Согласие на обработку персональных данных на сайте: когда нужно, что писать и как настроить форму

Согласие на обработку персональных данных на сайте — это отдельный документ, которым посетитель разрешает вам использовать имя, телефон или e-mail из формы для конкретных целей. С 1 сентября 2025 года его нельзя прятать в политике, оферте или пользовательском соглашении: нужна своя страница с текстом и своя галочка в каждой форме, которая не отмечена заранее (ч. 1 ст. 9 закона 152-ФЗ в редакции 156-ФЗ). Согласие на рекламную рассылку, на публикацию отзывов с фото и на cookie оформляют отдельно. Если согласия нет или оно оформлено неправильно, компании грозит штраф 150⁠–⁠300 тыс. ₽, ИП — 50⁠–⁠100 тыс. ₽, а при повторном нарушении ИП платит наравне с компанией — 300⁠–⁠500 тыс. ₽.

Нужно настроить формы, согласие и cookie-баннер при разработке или доработке сайта? Посчитайте проект в калькуляторе стоимости и отметьте в заявке, что сайт нужно привести к 152-ФЗ.

Это не юридическая консультация. Статья описывает общие требования закона на октябрь 2026 года для обычного сайта малого бизнеса: формы заявок, магазин, рассылка, аналитика. Если вы собираете данные о здоровье, биометрию или данные детей, покажите тексты юристу по персональным данным.

Что такое согласие на обработку персональных данных и чем оно отличается от политики

Согласие — это разрешение конкретного человека: «да, используйте мои имя и телефон, чтобы перезвонить по заявке». Политика — общий документ оператора для всех посетителей: какие данные вы собираете, зачем, где храните и как защищаете. Политика обязательна для любого сайта с формой (ч. 2 ст. 18.1 152-ФЗ), а согласие — одно из оснований, по которому вы вообще имеете право обрабатывать данные.

Оператором закон называет того, кто решает, зачем и как обрабатывать данные, то есть владельца сайта — ИП или компанию, а не студию, которая сайт сделала, и не Тильду. Субъект — человек, чьи данные вы получаете. Документы не заменяют друг друга: политика без согласия не даёт права обрабатывать заявку, а согласие без политики нарушает обязанность опубликовать правила обработки. На сайте это две разные страницы: у нас это /politika и /soglasie.

Закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9). На языке формы это значит, что человек видит, на что соглашается, может прочитать текст по ссылке и сам ставит галочку.

Что писать в самой политике и где её разместить, разобрали в статье «Политика конфиденциальности для сайта». Здесь — только о согласии.

Когда согласие нужно, а когда можно обойтись без него

Согласие — не единственное законное основание. Статья 6 152-ФЗ перечисляет их одиннадцать, и для сайта важно одно из них: данные можно обрабатывать без согласия, если это нужно для исполнения договора с человеком или для заключения договора по его инициативе (п. 5 ч. 1 ст. 6). Покупатель оформил заказ в интернет-магазине — адрес и телефон нужны, чтобы доставить товар, и согласие для этого формально не требуется.

На практике согласие у формы ставят почти всегда, и тому есть три причины:

1. Заявка «перезвоните мне» или «рассчитать стоимость» — это ещё не договор, и считать ли её «заключением договора по инициативе субъекта», юристы и проверяющие решают по-разному.
2. Цели сайта почти всегда шире договора. Вы хотите позвонить с акцией через месяц, передать контакт в CRM или посмотреть в Метрике, откуда пришёл клиент, а это уже не исполнение договора.
3. По ч. 3 ст. 9 доказывать, что основание было, обязан оператор, и показать отметку о согласии проще, чем объяснять, почему оно не требовалось.

Из таблицы видно, что «без согласия» на обычном сайте остаётся узкая зона — оформление уже совершённой покупки. Например, у мебельного магазина в Казани есть корзина и форма «Подобрать кухню». Для корзины основанием служит договор купли-продажи, но если те же телефоны попадают в рассылку о скидках, нужно согласие на обработку и отдельное согласие на рекламу. Для формы подбора нужна обычная галочка согласия, потому что договора ещё нет.

