Согласие на обработку персональных данных: что проверить на своём сайте
Форма заявки - это сбор персональных данных, и для него нужно основание. У 30% сайтов из верхних строк выдачи Яндекса форма собирает данные без галочки согласия вообще, ещё у 16% галочка проставлена заранее, а это по ст. 9 152-ФЗ не согласие. Половина сайтов при этом не называет оператора, а у 47% политика не содержит обязательных сведений - согласию не на что ссылаться. Разбираю, что именно требует закон, сколько стоит каждое нарушение по частям ст. 13.11 КоАП и как всё это проверить за полминуты.
Форма заявки на сайте - это сбор персональных данных. Имя, телефон, почта, а вместе с ними IP и данные счётчиков. Чтобы собирать их законно, нужно основание, и для обычного сайта таким основанием служит согласие посетителя. Я прогнал через свой бесплатный аудитор 759 сайтов из верхних строк выдачи Яндекса по коммерческим запросам 21 отрасли и посмотрел, как у них устроены формы. Результат неутешительный: у 30% сайтов форма собирает данные без галочки согласия вообще, а ещё у 16% галочка есть, но проставлена заранее - и юридически это одно и то же.
Что закон считает согласием
Статья 9 152-ФЗ описывает согласие четырьмя словами: конкретное, предметное, информированное и сознательное. Каждое слово - это требование, которое легко провалить.
- Конкретное - понятно, кто именно обрабатывает данные. Отсюда требование указать оператора: название организации или ИП и его реквизиты.
- Предметное - понятно, какие данные и для чего. Согласие на обратный звонок не покрывает рассылку раз в неделю.
- Информированное - у человека есть доступ к тексту, где всё это написано. Практически это ссылка на политику конфиденциальности рядом с формой.
- Сознательное - человек совершил действие сам. Отметку, которую поставили за него, он не давал.
Отсюда простое следствие, которое чаще всего и нарушают: предустановленная галочка согласием не является. Форма с ней собирает данные без основания - ровно так же, как если бы галочки не было вовсе.
Что показали 759 сайтов
Что не так с формами и документами на сайтах из верхних строк выдачи
Это доли от всех проверенных сайтов, а не от тех, у кого есть формы: проверка согласия срабатывает только там, где на странице действительно собираются данные. Проверялась одна страница каждого сайта, обычно главная.
Три ошибки, которые встречаются чаще всего
Первая - галочки нет совсем. Форма отправляется одной кнопкой, под ней в лучшем случае строка «Нажимая кнопку, вы соглашаетесь с политикой». Такая конструкция спорна: доказывать, что человек ознакомился и согласился, придётся вам, а не проверяющему. Отдельная обязательная отметка снимает вопрос.
Вторая - галочка проставлена заранее. Разработчик поставил checked, чтобы конверсия не падала. С точки зрения закона согласия здесь нет вообще: человек не совершал действия. Это тот случай, когда сайт выглядит аккуратнее конкурента, а по существу нарушает так же.
Третья - галочка есть, а ссылаться ей не на что. Половина сайтов не называет оператора, у 47% политика не содержит обязательных сведений по ст. 18.1, а у 16% политики нет вовсе. Согласие с текстом, которого нет или который не отвечает требованиям, свою функцию не выполняет.
Чем это грозит на самом деле
Про «штраф до 300 тысяч за отсутствие политики» пишут часто, и это неверно: разные нарушения наказываются разными частями статьи 13.11 КоАП, и суммы отличаются в разы. Вот как это устроено на самом деле.
| Нарушение | Часть ст. 13.11 | Юрлицо | ИП |
|---|---|---|---|
| Обработка без согласия | ч. 2 | 300-700 тыс. ₽ | 100-300 тыс. ₽ |
| Обработка без законного основания | ч. 1 | 150-300 тыс. ₽ | 50-100 тыс. ₽ |
| Не опубликована политика | ч. 3 | 30-60 тыс. ₽ | 10-20 тыс. ₽ |
| Не уведомлён Роскомнадзор об обработке | ч. 10 | 100-300 тыс. ₽ | как юрлицо |
Обратите внимание на разницу: неопубликованная политика - это десятки тысяч, а сбор данных без согласия - сотни. То есть самая дешёвая в исправлении ошибка стоит дороже всего. И отдельная ловушка для ИП: по частям 1 и 2 предприниматель отвечает как должностное лицо, а начиная с части 8 - уже как юридическое лицо. Суммы здесь ориентир по действующей редакции, а не юридическая консультация.
