С 1 сентября 2025 года действуют новые правила получения согласия на обработку персональных данных на сайте. Мы расскажем, когда оно обязательно, как его оформить и что делать, если пользователь решил его отозвать.
Когда нужно согласие
Согласие посетителя сайта нужно во всех случаях, когда у оператора нет иных законных оснований для работы с ПДн. Часть 1 статьи 6 ФЗ от 27.07.2006 № 152-ФЗ содержит четкий перечень таких оснований.
Например, согласие обязательно в следующих случаях:
- Сбор данных через формы обратной связи, заявки, подписки на рассылку или регистрацию.
- Использование файлов cookie и других технических данных для аналитики и маркетинга.
- Передача ПДн третьим лицам (например, службам доставки, колл-трекингу, CRM-системам).
С 1 сентября 2025 года согласие оформляется как отдельный документ. Но есть исключение: если обработка необходима для выполнения обязательств по договору с субъектом, отдельное согласие не требуется.
Что должно содержать согласие
Согласно ч. 4 ст. 9 ФЗ № 152-ФЗ, в документе должны быть отражены следующие сведения:
- ФИО, адрес, пасп. данные субъекта ПДн (или его представителя — с указанием реквизитов доверенности);
- наименование и адрес оператора;
- конкретная цель обработки (например, «для направления информационных сообщений об услугах»);
- какие действия будут совершаться с ПДн;
- срок действия документа;
- порядок и способ отзыва согласия.
Если вы планируете передавать данные третьим лицам, укажите, кому именно и для каких целей. Для маркетинговых рассылок или распространения данных в общедоступных источниках оформляются отдельные согласия.
Как внедрить согласие на сайте
| Элемент | Требования и описание |
| Чекбокс (галочка) | Неактивный по умолчанию. Пользователь должен сам поставить галочку. Если она предустановлена, это нарушение. |
| Прямая ссылка на текст согласия | Рядом с чекбоксом размещается прямая ссылка на полный текст согласия. Текст открывается на отдельной странице. |
| Фиксация факта дачи согласия | Сохраняются логи: IP-адрес, точное время, текст согласия. |
| Отдельность целей | Для каждой цели (заказ, рассылка, передача данных, cookie) — отдельный чекбокс. Одно согласие «на все» запрещено. |
| Cookie-баннер | При первом посещении — всплывающее окно с описанием cookie и кнопками «Принять все», «Принять только необходимые», «Отклонить». Баннер блокирует маркетинговые и аналитические cookie до получения согласия. |
| Размещение | Ссылка на полный текст согласия — рядом с формой сбора данных. Политика обработки ПДн — в футере сайта, доступна с любой страницы. |
Если не взять согласие: ответственность
За работу с ПДн без согласия в случаях, когда оно требуется по закону, есть ответственность по статье 13.11 КоАП РФ.
- Штраф для юридических лиц по ч. 2 ст. 13.11 КоАП РФ — от 300 000 до 700 000 рублей, для ИП — от 100 000 до 300 000 рублей.
- Повторное нарушение (ч. 2.1 ст. 13.11 КоАП РФ): для ИП — от 500 000 до 1 млн рублей, для юрлиц — от 1 млн до 1,5 млн рублей.
Как обеспечить отзыв согласия
Право субъекта в любое время отозвать свое согласие закреплено в части 2 статьи 9 ФЗ № 152-ФЗ. Сделать это он может без объяснения причин, направив оператору заявление в свободной форме. Поэтому на сайте необходимо реализовать простой и очевидный механизм, позволяющий пользователю направить такой отзыв. При этом оператор должен быть готов доказать, что отзыв был получен, а данные после него — своевременно уничтожены.
Способы реализации на сайте:
- Форма обратной связи или выделенный адрес электронной почты. Это наиболее простой и распространенный способ, который подходит для большинства сайтов. На странице с Политикой обработки ПДн и в тексте самого согласия необходимо указать адрес электронной почты, на который пользователь может направить заявление об отзыве. Заявление составляется в свободной форме, но может быть оформлено и в виде специальной веб-формы.
- Кнопка «Отозвать согласие» в личном кабинете. Этот вариант подходит для сайтов с регистрацией и личным кабинетом пользователя. Реализация такой кнопки — наиболее подходящий с точки зрения закона способ, так как он обеспечивает простоту и однозначность волеизъявления. При нажатии система должна зафиксировать факт отзыва и запустить процедуру удаления данных.
Что делать после получения отзыва:
- Зафиксировать дату и время получения заявления на отзыв.
- Прекратить работу с данными.
- Уничтожить данные в срок до 30 дней с момента получения отзыва (ч. 5 ст. 21 ФЗ №152) и уведомить об этом пользователя.
Подведем итоги
Что такое согласие на обработку персональных данных для сайта и когда оно нужно?
Это отдельный документ, который пользователь подписывает до начала обработки его данных. Для подписания пользователю достаточно поставить галочку.
Как выглядит согласие посетителя с технической точки зрения?
Это неактивный чекбокс (пустая галочка) рядом с формой сбора данных. Рядом — прямая ссылка на полный текст документа. Факт дачи согласия фиксируется в логах (IP-адрес, время, текст). Для разных целей — отдельные чекбоксы.
Что обязательно указать в тексте согласия на обработку ПДн пользователей сайта?
Минимум: ФИО и адрес субъекта, наименование и адрес оператора, конкретную цель обработки, перечень ПДн (не «любые», а конкретный список), перечень действий с данными, срок действия согласия и способ его отзыва.
Какие штрафы грозят за отсутствие согласия на обработку ПДн для сайта?
Для юрлиц — от 300 000 до 700 000 рублей (ч. 2 ст. 13.11 КоАП РФ). Для ИП — от 100 000 до 300 000 рублей. За повторное нарушение — до 1,5 млн рублей для юрлиц, до 1 млн рублей для ИП.
Можно ли поставить одну галочку «на все» — и согласие на обработку, и на рассылку, и на cookie?
Нет. Для каждой цели обработки нужен отдельный чекбокс. Нельзя собирать одно согласие сразу на все — это прямое нарушение требований к конкретности и предметности согласия, за которое предусмотрен штраф.