Обратная ошибка не страшна: если вы взяли согласие там, где хватало договора, это не нарушение. Опасно только взять согласие и обрабатывать данные шире, чем в нём написано.

Что изменилось с 1 сентября 2025 года: согласие — отдельный документ

С 1 сентября 2025 года согласие «оформляется отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект». Это новая редакция ч. 1 ст. 9 152-ФЗ, её ввёл закон 156-ФЗ от 24.06.2025. Для сайта это значит: своя страница с текстом согласия и своя галочка, а не строчка в оферте, политике или пользовательском соглашении.

Раньше типичная форма выглядела так: одна галочка «Я принимаю условия оферты, политики конфиденциальности и согласен на обработку персональных данных и получение рассылки». После поправки такое согласие не считается оформленным отдельно, а значит, у вас может не оказаться законного основания обрабатывать заявки. Логика законодателя понятна: человек, который соглашается с офертой, чтобы купить товар, не должен заодно незаметно соглашаться на всё остальное.

Ниже — та же обязанность по вопросам, которые задают владельцы сайтов.

Кто обязан. Любой оператор с формой на сайте: ИП, ООО, некоммерческая организация, самозанятый с собственным сайтом. Размер бизнеса и число заявок значения не имеют.

С какого момента и что, если формы старые. Правило действует для согласий, полученных с 1 сентября 2025 года. Обратной силы у закона нет, поэтому согласия, собранные раньше по прежним правилам, юристы считают действующими, и обзвонить старых клиентов за новыми галочками не нужно. Но каждая новая заявка — это новое согласие, поэтому формы переделывают сейчас, а не «при следующем редизайне».

Исключения. Для сайта их нет. Не нужна галочка только там, где у вас другое основание по ст. 6, например исполнение заказа.

Как сделать. Создать страницу с текстом согласия, поставить в каждую форму отдельную обязательную галочку со ссылкой на эту страницу и убрать из оферты и политики формулировки вида «принимая условия, вы даёте согласие». Это бесплатно. На Тильде с тремя–пятью формами работа занимает пару часов, на собственном коде — зависит от того, как устроены формы.

Что указать. Состав текста — в разделе «Что написать в тексте согласия» ниже.

Что дальше. Текст согласия обновляют при каждой смене сервисов: подключили новую CRM или сервис рассылок — дописали их в список третьих лиц, указали новую дату редакции. Старые редакции храните: по ним вы докажете, на что соглашался человек год назад.

Санкция. Отдельного штрафа за «неотдельное» согласие нет, но такое согласие могут признать неполученным, а обработку — обработкой без основания по ч. 1 ст. 13.11 КоАП (подробно — в разделе о штрафах).

Как оформить согласие в форме: галочка, текст, ссылка

Правильная форма выглядит так: рядом с кнопкой стоит пустая галочка с короткой подписью «Я даю согласие на обработку персональных данных». Слова «согласие на обработку персональных данных» — ссылка на страницу с полным текстом, а без галочки заявка не отправляется. Если на сайте есть рассылка, рядом стоит вторая, необязательная галочка — на получение рекламы.

У каждого требования есть причина:

• Галочка не отмечена заранее, потому что предзаполненная отметка — это не действие человека, и «сознательным и однозначным» такое согласие не назовёшь.
• Галочка обязательная, потому что иначе часть заявок придёт без согласия, и обрабатывать их будет не на чем.
• Ссылка ведёт на полный текст, потому что согласие должно быть информированным: человек вправе прочитать, на что соглашается, до отправки.
• Подпись у галочки называет только согласие: если в ней же написать «и принимаю оферту», вы снова склеите документы.

Ссылку на политику ставят отдельной строкой под формой: «Как мы обрабатываем данные — в [Политике обработки персональных данных]». Встречается и вариант, когда обе ссылки стоят в подписи к одной галочке. Прямого запрета на это нет, но после поправки о «раздельности» надёжнее не смешивать: галочка — только согласие, политика — справочная ссылка рядом.