Как сделать правильно
- Отдельная обязательная отметка у каждой формы, пустая по умолчанию. Не одна на весь сайт, а у той формы, через которую данные и приходят.
- Текст рядом с отметкой: «Я согласен на обработку персональных данных» со ссылкой на политику конфиденциальности. Ссылка должна открываться, а не вести на пустую страницу.
- Оператор назван: полное наименование организации или ИП и ИНН. Обычно достаточно подвала, но он должен быть виден со страницы с формой.
- Отдельная отметка для рассылки, если вы собираетесь писать письма. Согласие на заявку рекламные письма не покрывает - это другая цель.
- Фиксация факта согласия на стороне сервера: дата, время, версия текста политики. Именно это предъявляется, когда спрашивают доказательства.
- Уведомление в Роскомнадзор об обработке персональных данных. Его подача - отдельная обязанность, и её отсутствие наказывается по части 10.
Как проверить свой сайт за полминуты
Всё перечисленное проверяется автоматически. Наш бесплатный аудитор смотрит форму, ищет отметку согласия, проверяет, не проставлена ли она заранее, находит политику (в том числе по типовым адресам, если ссылки с этой страницы нет), разбирает её содержимое на обязательные по ст. 18.1 блоки, ищет реквизиты оператора и заодно показывает, какие зарубежные сервисы на странице получают данные посетителей. По каждой находке в отчёте указана статья и денежный риск.
Проверка бесплатная и без регистрации: проверить сайт на соответствие 152-ФЗ. Если хотите сначала посмотреть, как выглядит результат, - пример отчёта.
Что эти цифры значат и чего не значат. Измерены 759 сайтов из верхних строк коммерческой выдачи Яндекса по 21 отрасли, регион Москва, замер 31.07.2026, у каждого проверена одна страница. Это не статистика всего Рунета, а срез тех, кого поиск уже отобрал и показывает клиентам. Отсутствие отметки согласия - это признак нарушения, а не доказанное нарушение: решение принимает надзорный орган, а не автоматическая проверка. Формы, которые подгружаются скриптом после загрузки страницы, автомат может не увидеть - такие случаи стоит проверить глазами.
Бесплатный аудит website-audit.ru проверяет готовность к поиску 2026 по шести направлениям, включая 152-ФЗ и AI-поиск, - за минуту, без регистрации.
Проверить свой сайтЧастые вопросы
Нужна ли галочка согласия на форме заявки?
Да. Форма заявки собирает персональные данные, а для обработки нужно основание - для обычного коммерческого сайта это согласие посетителя. По ст. 9 152-ФЗ оно должно быть конкретным, предметным, информированным и сознательным, поэтому нужна отдельная обязательная отметка со ссылкой на политику конфиденциальности. По нашей проверке 759 сайтов из верхних строк выдачи Яндекса такой отметки нет у 30%.
Можно ли поставить галочку согласия заранее?
Нет. Предустановленная отметка не является согласием: человек не совершал действия, а по ст. 9 152-ФЗ согласие должно быть сознательным. Юридически это то же самое, что отсутствие галочки. Так сделано у 16% проверенных сайтов.
Какой штраф за сбор данных без согласия?
Обработка без согласия наказывается по ч. 2 ст. 13.11 КоАП: от 300 до 700 тысяч рублей для организации и от 100 до 300 тысяч для ИП, который отвечает здесь как должностное лицо. Для сравнения, неопубликованная политика конфиденциальности - это ч. 3 и суммы в разы меньше: 30-60 тысяч для организации и 10-20 тысяч для ИП. Распространённая формулировка «до 300 000 рублей за отсутствие политики» относится к другому составу и неверна.
Что ещё нужно кроме галочки?
Ссылка на политику конфиденциальности рядом с формой, названный оператор (наименование организации или ИП и ИНН), политика с обязательными по ст. 18.1 сведениями, отдельная отметка для рассылки, фиксация факта согласия на сервере и поданное уведомление в Роскомнадзор. Без этого сама по себе галочка задачу не решает.