Согласие на обработку ПДн: чекбокс под формой на сайте

Согласие требуется не всегда — но там, где оно нужно, ошибка стоит до 700 000 рублей. Разбираем, когда достаточно договора, что должно быть в тексте рядом с чекбоксом и какие привычные формулировки согласием не являются.

Когда согласие действительно нужно

Распространённое заблуждение — что согласие требуется всегда. На самом деле статья 6 152-ФЗ перечисляет несколько самостоятельных правовых оснований обработки, и согласие — лишь одно из них. Обработка законна и без согласия, если она необходима для исполнения договора, стороной которого является субъект, или для исполнения обязанности, возложенной на оператора законом.

Как это выглядит на практике:

Даже когда обработка идёт по договору, обязанность информировать субъекта никуда не исчезает: человек должен понимать, кто и зачем собирает его данные. Поэтому ссылка на политику рядом с формой нужна в любом случае.

Каким должно быть согласие

Часть 1 статьи 9 152-ФЗ формулирует требования лаконично: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Каждое слово здесь имеет практический смысл:

• Конкретное — понятно, какие именно данные обрабатываются.
• Предметное — понятно, для каких целей. «Для улучшения качества обслуживания» — не цель.
• Информированное — назван оператор, доступен текст политики.
• Сознательное — человек понимает, на что соглашается.
• Однозначное — согласие выражено активным действием, а не молчанием и не предустановленной галочкой.

Отдельно закон устанавливает: обязанность доказать наличие согласия лежит на операторе. Не субъект доказывает, что не соглашался, — вы доказываете, что он соглашался.

Что должно быть в тексте

Минимальный набор сведений для согласия на сайте:

1. Кто оператор. Наименование или ФИО и ИНН — не «наша компания» и не «администрация сайта».
2. Какие данные. Перечень: имя, телефон, e-mail, и всё остальное, что реально собирает форма.
3. Зачем. Конкретные цели: обработка заявки, обратный звонок, направление коммерческого предложения.
4. Какие действия. Сбор, запись, хранение, использование, передача, удаление.
5. Кому передаются. Если данные уходят в CRM, сервис рассылок или коллтрекинг — это нужно раскрыть.
6. Срок. Или условие прекращения обработки.
7. Как отозвать. Способ отзыва согласия и адрес для обращения.
8. Ссылка на политику. Активная, ведущая на публично доступную страницу.

Технические требования

• Чекбокс пустой по умолчанию. Предустановленная галочка не является однозначным выражением воли.
• Отправка блокируется без отметки. Иначе смысла в чекбоксе нет.
• Отдельный чекбокс на рассылку. Согласие на обработку данных и согласие на получение рекламы — разные вещи. Второе требует статья 18 ФЗ «О рекламе», и объединять их в один чекбокс нельзя.
• Фиксация факта согласия. Сохраняйте дату и время, IP-адрес и версию документа, на которую человек соглашался. Без этого доказать наличие согласия при споре нечем.
• Механизм отзыва. Отозвать согласие должно быть не сложнее, чем дать его.

Формулировки, которые не работают

Ответственность

Нарушения при получении согласия — самый дорогой из «бумажных» составов статьи 13.11 КоАП:

• Часть 2 — обработка без согласия в письменной форме там, где оно требуется, либо согласие с нарушением требований к его составу: граждане 10 000 — 15 000 ₽, ИП 100 000 — 300 000 ₽, организации 300 000 — 700 000 ₽.
• Часть 2.1 — то же повторно: ИП 500 000 — 1 000 000 ₽, организации 1 000 000 — 1 500 000 ₽.

Для сравнения: отсутствие политики на сайте стоит до 60 000 ₽. Неправильно оформленное согласие обходится на порядок дороже — и при этом исправляется правкой одного текстового блока и одной настройки формы.

Частые вопросы

Материал носит справочный характер, подготовлен редакцией сервиса FastaDoc и не является индивидуальной юридической консультацией. Нормы приведены по состоянию на дату обновления статьи. В нестандартных ситуациях — обработка данных детей, специальные категории данных, трансграничная передача — рекомендуем отдельную юридическую проверку.