Отдельный спор — можно ли обойтись без галочки и написать под кнопкой «Нажимая „Отправить“, вы даёте согласие». Закон допускает согласие «в любой позволяющей подтвердить факт его получения форме», и такой вариант встречается даже на крупных сайтах. Но однозначного разъяснения Роскомнадзора на этот счёт нет, а отдельная галочка оставляет понятный след: в заявке видно, что человек сам отметил поле. Если вы выбираете между спором и одной лишней галочкой, выбирайте галочку.

Галочка нужна в каждой форме, где можно ввести данные: всплывающие окна, квизы, корзина, форма в мобильном меню, виджет «Обратный звонок», форма бронирования. Именно их чаще всего забывают. Например, у стоматологии на главной форма с галочкой, а всплывающее окно «Запишитесь со скидкой 10%», через которое приходит половина заявок, отправляет имя и телефон без всякого согласия. Проверка простая: пройдите сайт как посетитель и найдите все места, где можно оставить телефон.

Что написать в тексте согласия

Полный перечень сведений закон даёт только для письменного согласия (ч. 4 ст. 9): ФИО и адрес человека, данные его паспорта, сведения об операторе, цель, перечень данных, кто обрабатывает по поручению, перечень действий, срок и способ отзыва, подпись. Для формы на сайте паспорт и подпись не нужны, а остальное стоит взять за основу: так текст будет информированным и конкретным.

Почему без паспорта: требовать паспорт ради обратного звонка — это сбор избыточных данных, а он сам по себе нарушает ст. 5 152-ФЗ, которая требует, чтобы данные соответствовали целям. Почему без подписи: галочка и есть способ выразить согласие на сайте, а подпись нужна только в письменной форме, о которой ниже.

Практичный состав текста согласия для сайта:

1. Оператор: ИП или компания, ИНН, ОГРН, адрес, e-mail для обращений. Человек должен понимать, кому он даёт данные.
2. Перечень данных — ровно те поля, что есть в формах: имя, телефон, e-mail, текст сообщения. Если в форме появилось поле «город», а в согласии его нет, на этот город согласия нет.
3. Цели — конкретные: «ответить на заявку, рассчитать стоимость, направить коммерческое предложение». Формулировка «в любых целях, не запрещённых законом» делает согласие неконкретным.
4. Действия и способы: сбор, запись, хранение, использование, передача, удаление; с использованием средств автоматизации или без.
5. Третьи лица, которым данные передаются по вашему поручению: хостинг, конструктор, CRM, сервис рассылок, служба доставки. Это самый частый пробел: человек соглашается, а про то, что заявка уходит в amoCRM или Unisender, не знает.
6. Срок: до достижения цели или до отзыва согласия.
7. Порядок отзыва: куда писать (e-mail), что произойдёт и в какой срок.
8. Дата редакции — чтобы позже доказать, какой текст действовал в день заявки.

Так устроен и наш текст на /soglasie: оператор ИП Хамитов Р. Ф. с реквизитами, перечень данных (имя, телефон, e-mail, текст сообщения), цели (связь по заявке, обсуждение проекта, расчёт, коммерческое предложение), действия, обработчик — хостинг ООО «ТАЙМВЭБ.КЛАУД», срок и отзыв по e-mail с удалением данных в течение 30 дней, дата редакции. Брать его целиком не стоит, потому что ваши формы, цели и сервисы другие, а несовпадение текста с реальными процессами проверяющий замечает в первую очередь.

Когда нужно письменное согласие

Галочка на сайте — не письменная форма. Письменным закон считает согласие на бумаге с подписью или электронный документ, подписанный электронной подписью (ч. 4 ст. 9). Для обычной заявки этого не требуется. Письменное согласие закон требует в особых случаях: данные о здоровье и другие специальные категории (ст. 10), биометрия, то есть фото или голос, по которым устанавливают личность (ст. 11), и решения, которые принимаются только автоматически и влекут для человека юридические последствия (ст. 16).

