Зачем нужно согласие и когда без него нельзя
Согласие на обработку персональных данных — это письменное разрешение посетителя сайта на сбор, хранение и использование его данных. Закон требует получать согласие до того, как вы начнёте обрабатывать информацию: имя, телефон, email, IP-адрес.
Без согласия можно работать только в редких случаях: когда обработка нужна для исполнения договора (например, доставка товара) или защиты жизни и здоровья. Во всех остальных ситуациях — заявки, подписки, регистрации, передача данных в аналитику или CRM — согласие обязательно.
Если данные собираются без согласия или оно оформлено с нарушениями, это создаёт риск санкций со стороны Роскомнадзора.
Какие пункты обязательно включить в согласие
Согласие должно содержать сведения об операторе данных, о том, какие данные собираются и для каких целей, а также права субъекта и способ отзыва согласия. Отсутствие обязательной информации создаёт риск санкций.
В согласии нужно указать: кто обрабатывает данные (наименование компании или ИП, реквизиты, контакты), какие персональные данные вы собираете, для каких целей, кому могут передаваться и как субъект может отозвать согласие.
Если ваш сайт передаёт данные за пределы России (например, в Google Analytics или через зарубежные рекламные пиксели), это нужно указать отдельно.
Как технически получить согласие на сайте
Согласие должно быть получено до начала обработки. Это значит, что посетитель должен совершить активное действие: поставить галочку, нажать кнопку, подтвердить выбор.
Самый распространённый способ — галочка рядом с формой заявки или регистрации. Текст может быть кратким («Согласен на обработку персональных данных») со ссылкой на полный документ на отдельной странице. Важно: галочка не должна быть установлена по умолчанию — посетитель обязан поставить её сам.
Ещё один вариант — всплывающее окно с текстом согласия, которое появляется перед отправкой формы. Посетитель должен совершить активное действие для подтверждения.
Что делать, если трекеры запускаются раньше согласия
Многие сайты устанавливают счётчики аналитики, пиксели ретаргетинга и другие трекеры, которые начинают работать сразу при открытии страницы — до того, как посетитель даст согласие. Если трекер собирает персональные данные (IP, идентификаторы cookie, параметры браузера) до получения согласия, это создаёт риск санкций.
Проверить, когда именно запускаются трекеры, можно с помощью инструментов разработчика в браузере или автоматизированной проверки. Если трекер стартует до получения согласия, нужно либо отложить его загрузку до подтверждения, либо настроить cookie-баннер с возможностью управления категориями.
Проверка сайта фиксирует реальный запуск аналитики и cookie-файлов, а сетевые запросы к внешним сервисам попадают в раздел обстоятельств, требующих дополнительной проверки. Это позволяет скорректировать код или настройки.
Как проверить, что согласие работает правильно
Даже если согласие есть, важно убедиться, что оно соответствует тому, что сайт делает на самом деле. Например, текст согласия может не упоминать передачу данных в иностранные сервисы, хотя на сайте установлены трекеры, которые отправляют информацию за рубеж.
Проверка сайта открывает страницы с чистой сессии — глазами нового посетителя — и фиксирует снимки экрана, дословные цитаты из документов и сетевые запросы. В отчёте вы получите установленные обстоятельства, правовую квалификацию по каждому эпизоду и обстоятельства, требующие дополнительной проверки.
Если обнаружены расхождения, отчёт содержит рекомендации, что исправить.
Проверьте согласие на вашем сайте
- 01Согласие содержит все обязательные пункты. ИНН, ОГРН, адрес оператора, перечень данных, цели, срок хранения, права субъекта и способ отзыва — всё это должно быть в тексте.
- 02Посетитель совершает активное действие. Галочка, кнопка подтверждения или другое явное действие — согласие не может быть получено автоматически.
- 03Трекеры не запускаются до получения согласия. Откройте сайт в режиме инкогнито и проверьте через инструменты разработчика, когда стартуют счётчики аналитики и пиксели.
- 04Текст согласия соответствует фактическим действиям. Если данные передаются в CRM, аналитику или за рубеж, это должно быть упомянуто в согласии.
- 05Есть ссылка на полный текст согласия. Краткая формулировка в форме может вести на отдельную страницу с подробным документом.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли использовать типовой шаблон согласия из интернета?
Можно, но нужно адаптировать под ваш сайт: указать ваши реквизиты, перечислить данные, которые вы собираете, и упомянуть все сервисы, куда передаёте информацию. Типовой шаблон не учитывает трекеры и внешние интеграции.
Нужно ли согласие, если я передаю данные в CRM или email-сервис?
Да, передача данных третьим лицам — это обработка, для которой закон требует согласия. В тексте нужно указать, кому и для каких целей вы передаёте данные.
Как понять, что трекеры запускаются до согласия?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12) и перейдите на вкладку Network. Если запросы к аналитике или пикселям появляются сразу при загрузке страницы, трекер работает до согласия.
Можно ли ставить галочку согласия по умолчанию?
Нет, согласие должно быть получено через активное действие посетителя. Галочка, установленная по умолчанию, не считается согласием.
Что будет, если согласие оформлено с нарушениями?
Это создаёт риск санкций со стороны Роскомнадзора. Серьёзность зависит от характера нарушения.
Как часто нужно обновлять текст согласия?
Каждый раз, когда вы меняете способ сбора данных, добавляете новые трекеры или начинаете передавать данные новым сервисам. Текст согласия должен соответствовать тому, что сайт делает на самом деле.
Можно ли одним согласием покрыть все формы на сайте?
Да, если все формы собирают одни и те же данные для одних и тех же целей. Если цели разные (например, одна форма для заявок, другая для подписки на рассылку), лучше указать это в тексте согласия.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.