Согласие на обработку персональных данных на сайте: как оформить в 2026

Владелец интернет-магазина открывает форму заказа на своём сайте и видит: имя, телефон, адрес доставки — и ни слова про согласие на обработку этих данных. Он не программист и не юрист, форму когда-то собрал на Tilda за вечер. Вопрос, который встаёт следующим: а это вообще обязательно, если человек и так покупает у меня товар?

Обязательно — но не всегда через отдельное согласие. Разбираемся, когда оно нужно, а когда обработка идёт по другому основанию, что должно быть в тексте согласия и как оформить чекбокс так, чтобы он действительно защищал, а не был формальностью для вида.

Почему это касается почти любого сайта с формой

Персональные данные — это любая информация, которая позволяет опознать конкретного человека: имя, телефон, email, адрес, а иногда и IP-адрес или файл cookie. Если на сайте есть форма заявки, заказа, подписки на новости или регистрации — сайт уже обрабатывает персональные данные, и на владельца распространяется 152-ФЗ «О персональных данных». Это верно и для ИП с одной страницей на Tilda, и для интернет-магазина с корзиной.

По данным проверок vlip.site (14 037 сайтов, апрель–сентябрь 2026), у 30,1 % сайтов в формах вообще нет согласия на обработку персональных данных, а ещё у 20,1 % отсутствует сама политика обработки ПД. Это не значит, что владельцы сайтов сознательно нарушают закон — чаще форму просто собрали как удобно, не подумав об этом пункте.

Когда согласие обязательно, а когда обработка возможна без него

Здесь и возникает путаница: кажется, что раз человек сам заполнил форму, значит, он уже согласился. Юридически это не так — форма и согласие на обработку данных из неё существуют отдельно.

Закон (ст. 6 152-ФЗ) допускает обработку персональных данных без отдельного согласия в нескольких случаях, и для сайта важны в основном два:

• Исполнение договора. Если человек оформляет заказ, а сайт использует его имя, телефон и адрес ровно для доставки и обслуживания этого заказа — это обработка в рамках договора (п. 5 ч. 1 ст. 6 152-ФЗ), и отдельное согласие не требуется. Публичная оферта на сайте здесь и выступает договором.
• Обработка, прямо предусмотренная законом — например, для выставления кассового чека или ведения бухгалтерского учёта.

А вот случаи, где согласие нужно почти всегда:

• форма заявки или обратной связи, где данные собираются не для исполнения уже заключённого договора, а для того, чтобы с человеком связался менеджер;
• подписка на рассылку — новости, акции, полезные материалы;
• регистрация личного кабинета;
• любая передача данных третьим лицам сверх того, что нужно для исполнения заказа (например, в CRM стороннего сервиса, партнёрам, для маркетинговых рассылок).

Практический ориентир: если данные используются строго для того, чтобы выполнить то, о чём человек попросил (доставить заказ, ответить на заявку по её сути), закон допускает обработку без отдельного согласия. Как только данные начинают использоваться шире — для рассылок, аналитики, передачи партнёрам — нужно согласие на это конкретное действие.

Что обязательно должно быть в тексте согласия

С 1 сентября 2025 года действует поправка 156-ФЗ: согласие на обработку персональных данных должно оформляться отдельным документом, а не быть частью политики конфиденциальности, договора оферты или другого текста, который человек подписывает или принимает по другому поводу. Раньше согласие нередко просто «зашивали» строкой в пользовательское соглашение — теперь это отдельный документ или отдельная формулировка со своей ссылкой.

Согласно ч. 4 ст. 9 152-ФЗ, в согласии должно быть указано:

• кто оператор (название компании или ИП, ИНН);
• какие именно данные обрабатываются (перечень, а не общая фраза «ваши данные»);
• для какой цели — конкретно, не «в служебных целях»;
• какие действия совершаются с данными (сбор, хранение, передача, удаление и так далее);
• срок действия согласия;
• порядок отзыва согласия.

Если данные передаются за рубеж (например, обрабатываются на серверах иностранного сервиса), это тоже должно быть отражено отдельно — это уже вопрос трансграничной передачи (ст. 12 152-ФЗ), и по нашим проверкам с этим основанием не разобрались 9,5 % сайтов.

Отдельно закон выделяет ситуацию, когда данные не просто обрабатываются оператором, а разрешены субъектом для распространения — то есть станут доступны неограниченному кругу лиц (например, отзыв с именем и фото на публичной странице). На это нужно отдельное согласие по ст. 10.1 152-ФЗ, с явным указанием, какие категории данных разрешено распространять. Для обычной формы заказа или заявки этот случай, как правило, не применяется — он актуален для сайтов с публичными профилями, отзывами напрямую от лица пользователя и подобным.

Как оформить чекбокс в форме правильно

Здесь работают три простых правила — и все три чаще всего нарушаются именно из-за того, что форму собирали «на глаз». Штрафы за это назначают по ст. 13.11 КоАП: за то, что согласия в форме нет вообще, — до 700 000 ₽ для юрлица; за пассивное согласие вроде «нажимая кнопку, вы соглашаетесь» — до 300 000 ₽. Это два разных нарушения, и находки по одной и той же части статьи не складывают в общую сумму.

