в письменной форме
Часть 4 статьи 9 касается случаев, когда федеральный закон требует именно письменного согласия. Бумажному согласию с подписью закон приравнивает электронный документ, подписанный электронной подписью. Такое согласие «должно включать в себя, в частности»:
- ФИО, адрес, номер документа, удостоверяющего личность, дату его выдачи и выдавший орган.
- Те же данные представителя, если согласие даёт он.
- «наименование или фамилию, имя, отчество и адрес оператора».
- «цель обработки персональных данных».
- «перечень персональных данных, на обработку которых дается согласие».
- Кому поручена обработка, если она поручена другому лицу.
- «перечень действий с персональными данными» и «общее описание используемых оператором способов обработки».
- «срок, в течение которого действует согласие», и «способ его отзыва».
- Подпись.
Нужна ли письменная форма именно в вашем случае, определяет другой федеральный закон, а не статья 9. Этот вопрос решайте с юристом. Для галочки в форме заявки закон требует пять качеств из части 1. Проверить текст на «конкретность» и «информированность» удобно по пунктам 3–8 этого списка: оператор, цель, данные, действия, срок и отзыв.
Политика обработки персональных данных на сайте
Политика — отдельный от согласия документ. Обязанность её опубликовать — в части 2 статьи 18.1:
«Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта… документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных».
152-ФЗ, статья 18.1, часть 2
Для сайта это ссылка на политику на страницах, где стоит форма. Согласие отвечает на вопрос, что разрешил человек. Политика описывает, как оператор обращается с данными вообще. Кроме политики, часть 1 статьи 18.1 требует от оператора других мер, часть из них — для юридических лиц: например, назначить ответственного за обработку и издать локальные акты. Полный список обязанностей для своей организации уточните у юриста.
Штрафы по статье 13.11 КоАП
Ответственность за нарушения в области персональных данных — в статье 13.11 КоАП. Части, которые ближе всего к сайту с формой заявки:
| Часть 13.11 | Нарушение (дословно, сокращено) | Штраф |
|---|---|---|
| 1 | «Обработка персональных данных в случаях, не предусмотренных законодательством… либо обработка… несовместимая с целями сбора» | граждане — 10 000–15 000 ₽; должностные лица — 50 000–100 000 ₽; юрлица — 150 000–300 000 ₽ |
| 2 | «Обработка персональных данных без согласия в письменной форме… в случаях, когда такое согласие должно быть получено», или с нарушением требований к составу сведений в нём | граждане — 10 000–15 000 ₽; должностные лица — 100 000–300 000 ₽; юрлица — 300 000–700 000 ₽ |
| 3 | Неопубликование политики или сведений о защите персональных данных | граждане — 1 500–3 000 ₽; должностные лица — 6 000–12 000 ₽; ИП — 10 000–20 000 ₽; юрлица — 30 000–60 000 ₽ |
За повторное нарушение по частям 1 и 2 суммы выше — они указаны в частях 1.1 и 2.1. Индивидуальный предприниматель по частям 1 и 2 отвечает как должностное лицо: по примечанию к статье 2.4 КоАП ИП «несут административную ответственность как должностные лица, если настоящим Кодексом не установлено иное». По части 3 для ИП в статье есть своя строка, а за повторное нарушение по части 1 (часть 1.1) ИП по примечанию 1 к статье 13.11 отвечает как юридическое лицо. Какая часть применима к конкретной ситуации, решают проверяющий орган и суд, а не статья в блоге.
Чек-лист: согласие на обработку персональных данных на сайте
Пройдите по списку на каждой странице, где есть форма: заявка, запись, обратный звонок, подписка.
- Политика опубликована. Ссылка на неё видна на страницах с формой и открывается (152-ФЗ, ст. 18.1, ч. 2).
- Согласие — отдельный текст. Не абзац внутри политики или оферты, а свой документ или свой блок (ст. 9, ч. 1, с 1 сентября 2025 года).
- Согласие конкретное. В тексте видно, кто оператор, для чего нужны данные, какие именно данные, что с ними делают, сколько действует согласие и как его отозвать.
- Галочку ставит посетитель. Закон требует согласия «сознательного и однозначного» — уточните у юриста, допустима ли заранее отмеченная галочка.
- Форма без галочки не уходит. Иначе заявка приходит, а согласия нет.
- Факт согласия сохраняется. Дата, время и версия текста — вместе с заявкой: доказывать получение согласия обязан оператор (ст. 9, ч. 3).
- Все формы проверены. Всплывающие окна, квизы, виджеты чатов и сервисов записи тоже собирают данные.
- Способ отзыва работает. Адрес или форма, куда человек может отправить отзыв согласия, указаны и принимают сообщения.
Проверить документы и формы вместе с остальным сайтом помогает самостоятельный аудит сайта за час. Если сайт только планируется, заложите согласие и политику в задание с самого начала — об этом в статье о создании сайта для бизнеса. Разбор форм и документов на уже работающем сайте можно заказать как аудит. Сами тексты согласия и политики готовит юрист: эта статья пересказывает закон, но не заменяет консультацию.