Блог · Веб

Согласие на обработку персональных данных на сайте: как оформить по правилам 2026 года

С 1 сентября 2025 года согласие на обработку персональных данных оформляют отдельно от оферты и политики. Разбираем, что должно быть в тексте согласия, как настроить форму и cookie-баннер, как доказать согласие и чем грозят ошибки.

13 октября 202610 мин чтенияАвтор: Станислав Баранов

Согласие на обработку персональных данных на сайте: как оформить по правилам 2026 года

С 1 сентября 2025 года согласие на обработку персональных данных оформляют отдельно от оферты, политики и других документов на сайте. На практике это своя страница с текстом согласия, пустая галочка у каждой формы и запись о том, когда и где человек её поставил. Финальный текст согласия и политики согласует юрист, а мы разберём, из чего они состоят и где сайты чаще всего ошибаются.

Что считается персональными данными и когда владелец сайта становится оператором, объясняет статья wiki «152-ФЗ и персональные данные на сайте». Здесь только практика: текст согласия, форма, cookie, доказательства и штрафы. Нормы сверены по КонсультантПлюс на октябрь 2026 года.

Отдельное согласие: что изменилось с 1 сентября 2025 года

Федеральный закон от 24.06.2025 № 156-ФЗ дополнил часть 1 статьи 9 закона «О персональных данных» одним предложением. Согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Норма действует с 1 сентября 2025 года и на октябрь 2026 года сохраняется в той же редакции.

Остальное в статье осталось прежним. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Дать его можно в любой форме, которая позволяет подтвердить факт получения, поэтому галочка в форме на сайте подходит.

Для форм вывод простой. Галочка «Принимаю условия оферты, политики конфиденциальности и даю согласие на обработку данных» смешивает согласие с другими документами. Согласию нужен свой текст и своё действие человека.

Сравнение формы на сайте: одна галочка на оферту, политику и согласие против отдельного согласия с пустой галочкой и своей страницей — Согласие в форме после 1 сентября 2025

Когда согласие нужно, а когда хватает договора

Согласие – одно из нескольких законных оснований обработки, их список дан в части 1 статьи 6. Например, адрес для доставки оформленного заказа обрабатывают для исполнения договора, и отдельное согласие на это закон не требует. Но сайт обычно делает больше: передаёт заявку в облачную CRM, отправляет рассылку, считает посетителей в аналитике. Поэтому в формах заявки и обратного звонка согласие собирают почти всегда, а где хватает договора, решает юрист.

Есть случаи, когда одного общего согласия мало:

Реклама и рассылки. Обработка данных для продвижения товаров через прямые контакты допускается только с предварительного согласия (статья 15). Закон о рекламе в статье 18 тоже требует предварительного согласия на рекламу по сетям электросвязи, в том числе по телефону. Доказывать согласие в обоих случаях придётся вам.
Отзывы с именем и фото. Публикация на сайте – это распространение данных, и согласие на него оформляется отдельно от иных согласий (статья 10.1).
Сведения о здоровье. Это специальная категория данных (статья 10), для неё нужно письменное согласие или другое основание из той же статьи. Если форма записи в клинику спрашивает о жалобах, обсудите её с юристом до запуска. Что ещё нужно сайту медицинской организации, мы разобрали в статье «Сайт для клиники: что должно быть и сколько стоит».

Что должно быть в тексте согласия

Готовый образец мы не публикуем: текст зависит от целей, сервисов и процессов конкретной компании. Ниже элементы, без которых согласие трудно назвать конкретным и информированным. Список опирается на часть 4 статьи 9, где перечислено содержание письменного согласия. Подпись и паспортные данные из этого списка относятся к письменному согласию, для галочки на сайте их обычно не собирают.

Элемент	Что указать	Частая ошибка
Оператор	Полное наименование компании или ИП и адрес	Только бренд или домен сайта
Цель	Зачем нужны данные: перезвонить, рассчитать стоимость, записать на приём	«Для улучшения качества услуг» и другие общие слова
Перечень данных	Поля формы и технические данные, если они нужны для цели	«Любые сведения, которые я сообщу»
Действия и способы	Что делают с данными: сбор, запись, хранение, передача; с использованием компьютеров или без	Весь перечень из закона без связи с целью
Кому поручена обработка	Сервисы и подрядчики, которые получают заявку: CRM, колл-центр	Не названы, хотя заявка уходит к ним
Срок и отзыв	Сколько действует согласие и куда написать, чтобы его отозвать	«Бессрочно» и ни одного контакта

Пункт про подрядчиков пропускают чаще других. Поручить обработку другому лицу оператор может с согласия человека (часть 3 статьи 6). Если заявка с сайта через интеграцию с CRM уходит в облачный сервис или колл-центр, их стоит назвать.