Для сайта это значит: клиника, которая просит в форме описать жалобы, или сервис, который просит загрузить фото для пропуска, галочкой не обойдутся. Здесь согласие оформляют письменно на приёме или через электронную подпись, а форма на сайте собирает только контакты. Разница важна и для штрафа: обработка без письменного согласия там, где оно обязательно, — это ч. 2 ст. 13.11 с суммами до 700 тыс. ₽ для компании.

Рассылки, отзывы и cookie: какие ещё согласия нужны

Согласие на обработку заявки не покрывает три частые ситуации: рекламную рассылку, публикацию отзывов с именами и фото и работу Метрики. На каждую нужно своё согласие, потому что у каждой своя норма и свой штраф.

Согласие на рекламную рассылку

Реклама по сетям электросвязи — e-mail, SMS, сообщения в мессенджерах, звонки — допускается только с предварительного согласия получателя (ч. 1 ст. 18 закона 38-ФЗ «О рекламе»). Если согласия нет, считается, что реклама разослана без него, пока вы не докажете обратное. Штраф за такую рассылку — по ч. 4.1 ст. 14.3 КоАП (введена законом 78-ФЗ от 06.04.2024): для компании 300 тыс. – 1 млн ₽, для ИП и должностных лиц 20⁠–⁠100 тыс. ₽.

Поэтому галочка «Хочу получать новости и акции» стоит отдельно от согласия на обработку и не обязательна для отправки формы. Если сделать её обязательной, согласие на рекламу станет условием получения консультации, и свободным его уже не назовёшь. Например, онлайн-школа, у которой форма «Получить бесплатный урок» отправлялась только с отмеченной рассылкой, рискует получить жалобу в ФАС от первого же недовольного подписчика. Второе правило — в каждом письме ссылка «Отписаться», а после отказа рассылка прекращается немедленно: этого прямо требует та же ст. 18.

Согласие на распространение: отзывы и фото

Если вы публикуете на сайте отзывы клиентов с именами и фотографиями, фото учеников на занятиях или портреты мастеров, вы делаете данные доступными неограниченному кругу людей. Для этого нужно отдельное согласие на распространение (ст. 10.1 152-ФЗ), и оно оформляется отдельно от остальных согласий.

В таком согласии человек сам выбирает, что можно публиковать: имя — да, фото — да, фамилию — нет. Молчание или бездействие согласием не считается ни при каких обстоятельствах (ч. 8 ст. 10.1), поэтому фраза «Оставляя отзыв, вы разрешаете его публикацию» не работает. Требования к содержанию такого согласия утверждены приказом Роскомнадзора № 18 от 24.02.2021. Если человек потребовал убрать данные, их снимают с публикации в течение трёх рабочих дней.

Самый простой путь для небольшого бизнеса — собирать отзыв через отдельную форму, где есть галочка «Разрешаю опубликовать мой отзыв, имя и фото на сайте» со ссылкой на текст согласия на распространение, или публиковать отзывы без фамилий и фото.

Cookie и Яндекс Метрика

Прямо закон cookie не называет. Но идентификатор Метрики (cookie _ym_uid) вместе с IP-адресом, устройством и историей посещений позволяет выделить конкретного посетителя, поэтому Роскомнадзор, судя по его требованиям к сайтам, относит такие данные к персональным. В 2024 году ведомство, по сообщениям юристов и владельцев сайтов, массово рассылало требования, например медицинским клиникам: получать согласие на cookie до того, как начнут работать счётчики. Номеров официальных разъяснений или судебных решений именно по Метрике мы не нашли, поэтому это позиция регулятора, а не прямая норма.

Отсюда практический вывод. Баннер «Продолжая пользоваться сайтом, вы соглашаетесь…» не защищает, если Метрика уже загрузилась и отправила данные до того, как человек что-то нажал. Надёжная схема — баннер с выбором «Принять все» и «Только необходимые» и запуск Метрики, Пикселя VK и других счётчиков только после «Принять».

Технические cookie, без которых сайт не работает (корзина, авторизация), на практике запускают без согласия: без них сайт не выполнит то, о чём человек сам попросил. В баннере — ссылка на раздел о cookie в политике.

