Согласие на обработку данных: как оформить форму законно

Согласие на обработку персональных данных по закону должно быть конкретным, предметным, информированным, сознательным и однозначным, дано в форме, позволяющей подтвердить факт его получения, и — с 1 сентября 2025 года — оформлено отдельно от иных информации и документов (ч. 1 ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). На сайте это означает пустой, не отмеченный заранее чекбокс, отдельный текст согласия и сохранённый след того, что человек его поставил.

Ниже — что именно требует закон, как это ложится на обычную форму заявки, какие пять ошибок встречаются чаще всего и что я храню у себя как доказательство. Обязательная оговорка: это разбор со стороны разработчика со ссылками на нормы, а не юридическая консультация — спорные случаи разбирает юрист.

Что требует закон

Норма	Требование	Как это выглядит в форме
ч. 1 ст. 9 152-ФЗ	согласие конкретное, предметное, информированное, сознательное, однозначное	человек видит, кому, какие данные и зачем он передаёт
ч. 1 ст. 9 152-ФЗ	в форме, позволяющей подтвердить факт получения	сохраняется отметка: когда и на какой текст согласился
ч. 1 ст. 9 152-ФЗ (с 01.09.2025)	оформлено отдельно от иных информации и документов	согласие — самостоятельный текст, а не абзац в оферте
ч. 2 ст. 9 152-ФЗ	согласие может быть отозвано в любой момент	на сайте написано, как именно его отозвать
ч. 3 ст. 9 152-ФЗ	доказывать получение согласия обязан оператор	у вас есть запись, а не «мы уверены, что галочка была»
ч. 4 ст. 9 152-ФЗ	перечень сведений для согласия в письменной форме	ориентир для состава текста согласия

Ключевая мысль третьей строки: доказывать, что согласие было, придётся вам. Не проверяющему — что его не было.

Что изменилось с сентября 2025 года

Раньше согласие спокойно жило внутри пользовательского соглашения или договора: подписал документ — «согласился» заодно и на обработку данных. Теперь ч. 1 ст. 9 152-ФЗ прямо требует оформлять его отдельно от иных информации и (или) документов.

Практический вывод для сайта: одна общая галочка «принимаю условия и даю согласие» — плохая конструкция. Условия использования и согласие на обработку данных — разные вещи, и подтверждаться они должны раздельно.

Насколько строго толковать «отдельно» — вопрос спорный, и здесь я честно останавливаюсь: разработчик может показать норму, а границу её применения проводит юрист. Безопасная сторона очевидна: чем меньше согласие смешано с другими документами, тем меньше поводов для спора.

Что должно быть в тексте согласия

Часть 4 ст. 9 описывает состав согласия в письменной форме. Для формы на сайте это разумный ориентир — из него получается такой набор:

кто оператор: наименование или ФИО, адрес, реквизиты (для ИП — ФИО, ОГРНИП, ИНН);
какие данные: перечень — имя, почта, телефон. Ровно те, что собирает форма;
зачем: цель обработки — «ответить на заявку», а не «в маркетинговых целях» вообще;
какие действия совершаются с данными: сбор, хранение, использование, удаление;
срок действия согласия и порядок отзыва: куда написать, чтобы данные удалили.

Самая частая ошибка здесь — копирование чужого текста. Согласие, обещающее защиту паспортных данных, фотографий и биометрии на сайте с формой «имя + почта», не делает вас защищённее: оно просто не соответствует тому, что происходит на самом деле.

Пять ошибок, которые видно с первого взгляда

Галочка отмечена заранее. Предустановленное согласие не является действием человека. Чекбокс должен быть пустым.
«Нажимая кнопку, вы соглашаетесь». Конструкция, при которой человек ничего не подтверждает; после сентября 2025 года к ней добавился ещё и вопрос об оформлении отдельно от иных документов.
Одна галочка на всё сразу. Заявка, рассылка и передача данных партнёрам — разные цели. Если рассылка вам нужна, спрашивайте о ней отдельным чекбоксом, и пусть он остаётся необязательным.
Текст согласия не совпадает с полями формы. Собираете имя и почту — перечисляйте имя и почту. Появилось поле «телефон» — согласие обязано измениться в тот же день.
Ссылка на политику вместо согласия. Политика обработки данных (ч. 2 ст. 18.1 152-ФЗ) — документ о том, как оператор работает с данными вообще. Согласие — волеизъявление конкретного человека. Это два разных документа, и один не заменяет другой.

