Почему универсального шаблона согласия недостаточно
Согласие на обработку персональных данных — это не формальность, а описание реальных действий с данными посетителя. Закон требует, чтобы человек понимал, что именно он разрешает: какие данные собираются, для каких целей, кому передаются и как долго хранятся.
Шаблон из интернета описывает обработку в общих словах — «для улучшения качества услуг», «ваши данные». Но если сайт собирает имя, email и телефон для отправки рассылки, а согласие говорит о «повышении удобства сервиса», формулировка не соответствует реальности. Роскомнадзор может признать такое согласие недействительным.
Второй риск — технический. Согласие может быть оформлено правильно, но если трекеры аналитики и рекламные скрипты запускаются до того, как посетитель нажал «Принять», данные уже обработаны без законного основания. Документ и настройки сайта должны работать вместе.
Какие пункты обязательны в согласии по закону
Закон устанавливает минимальный состав согласия. Должны быть указаны: название организации, ИНН, ОГРН и адрес оператора; конкретная цель обработки; перечень персональных данных; действия с данными (сбор, запись, хранение, передача); срок действия согласия или срок обработки; способ отзыва согласия.
Если данные передаются третьим лицам — в CRM, почтовый сервис, аналитику, платёжный шлюз — это нужно указать. Если данные уходят за рубеж, требуется упомянуть трансграничную передачу и страну или сервис. Без этих пунктов согласие может быть признано неполным.
Формулировки должны быть конкретными. Вместо «обработка в целях предоставления услуг» — «обработка заказа и доставка товара». Вместо «ваши данные» — «имя, фамилия, адрес электронной почты, номер телефона». Посетитель должен понимать, на что он соглашается, без обращения к юристу.
Как проверить, что сайт собирает на самом деле
Чтобы согласие соответствовало реальной обработке, нужно зафиксировать, какие данные собирает сайт и куда они уходят. Это можно сделать вручную через инструменты разработчика браузера, но проще — автоматизированной проверкой.
Проверка открывает сайт с чистой сессии — как новый посетитель, без cookie и истории. Фиксируются все формы, поля ввода, сетевые запросы к внешним сервисам, запуск трекеров и скриптов. Отчёт показывает, какие данные собираются, когда стартуют аналитические системы и какие иностранные сервисы получают информацию о посетителе до его согласия.
На основе этих фактов можно составить точное согласие: перечислить собираемые поля, указать цели (например, «отправка коммерческих предложений по email»), назвать сервисы, которым передаются данные, и страны, куда они уходят. Документ становится не формальным, а рабочим.
Одно согласие на весь сайт или отдельное для каждой формы
Если на сайте несколько форм с разными целями — подписка на новости, форма обратной связи, оформление заказа — требуются отдельные согласия. Цель обработки и состав данных различаются, и посетитель должен соглашаться на каждую обработку отдельно.
Общее согласие допустимо, если все формы собирают одни и те же данные для одной цели. Например, если сайт собирает только email для рассылки и больше никаких данных не обрабатывает. Но если одна форма запрашивает телефон для звонка менеджера, а другая — адрес для доставки, нужны разные согласия.
Проверка показывает все формы на публичных страницах, состав полей и текущие тексты согласий. Это помогает понять, где нужно разделить согласия, а где достаточно одного документа.
Как связать согласие с настройками трекеров и cookie
Согласие работает только если трекеры, аналитика и рекламные скрипты запускаются после того, как посетитель дал разрешение. Если скрипты стартуют при загрузке страницы — до клика на «Принять» — данные уже обработаны, и согласие становится формальным.
Проверка фиксирует момент запуска каждого скрипта и сетевые запросы с чистой сессии. Если аналитическая система или рекламная сеть получили данные до согласия, это эпизод с признаками нарушения. Отчёт показывает, какие трекеры нужно перенастроить.
Для управления cookie и трекерами используются специальные плагины и сервисы — cookie-менеджеры. Они блокируют скрипты до согласия посетителя и запускают их только после выбора категорий. Настройка cookie-менеджера — это техническая часть работы с согласием, без которой документ не защитит от штрафа.
Проверьте согласие и настройки сайта
- 01Указаны ли в согласии все обязательные реквизиты оператора. Название организации, ИНН, ОГРН, юридический адрес — без этого согласие недействительно.
- 02Описаны ли конкретные цели и перечень данных. Вместо общих фраз — точные формулировки: «для отправки email-рассылки», «имя, email, телефон».
- 03Упомянута ли передача данных третьим лицам. Если данные уходят в CRM, почтовый сервис, аналитику или платёжную систему — это нужно указать.
- 04Указана ли трансграничная передача данных. Если сайт использует зарубежные сервисы — Google Analytics, зарубежные рекламные пиксели, Mailchimp — это должно быть в согласии.
- 05Запускаются ли трекеры до согласия посетителя. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (вкладка Network) — если запросы к аналитике есть до клика на баннер, это риск.
- 06Есть ли у посетителя возможность отказаться от обработки. Согласие должно быть добровольным: кнопка «Отклонить» или возможность снять галочки с категорий cookie.
- 07Описан ли способ отзыва согласия. Посетитель должен знать, как отозвать согласие: email, форма обратной связи, ссылка в личном кабинете.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли использовать готовый шаблон согласия из интернета?
Можно, но его нужно адаптировать под реальную обработку данных на вашем сайте: указать собираемые поля, цели, сервисы-получатели. Универсальный шаблон без привязки к фактам не защитит при проверке.
Что будет, если согласие оформлено, но трекеры запускаются до клика посетителя?
Это создаёт риск штрафа: данные обработаны без законного основания. Согласие должно работать вместе с настройками сайта — трекеры стартуют только после разрешения посетителя.
Нужно ли отдельное согласие для каждой формы на сайте?
Если формы собирают разные данные для разных целей — да. Например, форма подписки и форма заказа требуют отдельных согласий. Если цель и данные одинаковые, достаточно одного документа.
Как проверить, какие данные собирает мой сайт?
Откройте сайт в режиме инкогнито, используйте инструменты разработчика браузера (вкладки Network, Application). Или запустите автоматизированную проверку — она зафиксирует формы, трекеры и сетевые запросы с чистой сессии.
Что указывать в согласии, если данные уходят в Google Analytics?
Нужно упомянуть передачу данных третьему лицу (Google) и трансграничную передачу (США или другие страны, где обрабатываются данные). Это обязательное требование закона.
Можно ли в согласии написать общие формулировки — «для улучшения сервиса»?
Нет, цель должна быть конкретной и понятной посетителю: «для отправки рекламных рассылок», «для обработки заказа и доставки». Общие фразы могут быть признаны недействительными.
Как часто нужно обновлять согласие?
Каждый раз, когда меняется состав данных, цели обработки или список сервисов-получателей. Например, если подключили новую аналитическую систему или начали передавать данные в CRM — согласие нужно обновить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.