Отдельно проверьте Вебвизор. По умолчанию Метрика сама распознаёт поля, куда вводят личные данные, и заменяет их содержимое звёздочками. Но если в настройках Вебвизора включено «Записывать все поля», в записях сессий окажутся имена и телефоны из форм. Эту опцию стоит оставить выключенной, а полям формы добавить класс ym-disable-keys, который запрещает запись их содержимого.

Как доказать, что согласие было, и что делать с отзывом

Доказывать, что человек дал согласие, обязан оператор (ч. 3 ст. 9). Поэтому мало поставить галочку: нужно сохранить запись о том, кто, когда, через какую форму и на какую редакцию текста согласился. Если клиент через полгода напишет жалобу «я ничего не оставлял», отвечать вы будете этой записью.

Минимальный набор для лога согласия:

• дата и время отправки формы — без них нельзя сопоставить заявку с редакцией текста;
• страница и название формы — чтобы понять, какой текст был рядом с галочкой;
• введённые данные и отметка галочки — это и есть факт согласия;
• версия текста согласия (дата редакции) — по ней видно, на что именно человек согласился;
• IP-адрес и браузер (User-Agent) — дополнительное подтверждение, что заявку отправил человек с конкретного устройства.

Старые редакции страницы согласия храните вместе с датами: сохраните копию в PDF или в архиве системы управления при каждом изменении. Без этого лог показывает, что галочка стояла, но не показывает, под каким текстом. Хранить записи о согласии разумно столько, сколько вы обрабатываете данные этого человека, и ещё некоторое время после, чтобы ответить на жалобу.

Отзыв согласия. Человек может отозвать согласие в любой момент (ч. 2 ст. 9). Получив отзыв, оператор прекращает обработку и уничтожает данные в срок не более 30 дней (ч. 5 ст. 21), если у него нет другого основания, например действующего договора или обязанности хранить документы по закону. На практике это значит: удалить контакт из CRM, базы заявок и списков рассылки, а не только перестать звонить.

Способ отзыва — обычно e-mail — указывают в самом тексте согласия, чтобы человеку не пришлось искать, куда писать. Если данные не удалили, можно получить штраф по ч. 5 ст. 13.11 за невыполнение требования об уничтожении (ИП 20⁠–⁠40 тыс. ₽, компания 50⁠–⁠90 тыс. ₽) или по ч. 1 — за обработку без основания.

Как настроить согласие на Тильде

На Тильде согласие делается штатным полем «Галочка» в каждой форме. Откройте блок формы → «Контент» → «Поля для ввода» → «Добавить поле для ввода» → тип «Галочка». В поле «Лейбл» впишите текст со ссылкой на страницу согласия, включите «Обязательно для заполнения» и переопубликуйте страницу. Соседнюю опцию «Отмечено по умолчанию» не включайте: галочку человек ставит сам.

По шагам:

1. Страница согласия. Создайте страницу с адресом /soglasie и текстом из раздела выше. Генератор документов Тильды рассчитан на политику, поэтому текст согласия под ваши формы и сервисы придётся написать или сверить отдельно. Ссылку на страницу поставьте в общий подвал рядом со ссылкой на политику: так согласие доступно и с тех страниц, где формы нет.
2. Поле в каждой форме. Добавьте поле «Галочка» в каждый блок с формой, включая всплывающие окна и квизы. В поле «Лейбл» — «Я даю согласие на обработку персональных данных», ссылка на /soglasie. Справка Тильды советует давать полю понятное имя переменной, например personal_data_consent: тогда в заявке будет видно, что согласие получено. Не путайте с полем «Текст под формой»: оно показывает текст, но не требует действия человека, и галочки не заменяет.
3. Отдельная галочка на рассылку, если она есть, — второе поле «Галочка», без «Обязательно для заполнения».
4. Cookie-баннер. В библиотеке блоков, в категории «Другое», есть блоки уведомления о cookie T657, T886, T887 и T972. Только T972 позволяет посетителю выбрать, какие cookie разрешить.
5. Проверка Метрики. Откройте сайт в режиме инкогнито, в инструментах разработчика на вкладке Network отфильтруйте запросы по mc.yandex. Если запросы ушли до того, как вы нажали кнопку в баннере, счётчик стартует без согласия.