Как оформить форму на сайте: чек-лист

Галочка согласия пустая, пока человек сам её не отметит.
Без галочки форма не отправляется и показывает понятную ошибку, в том числе в мобильной версии.
Рядом с галочкой короткая фраза и ссылка на полный текст согласия. Политика конфиденциальности идёт отдельной ссылкой, а не внутри той же галочки.
Согласие на рекламную рассылку стоит отдельной необязательной галочкой, если рассылка вообще нужна.
В форме только поля, нужные для цели. Избыточные данные собирать нельзя (часть 5 статьи 5), а для обратного звонка хватает имени и телефона.
Те же правила работают во всплывающих окнах, квизах, онлайн-чатах и на старых посадочных страницах.
Форма передаёт данные по протоколу HTTPS.

Чек-лист формы заявки на сайте: пустая галочка согласия, запрет отправки без неё, ссылка на текст согласия, минимум полей, отдельная галочка рассылки — Чек-лист формы заявки

Как это устроено на ebaev.ru. Галочка согласия стоит в каждой форме заявки и по умолчанию пустая. Без неё форма не уйдёт и покажет подсказку «Согласитесь с условиями»: мы проверяли это на экране шириной 390 px. Текст согласия, политика конфиденциальности и политика обработки cookie лежат на трёх отдельных страницах, ссылки на них есть в подвале сайта. В форме обратного звонка два поля: имя и телефон.

Одно место по строгому прочтению новой редакции стоит доработать. На октябрь 2026 года одна галочка закрывает и согласие, и ознакомление с политиками, а их лучше развести на две отметки.

Проверим формы, тексты на сайте и путь заявки до CRM, покажем, где согласие не дотягивает до новой редакции закона. Это работа по услуге «Информационная безопасность сайтов», от 4 200 ₽ в час. Переделать формы и галочки поможет доработка существующего сайта.

Отдельной нормы про файлы cookie в законе о персональных данных нет. Позицию Роскомнадзор изложил в письме от 26.06.2024 № 08-242780. Если на сайте стоят метрические программы, которые различают посетителей и собирают сведения об их поведении, это обработка персональных данных. Владелец сайта должен проинформировать посетителя, получить согласие и описать порядок обработки в локальном акте.

Обычно для этого показывают баннер при первом заходе. В нём пишут:

какие сервисы ставят cookie: Яндекс Метрика, коллтрекинг, виджеты чатов;
зачем: статистика посещений, оценка рекламы, работа форм;
ссылку на политику обработки cookie или на раздел о cookie в политике конфиденциальности;
кнопку согласия и способ отказаться.

Если аналитика работает на основании согласия, счётчики логично запускать только после него: код счётчика вызывают по нажатию кнопки в баннере. Согласие на cookie не заменяет согласие в форме заявки, у них разные цели.

Как доказать, что согласие получено

Доказывать согласие должен оператор (часть 3 статьи 9). Для рекламы правило жёстче: если оператор не докажет согласие, обработка считается проведённой без него (часть 1 статьи 15). Поэтому одной галочки мало, нужен след в системе.

Что стоит сохранять по каждой заявке:

дату и время отправки;
форму и страницу, с которой пришла заявка;
отметку о согласии и отдельную отметку о рассылке, если она есть;
редакцию текста согласия, которая действовала в этот день.

Текст согласия со временем меняют, поэтому прежние редакции храните с датами. У нас заявки с сайта сразу попадают в CRM как лиды, и в каждом лиде видно, с какой формы и с какой страницы его отправили. Зачем связывать заявку с источником и CRM, мы рассказали в статье про сквозную аналитику.

Шаги доказательства согласия на сайте: отметка в форме, запись в CRM с датой и страницей, архив редакций текста, отзыв согласия за 30 дней — Как сохранить доказательство согласия

Отзыв согласия: что сделать за 30 дней

Человек может отозвать согласие в любой момент (часть 2 статьи 9). После отзыва оператор прекращает обработку и уничтожает данные в срок до 30 дней, если нет другого законного основания их хранить (часть 5 статьи 21). На требование прекратить обработку отводится 10 рабочих дней (часть 5.1 той же статьи). Рекламу прекращают слать немедленно: так говорят часть 2 статьи 15 и статья 18 закона о рекламе.

