Согласие на обработку персональных данных на сайте: проверили 139 сайтов, ошибки у каждого второго с формой

Коротко: проверьте свою форму за пять минут

Это можно сделать прямо сейчас с телефона. Юрист для первой проверки не нужен, достаточно открыть свой сайт и прочитать мелкий шрифт под кнопкой.

• ✓Пройдите по всем формам сайта: заявка, обратный звонок, квиз, всплывающее окно, форма в подвале. Проверять нужно каждую, а не только ту, что на главной.
• ✓Найдите рядом с кнопкой согласие на обработку персональных данных. Оно должно стоять отдельной строкой, а не внутри фразы «принимаю политику и условия».
• ✓Посмотрите на галочку до того, как что-то нажали. Если она уже стоит, её поставил сайт, а не посетитель, и это первое, что стоит исправить.
• ✓Откройте ссылку на политику обработки персональных данных. В ней должны быть ваше название и ваши цели, а не шаблон с пустыми реквизитами.
• ✓Проверьте, подавали ли вы уведомление в Роскомнадзор. Операторы персональных данных внесены в открытый реестр на сайте ведомства.
• ✓Узнайте, куда уходит заявка после отправки: почта, таблица, CRM, чат-бот. Если сервис зарубежный, это отдельный и дорогой вопрос.
• ✓Если что-то не сходится, паниковать не нужно, но разобраться лучше до проверки, а не после неё. Ниже объясняем, что можно поправить самому.

Что поменялось с 1 сентября 2025 года

Главное изменение уместилось в одно предложение статьи 9 закона о персональных данных. В редакции закона от 24 июня 2025 года № 156-ФЗ согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Субъект здесь - ваш посетитель, который оставляет телефон.

Под удар попадает самая популярная подпись под кнопкой: «Нажимая кнопку, я соглашаюсь с политикой конфиденциальности, пользовательским соглашением и даю согласие на обработку персональных данных». Три документа в одном клике больше не выглядят безопасно, потому что согласие теперь должно стоять отдельно от всего остального.

В той же статье перечислено, каким должно быть само согласие: «конкретным, предметным, информированным, сознательным и однозначным». Галочка, которую за человека поставил сайт, со словами «сознательным и однозначным» сочетается плохо. А фраза «принимаю политику конфиденциальности» вообще про другое: человек подтвердил, что видел документ, а не разрешил вам что-то делать с его телефоном.

Есть деталь, которую обычно пропускают. По части 3 той же статьи доказывать, что согласие было получено, обязан оператор, то есть вы. Не посетитель доказывает, что не соглашался, а вы доказываете, что он согласился, поэтому важна не только галочка, но и то, где сохраняется факт её нажатия.

Справедливости ради, согласие не единственное основание. Закон разрешает обрабатывать данные и без него, например, если это нужно для заключения договора по инициативе самого человека. Но наличие такого основания по той же части 3 тоже доказывает оператор, и какое основание подходит именно вашей форме, по шаблону из интернета не решить.

Мы проверили 139 сайтов: что стоит под кнопкой «Отправить»

Чтобы не пересказывать закон, мы посмотрели, как это выглядит на живых сайтах. 23 сентября 2026 года наш скрипт обошёл 166 сайтов компаний из открытых карт в четырёх городах Подмосковья: Одинцово, Химки, Подольск и Красногорск. В выборке клиники, стоматологии, салоны, фитнес-клубы, автосервисы и юристы, среди них есть и филиалы федеральных сетей. Открылись 139 сайтов.

Смотрели только главную страницу и только то, что видно в коде сразу. Формы, которые подгружаются скриптом, в выборку не попали, внутренние страницы тоже. Форма с полем для телефона нашлась на 72 сайтах, всего таких форм 265.

Итог по сайтам с формой: у 39 из 72 есть хотя бы одна из трёх проблем. Либо в форме с телефоном ни слова о персональных данных, либо галочка согласия уже стоит, либо на главной нет ссылки на политику. Полностью чистых сайтов 33.

Несколько подписей, которые стоят под кнопками прямо сейчас, названия компаний не приводим: «нажимая на кнопку, я принимаю условия соглашения» с уже поставленной галочкой, «я принимаю правила и условия и политику конфиденциальности», «нажимая кнопку «отправить», вы принимаете политику конфиденциальности». Отдельного согласия на обработку данных нет ни в одной из них.