Для аккаунтов, где страной указана Россия, Тильда собирает и хранит данные на серверах в России (Селектел и Яндекс Облако) и обрабатывает их по вашему поручению, так что требование о хранении в России платформа закрывает. Но если в настройках формы заявки дополнительно уходят в Telegram-бота или на зарубежную почту, это уже ваша зона ответственности.

Слабое место Тильды — Метрика. В справке не сказано, что блок T972 останавливает счётчики, подключённые в настройках сайта, поэтому проверьте это по шагу 5. Чтобы Метрика ждала согласия, счётчик убирают из стандартного поля в настройках и подключают своим скриптом, который загружает его только после выбора посетителя.

Скрипт должен читать выбор из баннера, и без проверки в браузере легко получить Метрику, которая не работает вовсе или работает до согласия. Если не хотите в это погружаться, мы делаем такую настройку при разработке и доработке сайтов на Тильде — оставьте заявку в калькуляторе.

Как мы делаем это на собственном коде

На своём коде согласие устроено так же, но под полным контролем: вы сами решаете, где хранится заявка, что записывается как доказательство и когда запускается аналитика. Так работает наш сайт pixona-studio.ru.

Данные форм хранятся в собственной базе на сервере в России, в Telegram уходит только уведомление о новой заявке без имени и телефона, копия заявки приходит на почту. У формы — ссылки на отдельные страницы /politika и /soglasie. При первом заходе показывается cookie-баннер с кнопками «Принять все», «Только необходимые» и «Настройки», и Метрика не запускается, пока посетитель не согласился.

Если вы делаете форму на коде сами, вот схема, которая закрывает требования:

• Проверка на сервере. Галочка обязательна в интерфейсе, и сервер повторно проверяет отметку перед записью. Это нужно потому, что запрос к форме можно отправить в обход страницы, и тогда в базу попадёт заявка без согласия.
• Запись согласия. Заявка сохраняется в базу вместе с отметкой, временем и номером редакции текста согласия. Тогда лог из раздела о доказательствах собирается автоматически.
• Уведомления без данных. В мессенджер уходит только сигнал «новая заявка» со ссылкой в админку. Поэтому имя и телефон не оказываются на серверах мессенджера за рубежом.
• Аналитика по согласию. Счётчик не вставляют в шаблон страницы, а подгружают скриптом после выбора посетителя. Выбор сохраняют в localStorage или технической cookie, чтобы не спрашивать на каждой странице.

Для разработчиков — минимальная функция загрузки Метрики по согласию:

js function loadMetrika(id) { if (window.ym) return; // уже загружена window.ym = function () { (window.ym.a = window.ym.a || []).push(arguments); }; window.ym.l = Date.now(); const s = document.createElement('script'); s.async = true; s.src = 'https://mc.yandex.ru/metrika/tag.js'; document.head.appendChild(s); window.ym(id, 'init', { clickmap: true, trackLinks: true, webvisor: true }); } // вызывать после «Принять все» и при следующих заходах, если выбор уже сохранён

Номер редакции удобно хранить в отдельной таблице и ссылаться на него из каждой заявки: тогда при изменении текста старые согласия остаются привязаны к своей версии. Как выбрать между конструктором и кодом, если для вас важно, где и как хранятся заявки, мы разбирали в статье «Конструктор или код».

Какие штрафы грозят за согласие в 2026 году

Штрафы за ошибки с согласием назначают по ст. 13.11 КоАП, за рекламу без согласия — по ст. 14.3. Смотреть нужно на конкретную часть статьи, потому что суммы различаются в разы, а ИП по одним частям платит как должностное лицо, а по другим — как компания.

Почему у ИП разные суммы. По общему правилу КоАП (примечание к ст. 2.4) предприниматель отвечает как должностное лицо, если статья не говорит иное. Примечание 1 к ст. 13.11 говорит иное только для частей 1.1 и 8⁠–⁠18: по ним ИП платит как компания. Поэтому за первое нарушение по ч. 1 ИП заплатит 50⁠–⁠100 тыс. ₽, а за повторное — уже 300⁠–⁠500 тыс. ₽, как ООО.