1. Чекбокс не должен быть отмечен заранее. Согласие — это действие, которое человек совершает сам. Если галочка стоит по умолчанию, а человеку нужно её снять, чтобы отказаться, — это нарушение: согласие юридически недействительно, потому что оно не было дано осознанно.

2. Формулировка «нажимая кнопку, вы соглашаетесь» не работает. Это называется пассивным согласием: человек не совершал отдельного действия для согласия, оно приравнено к отправке формы. Закон требует явного и однозначного согласия — отдельного чекбокса, отдельного клика. По нашим данным, с этой ошибкой (или с полным отсутствием запроса согласия) сталкивается почти каждый третий сайт.

3. Ссылка на документ согласия должна быть рядом с чекбоксом, а не спрятана в футере сайта, до которого нужно ещё долистать.

Пример корректного текста рядом с чекбоксом:

☐ Даю согласие на обработку персональных данных в соответствии с условиями обработки персональных данных

Если форма собирает данные не только для доставки заказа, но и, например, ещё и подписывает человека на рассылку — нужен второй, отдельный чекбокс:

☐ Согласен(на) получать рассылку с новостями и акциями

Объединять два согласия в одну галочку нельзя: это разные основания обработки с разным сроком действия и разным порядком отзыва — отписаться от рассылки человек может в любой момент, не отзывая согласие на обработку данных заказа.

Согласие на обработку ПД — не то же самое, что политика конфиденциальности

Их часто путают, потому что оба документа появляются на сайте рядом. Разница в том, что́ каждый из них подтверждает.

Политика обработки персональных данных — документ оператора. Он один на весь сайт, описывает, как компания в целом работает с персональными данными: какие данные собирает, зачем, как хранит, кому может передать. Публикуется один раз и относится ко всем посетителям сайта.

Согласие — это действие конкретного человека в конкретной форме: он подтверждает, что разрешает обработку именно своих данных на условиях, описанных в политике или в отдельном документе согласия. Без политики согласию не на что ссылаться; без согласия наличие политики не освобождает от нарушения, если данные всё равно обрабатываются без разрешения человека.

На практике сайту нужны оба документа одновременно — они решают разные задачи, а не дублируют друг друга.

Как проверить свой сайт

Не нужно перечитывать 152-ФЗ, чтобы понять, есть ли у вас проблема. Достаточно пройти по формам сайта и ответить на четыре вопроса:

1. Есть ли рядом с полями формы чекбокс согласия — отдельный элемент, который нужно осознанно отметить?
2. Не отмечен ли он заранее?
3. Ведёт ли текст рядом с чекбоксом на документ согласия (или, если данные используются только для исполнения заказа, — хотя бы на публичную оферту)?
4. Если форма подписывает на рассылку — стоит ли для этого отдельная галочка, а не общая с согласием на обработку данных?

Если хотя бы на один вопрос ответ «нет» — это нарушение, которое стоит поправить. Быстрее всего пройтись по всем формам сайта одновременно можно бесплатной автоматической проверкой на vlip.site: сервис сам находит формы, проверяет, есть ли в них корректный запрос согласия, и показывает остальные пробелы по 152-ФЗ рядом — политику, cookie-баннер, уведомление в РКН.

Как настроить в Tilda

Для сайтов на Tilda чекбокс согласия добавляется через настройки самой формы:

1. Откройте блок с формой и нажмите «Контент».
2. В разделе полей формы нажмите «Добавить поле для ввода».
3. Выберите тип поля «Галочка» (Checkbox).
4. В описании поля впишите текст согласия со ссылкой на документ — например, на страницу с условиями обработки персональных данных.
5. Отметьте поле как обязательное для заполнения.
6. Сохраните и опубликуйте страницу.

Если на сайте несколько форм — заявка, заказ, подписка, — чекбокс нужно добавить в каждую, где собираются данные, а для рассылки завести отдельное поле.

Если согласия нет — что делать сейчас

Если проверка форм показала, что согласия нет вообще или оно оформлено с нарушением (заранее отмеченный чекбокс, формулировка «нажимая кнопку»), это можно поправить самостоятельно за один заход: добавить документ согласия, вставить в формы чекбокс без предзаполнения, развести согласие на обработку данных и на рассылку.

Если формы сложнее — например, данные уходят в CRM, передаются партнёрам или обрабатываются на зарубежном сервере, — до формулировки текста согласия стоит оставить бесплатную заявку эксперту: он посмотрит именно ваш случай и подскажет, что в тексте нужно уточнить.

Похожие темы, которые тоже стоит закрыть на сайте: как проверить сайт на соответствие 152-ФЗ целиком, нужен ли cookie-баннер и как его оформить, уведомление в Роскомнадзор — кто обязан его подавать. Полный перечень требований 152-ФЗ к сайту и штрафы по каждому пункту — на странице проверки сайта на соответствие 152-ФЗ.