Заранее решите, кто принимает отзывы и где удаляет данные: в CRM, почте, сервисе рассылок. Адрес для отзыва укажите в тексте согласия.

Частые ошибки

Кроме пунктов из чек-листа выше, есть ещё четыре ошибки, которые легко пропустить:

Согласие «по факту отправки формы»: ни галочки, ни ссылки на текст.
Текст скопирован с чужого сайта, и в нём чужие цели, а иногда и чужой оператор.
Согласие на рекламу спрятано в общем тексте согласия.
Не сказано, как отозвать согласие, и никто не отвечает за такие письма.

Штрафы за нарушения с согласием

Штрафы установлены статьёй 13.11 КоАП РФ. Суммы ниже по редакции кодекса на октябрь 2026 года.

Нарушение	Часть ст. 13.11	Юрлицо	Должностное лицо
Обработка без законного основания или несовместимая с целями сбора	ч. 1	150 000–300 000 ₽	50 000–100 000 ₽
Нет письменного согласия там, где оно обязательно, или в нём не хватает сведений	ч. 2	300 000–700 000 ₽	100 000–300 000 ₽
То же повторно	ч. 2.1	1 000 000–1 500 000 ₽	300 000–500 000 ₽

За неопубликованную политику обработки персональных данных есть отдельный штраф по части 3: юрлицу 30 000–60 000 ₽. Он меньше, зато такое нарушение видно сразу, достаточно открыть сайт.

Коротко

Согласие живёт на отдельной странице и называет оператора, цели, данные, подрядчиков, срок и способ отзыва. У каждой формы пустая галочка со ссылкой на этот текст, реклама идёт отдельной галочкой, на cookie просят согласие в баннере. Финальные тексты согласия и политики согласует юрист.

Если сайт работает на 1С-Битрикс, формы, галочки и передачу заявок в CRM можно отдать нашей технической поддержке. Тариф «Техническая поддержка» стоит 84 000 ₽ в месяц, в него входят мониторинг и резервные копии сайта. Разовые правки делаем по услуге доработки сайта.

Вопросы о согласии на обработку персональных данных

Нужно ли согласие на обработку персональных данных, если на сайте есть политика конфиденциальности?

Да, политика не заменяет согласие. Политика описывает, как компания в целом работает с данными, и публикуется для всех. Согласие даёт конкретный человек на конкретные цели, и с 1 сентября 2025 года его оформляют отдельно от политики и других документов.

Можно ли поставить галочку согласия заранее?

Нет, галочку лучше оставлять пустой. Закон требует, чтобы согласие было сознательным и однозначным, а галочку, которую человек не трогал, трудно считать его решением. Пустая галочка и запрет отправки формы без неё снимают этот вопрос.

Нужно ли отдельное согласие на рассылку?

Да, если вы собираетесь отправлять рекламу. Статья 15 закона о персональных данных и статья 18 закона о рекламе требуют предварительного согласия, и доказывать его придётся вам. Удобнее всего отдельная необязательная галочка в форме.

Нужно ли согласие на cookie?

Да, если на сайте стоят счётчики вроде Яндекс Метрики. Роскомнадзор в письме от 26.06.2024 № 08-242780 называет данные метрических программ персональными и говорит о согласии посетителя. Обычно его получают баннером с кнопкой согласия и ссылкой на политику cookie.

Как хранить согласия, полученные через сайт?

Вместе с заявкой: дата и время, форма, страница, отметка о согласии и редакция текста согласия на этот день. Удобно, когда всё это попадает в CRM автоматически, а старые редакции текста лежат в архиве с датами.

Можно ли объединить согласие и политику конфиденциальности в один документ?

С 1 сентября 2025 года нельзя: часть 1 статьи 9 требует оформлять согласие отдельно от иной информации и документов, которые подтверждает человек. Политика и согласие должны быть разными страницами со своими ссылками.

Какой штраф за обработку персональных данных без согласия?

По статье 13.11 КоАП юрлицо за обработку без законного основания платит от 150 000 до 300 000 ₽, повторно до 500 000 ₽. Если обязательное письменное согласие не получено или в нём не хватает сведений, штраф от 300 000 до 700 000 ₽.