Почему отсутствие галочки — чаще ч. 1, а не ч. 2. Часть 2 говорит именно о согласии «в письменной форме», а галочка на сайте к письменной форме не относится. Поэтому обработку заявок без согласия обычно квалифицируют как обработку без законного основания по ч. 1.

Многие статьи в интернете ставят к форме без галочки сумму 300⁠–⁠700 тыс. ₽ из ч. 2, но она относится к случаям, где закон требует письменного согласия. Окончательную квалификацию даёт проверяющий и суд, поэтому мы привели обе части.

Есть и смягчающий механизм. Если малый бизнес нарушил впервые, нарушение выявлено в ходе госконтроля и не причинило вреда, штраф могут заменить предупреждением (ст. 4.1.1 КоАП; ст. 13.11 в список исключений не входит). Рассчитывать на это не стоит: замена — право, а не обязанность суда, и не применяется, если есть вред или его угроза.

Рядом с согласием почти всегда проверяют ещё две вещи. Первая — уведомление Роскомнадзора: оператор подаёт его до начала обработки, сайт с формой под исключения не подпадает, подача бесплатная, а штраф за неподачу с 30.05.2025 — 100⁠–⁠300 тыс. ₽ и для компании, и для ИП. Вторая — где хранятся заявки: с 1 июля 2025 года данные россиян нельзя первично записывать в зарубежные базы (ч. 5 ст. 18 152-ФЗ), и форма, которая отправляет заявку сразу в Telegram-бота или на Gmail, под это попадает. Обе темы подробно — в статье «Политика конфиденциальности для сайта», там же пошагово, как подать уведомление.

Сайт уже работает: как проверить согласие за пару часов

Проверку можно провести самостоятельно за час-два, без доступа к коду. Идите по порядку: каждый следующий шаг опирается на список, составленный в первом.

1. Найдите все формы. Пройдите сайт с телефона и с компьютера, включая всплывающие окна, квизы, корзину, мобильное меню и чат, и выпишите каждую форму с её полями. Без этого списка легко пропустить форму, через которую приходит много заявок.
2. Проверьте галочку в каждой. Она есть, пустая, обязательная и ведёт на страницу согласия. Одну галочку «на всё» разделите: согласие и оферта обязательные, рассылка — нет.
3. Сверьте текст согласия с формами. Каждое поле из форм есть в перечне данных, каждый сервис, куда уходит заявка (CRM, почта, рассылки), — в списке третьих лиц. Добавьте дату редакции и сохраните старую версию.
4. Проверьте Метрику и Вебвизор. Запуск до баннера — по вкладке Network, «Записывать все поля» — в настройках Вебвизора.
5. Проверьте отзывы. Если есть фото и полные имена клиентов, нужны согласия на распространение. Нет согласий — уберите фамилии и фото, пока не соберёте.
6. Проверьте себя в реестре операторов на pd.rkn.gov.ru по ИНН. Если вас там нет, подайте уведомление.

Например, у сайта, собранного несколько лет назад, такая проверка часто находит одно и то же. Согласие есть только у основной формы, текст скачан из интернета и содержит чужое название, в перечне данных нет e-mail, хотя форма его спрашивает, а Метрика стартует до баннера. Каждая из этих мелочей по отдельности выглядит безобидно, но вместе они дают проверяющему основание считать, что согласие не получено. Если проверка нашла больше двух пунктов или упёрлась в настройку Метрики и хранилища, это задача на доработку: опишите сайт в калькуляторе, и мы скажем, что и в каком порядке исправить.

Как PIXONA настраивает согласие при разработке и доработке сайта

Сделать согласие самому стоит ноль рублей: текст по списку из этой статьи, галочки в формах и проверка по чек-листу. Юрист по персональным данным нужен, если вы собираете данные о здоровье, биометрию, данные детей или ведёте большую клиентскую базу, — там цена ошибки выше, а нюансов больше, чем помещается в статью. Сложности у владельцев обычных сайтов начинаются в другом месте: связать формы, cookie-баннер, Метрику, CRM и хранилище так, чтобы ничего не стартовало до согласия и при этом не сломалась аналитика. Здесь нужна работа разработчика и проверка в браузере.