• ✓14 сайтов из 72 ставят галочку согласия за посетителя. По формам это 65 из 265: человек ещё ничего не прочитал, а согласие уже «дано».
• ✓На 24 сайтах хотя бы в одной форме с телефоном нет слов о персональных данных, а на 17 их нет ни в одной форме вообще.
• ✓На 11 сайтах на главной нет ссылки на политику, хотя закон требует публиковать её на страницах, через которые собирают данные.
• ✓Ещё на 22 сайтах ни в одной такой форме нет галочки вообще. Закон галочку как таковую не требует, но доказать согласие без неё сложнее.

Сколько стоит ошибка: штрафы без страшилок

Наш скрипт видит только форму. Подано ли уведомление в Роскомнадзор и куда уходят заявки, снаружи не понять, а штрафы как раз там самые крупные. Суммы ниже взяты из статьи 13.11 КоАП, текст мы сверили по двум независимым публикациям кодекса.

Размер зависит от того, кто нарушил: гражданин, должностное лицо вроде директора или компания. Мы приводим цифры для компаний, а для ИП там, где кодекс прямо приравнивает их к компаниям.

Отдельно про 700 000 рублей, которые часто пишут про любую форму без галочки. Это часть 2, и она про случаи, когда закон требует согласия в письменной форме, с паспортными данными и подписью. Обычная форма заявки ближе к части 1, где суммы ниже, но тоже ощутимые.

• ✓Политика не опубликована на сайте (часть 3): ИП от 10 000 до 20 000 рублей, компания от 30 000 до 60 000 рублей.
• ✓Данные обрабатываются без законного основания, например без согласия (часть 1): компания от 150 000 до 300 000 рублей, директор от 50 000 до 100 000. Повторно компания платит от 300 000 до 500 000.
• ✓Не подано уведомление в Роскомнадзор (часть 10): компания и ИП от 100 000 до 300 000 рублей.
• ✓При сборе данные записываются в базы за пределами России (часть 8): компания и ИП от 1 до 6 миллионов рублей, повторно от 6 до 18 миллионов.
• ✓Утечка данных от 1 000 до 10 000 человек (часть 12): компания и ИП от 3 до 5 миллионов рублей. Если о ней не сообщили в Роскомнадзор, это ещё и часть 11, от 1 до 3 миллионов.

Что поправить самому, а где нужен специалист

Часть работы действительно занимает вечер. Снять предустановленную галочку, вынести согласие отдельной строкой, поставить ссылку на политику рядом с каждой формой - это правки в самом сайте, и толковый подрядчик сделает их быстро. Если сайт принимали по акту, эту проверку стоит добавить в список из нашей статьи про приёмку сайта.

Дальше начинается то, что по шаблону не делается. Согласие по закону «конкретное» и «предметное», а шаблон, скачанный с чужого сайта, описывает чужой бизнес. Если в нём написано про передачу данных партнёрам, которых у вас нет, и ничего про CRM, которая у вас есть, такой документ вас плохо защищает.

Уведомление в Роскомнадзор тоже не формальность на пять минут. По статье 22 в нём указывают цели обработки, меры защиты, ответственного и место, где находится база с данными. Ошибиться проще, чем кажется, особенно если вы сами не знаете, где физически лежат ваши заявки.

Отсюда вопрос про заявки. Сайт мог отправлять их на почту, в таблицу, в CRM или в мессенджер, а подрядчик, который это настраивал, давно занят другим. Часть 5 статьи 18 в редакции от 28 февраля 2025 года при сборе данных не допускает их запись и хранение в базах за пределами России, исключения там узкие.

Как проследить путь заявки, мы разбирали в статье о том, откуда на самом деле приходят заявки, а на кого оформлены сервисы сайта, в материале о том, кому принадлежит сайт после оплаты. Оба вопроса напрямую касаются того, кто здесь оператор и где хранятся данные.

Если сайт делаем мы, форму с отдельным согласием, пустой галочкой и ссылкой на политику закладываем сразу, а куда пойдут заявки, обсуждаем до запуска. Тексты политики и согласия под ваш бизнес лучше доверить юристу, мы подскажем, что ему передать. Сайт под ключ у нас от 70 000 рублей, лендинг от 30 000 рублей, срок 7-14 дней.