Когда форма обязана запрашивать согласие на обработку данных
Закон о персональных данных требует получить согласие субъекта до начала обработки его данных. Обработкой считается любое действие с персональными данными: сбор, запись, хранение, передача третьим лицам.
Если форма на сайте собирает имя, телефон, email или другие данные, позволяющие идентифицировать человека, — это обработка персональных данных. Согласие должно быть получено до отправки формы.
Простое размещение ссылки на политику конфиденциальности рядом с кнопкой «Отправить» не заменяет согласие. Закон требует активного действия пользователя — например, установки галочки в чекбокс. Чекбокс, включенный по умолчанию, не соответствует требованию добровольности.
Что должно быть в тексте согласия под формой
Текст согласия обязан называть конкретные цели обработки данных и перечень лиц, которым данные будут переданы. Общая формулировка «даю согласие на обработку персональных данных» создаёт риск признания согласия недействительным.
Если форма отправляет данные в CRM-систему, email-рассылку или рекламный кабинет, эти получатели и цели передачи должны быть названы в тексте согласия. Если используется виджет иностранного сервиса, согласие обязано указать страну, куда передаются данные.
Пользователь должен иметь возможность ознакомиться с полным текстом политики обработки персональных данных и узнать, как отозвать согласие. Ссылка на политику и контакты оператора — обязательная часть информирования.
Как проверить, куда форма отправляет данные на самом деле
Внешний вид формы и текст согласия не гарантируют, что данные обрабатываются в соответствии с заявленными целями. Проверка сетевых запросов при отправке формы показывает, на какие серверы и в какие системы уходят введённые контакты.
Если форма отправляет запросы на домены иностранных сервисов (например, конструкторов форм, CRM или аналитических платформ), это означает трансграничную передачу персональных данных. Такая передача требует уведомления Роскомнадзора и явного согласия пользователя с указанием страны получателя.
Форма может содержать скрытые поля, которые отправляют дополнительные данные: UTM-метки, идентификаторы сессий, IP-адреса, параметры браузера. Если эти данные не упомянуты в тексте согласия, возникает риск обработки за пределами заявленных целей.
Трекеры и cookie, которые запускаются на странице с формой
Страница с формой может загружать аналитические и рекламные трекеры, которые собирают данные о посетителе ещё до того, как он заполнил форму. Если эти скрипты запускаются без согласия на cookie, это создаёт отдельный риск обработки данных без правового основания.
Проверка фиксирует, какие трекеры стартуют при открытии страницы, какие cookie устанавливаются и куда отправляются запросы. Если аналитика или рекламные системы начинают работу до принятия cookie-баннера, это может квалифицироваться как нарушение требований к согласию.
Форма должна работать и отправляться даже в том случае, если посетитель отказался от всех необязательных cookie. Если отправка формы блокируется при отключенных трекерах, это создаёт риск принудительного согласия.
Как Dobrolex проверяет формы и согласия на сайте
Dobrolex открывает сайт с чистой сессии — как новый посетитель, без cookie и авторизации — и фиксирует, какие данные собираются на публичных страницах. Проверка включает осмотр веб-форм, текста согласий, сетевых запросов и политики обработки персональных данных.
Каждый эпизод, который может создавать правовой риск, описывается в заключении со снимком экрана, временем фиксации и ссылкой на норму закона. Если форма отправляет данные без чекбокса согласия или на иностранные серверы без уведомления об этом, такой эпизод попадает в отчёт с рекомендацией, что исправить.
Проверка не заменяет консультацию юриста и не охватывает закрытые разделы сайта, серверную часть и внутренние процессы обработки данных. Если эпизодов не найдено, это означает, что на осмотренных публичных страницах признаков нарушений нет.
Чек-лист: что проверить в формах на сайте
- 01Чекбокс согласия перед отправкой формы. Убедитесь, что под каждой формой, собирающей персональные данные, есть чекбокс согласия, отключенный по умолчанию. Отправка формы без активного действия пользователя создаёт риск обработки без правового основания.
- 02Текст согласия называет цели и получателей данных. Проверьте, что текст согласия указывает конкретные цели обработки (например, «для обработки заявки и отправки коммерческих предложений») и перечень лиц, которым данные передаются (CRM, email-сервис, рекламные системы).
- 03Ссылка на политику конфиденциальности и контакты оператора. Убедитесь, что рядом с формой есть ссылка на полный текст политики обработки персональных данных и указаны контакты оператора для отзыва согласия.
- 04Сетевые запросы при отправке формы. Откройте инструменты разработчика браузера (вкладка Network), заполните форму и отправьте её. Проверьте, на какие домены уходят запросы — если среди них есть иностранные сервисы, это трансграничная передача данных.
- 05Скрытые поля в коде формы. Откройте исходный код страницы (Ctrl+U или Cmd+Option+U) и найдите тег формы. Проверьте, есть ли скрытые поля (input type="hidden"), которые отправляют данные, не названные в согласии.
- 06Трекеры, запускающиеся на странице с формой. Откройте страницу с формой в режиме инкогнито и проверьте вкладку Network в инструментах разработчика. Если аналитические или рекламные скрипты загружаются до принятия cookie-баннера, это создаёт риск обработки данных без согласия.
- 07Возможность отправить форму при отключенных cookie. Попробуйте отправить форму, отказавшись от всех необязательных cookie в баннере или отключив cookie в настройках браузера. Если форма не отправляется, это может квалифицироваться как принудительное согласие.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Достаточно ли ссылки на политику конфиденциальности рядом с формой или нужен отдельный чекбокс согласия?
Ссылка на политику информирует, но не заменяет согласие. Закон требует активного действия пользователя — чекбокса, который он включает самостоятельно перед отправкой формы.
Можно ли включить чекбокс согласия по умолчанию, чтобы не снижать конверсию формы?
Нет. Чекбокс, включенный по умолчанию, не соответствует требованию добровольности согласия. Пользователь должен совершить активное действие — самостоятельно поставить галочку.
Нужно ли согласие для простой формы обратной связи с именем и телефоном?
Да. Согласие требуется для любой формы, которая собирает персональные данные, включая имя и телефон. Размер формы и сложность обработки не освобождают от этой обязанности.
Как понять, что форма отправляет данные за рубеж, если это не видно пользователю?
Откройте инструменты разработчика браузера (вкладка Network), заполните форму и отправьте её. Проверьте, на какие домены уходят запросы — если среди них есть иностранные сервисы, это трансграничная передача данных.
Что делать, если форма использует виджет иностранного конструктора форм?
Использование виджетов иностранных сервисов означает трансграничную передачу данных. Это требует уведомления Роскомнадзора и согласия пользователя с указанием страны, куда передаются данные.
Может ли форма собирать больше данных, чем видно в полях ввода?
Да. Форма может содержать скрытые поля, которые отправляют UTM-метки, идентификаторы сессий, IP-адреса и параметры браузера. Если эти данные не названы в согласии, возникает риск обработки за пределами заявленных целей.
Как проверить, запускаются ли трекеры на странице с формой до согласия на cookie?
Откройте страницу с формой в режиме инкогнито и проверьте вкладку Network в инструментах разработчика. Если аналитические или рекламные скрипты загружаются до принятия cookie-баннера, это создаёт риск обработки данных без согласия.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.