Согласие на обработку персональных данных на сайте: что изменилось с 1 сентября 2025

Почти на каждом сайте с формой заявки под кнопкой написано «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности». С 1 сентября 2025 года этого недостаточно. Осенью 2026 года мы переделали формы на своём сайте и проверили, что ещё было не так. Рассказываем, что поменять и в каком порядке.

Что изменилось в законе

Федеральный закон от 24.06.2025 № 156-ФЗ изменил статью 9 закона «О персональных данных». С 1 сентября 2025 года согласие на обработку данных должно быть оформлено отдельно от иных информации и документов, которые человек подтверждает или подписывает. Включить его одной строкой в договор, оферту, пользовательское соглашение или политику конфиденциальности больше нельзя.

Остальные требования к согласию прежние: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Для сайта это значит: человек сам, отдельным действием подтверждает, что согласен, и может прочитать, на что именно.

За нарушение порядка получения согласия статья 13.11 КоАП предусматривает для организаций штраф от 300 до 700 тысяч рублей. Отдельно штрафуют за то, что на сайте не опубликована политика обработки данных.

Типичные ошибки на сайтах

• «Нажимая кнопку, вы соглашаетесь…». Согласие спрятано в действие «отправить заявку» — это не отдельное и не однозначное согласие.
• Галочка уже стоит. Человек ничего не отмечал — значит, и сознательного согласия нет.
• Согласие внутри политики. Одна страница «Политика конфиденциальности», и в ней же абзац «оставляя данные, вы даёте согласие». С сентября 2025 года это два разных документа.
• Политика не про этот сайт. Скачанный шаблон, где написано про «фамилию, имя, отчество и паспортные данные», хотя форма спрашивает только имя и телефон. Зато ни слова про Метрику, которая стоит на каждой странице.
• Разные формы — разные правила. В одной форме галочка есть, в другой — во всплывающем окне или в подвале — её забыли.

Как мы переделали свой сайт

На design-msk.ru четыре вида форм: заявка во всплывающем окне, форма в подвале, форма на странице контактов и короткие формы на страницах услуг. Где-то галочка стояла заранее, где-то вместо неё была фраза «нажимая кнопку». Что сделали:

• Вынесли согласие на отдельную страницу. Короткий текст: кто оператор, зачем нужны данные, какие именно данные, что с ними делаем, срок действия согласия и как его отозвать. Политика обработки данных осталась своей страницей и ссылается на согласие.
• Сделали одинаковую галочку во всех формах. По умолчанию не отмечена, подпись: «Даю согласие на обработку персональных данных на условиях политики» со ссылками на обе страницы.
• Без галочки заявка не уходит. Подпись подсвечивается красным, и человек сразу видит, чего не хватает. Отказ от галочки не должен ломать сайт: смотреть страницы можно и без неё, согласие нужно только для отправки данных.
• Переписали политику под то, что сайт делает на самом деле. Какие данные собирают формы, какие технические данные пишет сервер, что собирает Метрика, кому данные передаются для технической обработки (хостинг, почта, Яндекс), где хранятся, сколько и как человек может запросить или удалить свои данные.

Технически всё свелось к одной общей проверке галочки для всех форм. Основное время ушло на тексты и на то, чтобы руками отправить заявку из каждой формы.

Яндекс Метрика, cookie и журналы сервера

Метрика с Вебвизором записывает действия посетителя на странице, хранит cookie и передаёт данные Яндексу. Многие владельцы сайтов про это не думают, а в политике о Метрике нет ни слова. Можно ли считать такие данные персональными и нужно ли отдельное согласие на cookie — вопрос спорный, единой практики пока нет.

Минимум, который мы считаем обязательным:

• честно описать в политике, что на сайте работает Метрика, что она собирает и кому передаёт;
• дать ссылку на способ отключить её — настройки браузера или блокировщик от самого Яндекса;
• упомянуть журналы сервера: почти любой сайт пишет IP-адреса посетителей, даже если владелец об этом не знает.

Если нужна максимальная осторожность, добавляют уведомление о cookie и подключают Метрику только после согласия посетителя. Это снижает риск, но и часть статистики пропадёт — решать владельцу сайта.

Чек-лист

• Найдите все формы на сайте, включая всплывающие окна, подвал и калькуляторы.
• В каждой форме — галочка согласия, по умолчанию не отмеченная. Без неё форма не отправляется.
• Текст согласия — на отдельной странице, не внутри политики и не внутри оферты.
• Политика обработки данных опубликована и описывает именно ваш сайт: формы, Метрику, журналы сервера, кому и зачем передаются данные.
• В политике указан способ отозвать согласие и запросить свои данные.
• Данные граждан России хранятся на серверах в России — проверьте, где у вас хостинг и почта.
• Проверьте, подано ли уведомление в Роскомнадзор об обработке персональных данных.