Когда мы делаем сайт, порядок такой:

1. Карта данных. Выписываем все формы, квизы, корзины, виджеты, счётчики и пиксели и куда уходит каждая заявка.
2. Документы. Готовим страницы согласия и политики под реальные формы и сервисы или размещаем тексты вашего юриста.
3. Формы. Отдельная обязательная галочка согласия в каждой форме, отдельная необязательная — на рассылку, ссылки на документы.
4. Хранение. Заявки записываются в хранилище в России, в мессенджеры уходят только уведомления.
5. Cookie и аналитика. Баннер с выбором, Метрика и пиксели запускаются после согласия, запись полей в Вебвизоре выключена.
6. Проверка. Проходим сайт как посетитель и проверяем в браузере, что до согласия ничего не отправляется.

Так можно сделать на конструкторе, который хранит данные в России (например, на Тильде), и на собственном коде (Next.js, PostgreSQL, сервер в России). Если сайт на зарубежном конструкторе, заявки придётся переводить в хранилище в России, и это отдельная задача. Ориентиры по ценам разработки у PIXONA:

Отдельной услуги с фиксированной ценой на уже работающем сайте у нас нет: объём зависит от того, на чём сайт собран и куда сейчас уходят заявки. Опишите задачу в заявке — посмотрим и скажем, что нужно сделать.

Вопросы и ответы

Можно ли принимать заявки на сайте без согласия на обработку персональных данных?

Только если у вас есть другое законное основание, например договор: покупатель оформил заказ, и его адрес нужен для доставки (п. 5 ч. 1 ст. 6 152-ФЗ). Для заявок «перезвоните», квизов и расчёта стоимости договора ещё нет, поэтому нужна галочка согласия.

Можно ли сделать одну галочку на согласие и политику конфиденциальности?

Надёжнее не делать. С 1 сентября 2025 года согласие оформляют отдельно от других документов, поэтому галочка должна относиться только к согласию и вести на его текст. Ссылку на политику ставят отдельной строкой рядом.

Достаточно ли написать «Нажимая кнопку, вы соглашаетесь на обработку данных»?

Закон допускает согласие в любой форме, позволяющей подтвердить его получение, но однозначной позиции Роскомнадзора по такому варианту нет. Пустая галочка надёжнее: в заявке видно, что человек сам отметил согласие.

Сколько платит ИП, если на сайте нет согласия?

Обычно такую обработку квалифицируют по ч. 1 ст. 13.11 КоАП: ИП платит как должностное лицо, 50⁠–⁠100 тыс. ₽, компания — 150⁠–⁠300 тыс. ₽. При повторном нарушении ИП платит как компания: 300⁠–⁠500 тыс. ₽.

Нужно ли заново собирать согласия, полученные до 1 сентября 2025 года?

Нет. Закон обратной силы не имеет, и юристы считают ранее полученные согласия действующими. Но все формы на сайте нужно переделать сейчас: каждая новая заявка — это новое согласие по новым правилам.

Кто даёт согласие, если на сайте записывают детей?

За ребёнка согласие дают родители или другие законные представители. Поэтому в форме записи на занятия галочку ставит взрослый, а текст согласия прямо говорит, что речь о данных ребёнка и родителя. Для детских центров и онлайн-школ тексты лучше показать юристу.

Посчитаем, что нужно вашему сайту

Начните с проверки из раздела «Сайт уже работает»: найдите все формы, проверьте галочки и запуск Метрики. Если что-то не настроено или сайт только в планах, мы заложим в проект отдельное согласие, формы, cookie-баннер и хранение заявок в России. Отметьте это в калькуляторе стоимости — по заявке скажем, что нужно сделать на вашем сайте и сколько это займёт.

Читайте также

• Политика конфиденциальности для сайта: что в ней писать и где разместить
• Конструктор или код: как выбрать и не переплатить