Что хранить как доказательство

Обязанность доказать получение согласия лежит на операторе (ч. 3 ст. 9). Значит, у формы должен быть след. Минимально достаточный набор:

отметка времени — когда согласие получено;
что именно подтверждали — версия текста согласия на тот момент. Если вы меняете текст, старые записи должны ссылаться на старую версию, а не на сегодняшнюю;
состав отправленных данных — какие поля были в форме.

Чего в этот след не должно попадать: лишние данные «на всякий случай». Технические сведения вроде IP-адреса хранят, когда для этого есть цель (например, защита формы от спама), и хранят ограниченный срок, а не вечно.

Как это сделано у меня, чтобы был живой пример. На сайте три формы, собирающие персональные данные: заявка на странице контактов, «PDF-смета за email» на результате калькулятора и «PDF-отчёт за email» на странице аудита. У каждой — пустой чекбокс со ссылкой на текст согласия, который лежит отдельной страницей и перечисляет ровно те поля, что есть в форме. В базе рядом с заявкой сохраняется отметка о согласии; IP-адрес хранится 30 дней ради защиты от спама и удаляется автоматически. Заявка без отметки о согласии физически не создаётся — это проверка в коде, а не договорённость.

Как проверить свою форму за десять минут

Откройте форму. Чекбокс пустой? Отправляется ли форма без него?
Прочитайте текст согласия. Совпадают ли перечисленные данные с полями формы?
Найдите в тексте оператора: есть ли реквизиты, по которым вас можно опознать?
Найдите порядок отзыва. Написано ли, куда обратиться, чтобы данные удалили?
Спросите разработчика: где хранится отметка о согласии и что именно в ней лежит?
Проверьте, не смешано ли согласие с офертой или условиями использования в одной галочке.

Пункты 1–3 частично проверяет экспресс-аудит: в блоке «Закон» он смотрит, есть ли на сайте страница политики, есть ли чекбокс согласия у форм и опубликованы ли реквизиты. Остальное — ручная работа, но на неё уходит те самые десять минут.

Коротко

Требования к согласию — ч. 1 ст. 9 152-ФЗ: конкретное, предметное, информированное, сознательное, однозначное, с подтверждаемым фактом получения.
С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов (ФЗ от 24.06.2025 № 156-ФЗ).
Доказывать, что согласие было, обязан оператор (ч. 3 ст. 9) — значит, нужна запись, а не уверенность.
Текст согласия должен перечислять ровно те данные, которые собирает форма.
Политика и согласие — разные документы; ссылка на политику согласия не заменяет.

Частые вопросы

Нужно ли согласие, если форма собирает только адрес почты?

Адрес почты, по которому можно определить человека, — персональные данные. Практика исходит из того, что почта вида «имя.фамилия@…» относится к конкретному лицу. Безопасная позиция: согласие нужно, а объём данных в тексте описан честно — «адрес электронной почты».

А если у меня заявки приходят в мессенджер, а не через форму?

Тогда данные вам передаёт сам человек в переписке, и обработка идёт по другому основанию. Но как только на сайте появляется поле ввода — появляется и форма, и всё, что описано выше. Разбор минимума для сайта целиком — в статье «152-ФЗ для сайта».

Можно ли взять шаблон согласия из интернета?

Как каркас — да, как готовый документ — нет. Шаблон почти всегда описывает чужой состав данных и чужие цели. Приведите его к тому, что реально собирает ваша форма, и подставьте свои реквизиты; спорные формулировки покажите юристу.

Что делать со старыми согласиями?

Новая редакция нормы не имеет обратной силы: переподписывать ранее полученные согласия закон не требует. Но новая форма на сайте должна работать уже по новым правилам.

Кто отвечает — я или разработчик?

Оператор персональных данных — тот, кто определяет цели обработки, то есть владелец сайта. Разработчик отвечает за то, чтобы форма технически соответствовала требованиям, но ответственность оператора на него не переходит. Это стоит проговаривать до начала работ — вместе с остальными условиями, о которых речь в статье «Как проверить подрядчика до предоплаты».

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9 (действующая редакция; проверено 28 августа 2026 года)
Федеральный закон от 24.06.2025 № 156-ФЗ — которым в ч. 1 ст. 9 добавлено требование оформлять согласие отдельно от иных информации и (или) документов; вступил в силу 1 сентября 2025 года