В условиях современной цифровой экономики практически любой веб-сайт, мобильное приложение или онлайн-сервис собирает информацию о своих посетителях․ С 1 марта 2021 года (после вступления в силу поправок в Федеральный закон № 152-ФЗ «О персональных данных») требования к оформлению согласия стали значительно строже․ Нарушения грожут серьезными штрафами со стороны Роскомнадзора․ В этой статье мы подробно разберем, как должен выглядеть правильный образец согласия на обработку персональных данных в сети Интернет, какие обязательные реквизиты он должен содержать и как технически реализовать его получение․

Правовая база: почему это обязательно?

Согласно ст․ 6 и ст․ 9 Закона № 152-ФЗ, обработка персональных данных (ПДн) допускается только при наличии согласия субъекта ПДн, за исключением случаев, прямо предусмотренных законом (исполнение договора, защита жизни, судебные процедуры и т․д․)․ Для большинства коммерческих сайтов (интернет-магазины, лендинги, сервисы SaaS, новостные порталы с подпиской) основанием является именно согласие субъекта․

Ключевые изменения 2021 года:

• Согласие должно быть специфическим, информированным, сознательным и безусловным․
• Введено понятие «согласия в электронной форме» (п․ 5 ст․ 9 152-ФЗ)․
• Оператор обязан обеспечить возможность подтверждения факта получения согласия (логирование, скриншоты, хранение IP и User-Agent)․
• Согласие должно быть отдельным документом или выделенным в отдельный блок, не смешанным с пользовательским соглашением или офертой․

Обязательные реквизиты согласия (Чек-лист)

Любой образец согласия, размещенный в сети Интернет, должен содержать следующие сведения (согласно ст․ 9 152-ФЗ и Постановлению Правительства РФ № 1019):

1. ФИО и адрес оператора: Полное наименование ООО/ИП, юр․ адрес (можно скрыть детали: ООО «Ромашка», г․ Москва, ул․ Примерная, д․ *);
2. Цели обработки: Конкретные цели (выполнение заказа, рассылка новостей, аналитика, авторизация)․ Нельзя писать «иные цели» или «для улучшения сервиса» без детализации․
3. Перечень обрабатываемых данных: Имя, email, телефон, IP-адрес, Cookie, данные о местоположении, историю заказов и т․д․ (перечислить именно то, что собирает ваш сайт)․
4. Способы обработки: Сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (третьим лицам/переграничная), обезличивание, блокирование, удаление, уничтожение․
5. Срок действия согласия: Конкретная дата (например, «до ») или событие («до момента достижения целей обработки» / «до отзыва согласия»)․ Бессрочное согласие недопустимо․
6. Порядок отзыва: Четкая инструкция: «Отзыв возможен путем направления заявления на email: privacy@example․com или по почте: г․ Москва, ул․ Примерная, д․ »․
7. Сведения о передаче третьим лицам: Если используете CRM, почтовые сервисы (Unisender, SendPulse), Яндекс․Метрику, Google Analytics — обязательно укажите их наименования и цели передачи․
8. Переграничная передача: Если серверы стоят за рубежом или используются зарубежные сервисы (Google, Meta*, Cloudflare) — нужна отдельная строка о передаче в страну, не обеспечивающую адекватную защиту․

Типовые формы согласия в вебе

В зависимости от бизнес-модели, используются разные паттерны (UI/UX) получения согласия․ Закон не навязывает конкретную кнопку, но требует активного действия пользователя․

Чек-бокс (Checkbox), Золотой стандарт

Наиболее надежный вариант для форм заказа, регистрации, обратной связи․

• Чек-бокс НЕ должен быть предварительно установлен (unchecked by default)․
• Текст рядом: «Нажимая кнопку «Отправить», я даю согласие на обработку персональных данных в соответствии с Политикой конфиденциальности»․
• Ссылка на полный текст согласия/политики должна открываться в новой вкладке или модальном окне до отправки формы․

Кнопка «Принять» / «Согласен» (для Cookie-баннеров)

Используется для сбора аналитики и маркетинговых Cookie․

• Должна быть кнопка «Отклонить» или «Настроить» (требование GDPR/ePrivacy, рекомендуется и для 152-ФЗ)․
• Текст: «Мы используем Cookie для аналитики и рекламы․ Нажимая «Принять», вы соглашаетесь с Политикой Cookie»․

Два чек-бокса (Раздельное согласие)

Обязательно, если вы совмещаете выполнение договора (заказ) и маркетинг (рассылки)․

1. Обязательный (неактивный, серый): «Согласие на обработку для исполнения заказа (ФЗ-152, ст․ 6, п․ 2)»․ Пользователь не может его снять, иначе заказ не оформится․
2. Добровольный (активный, пустой): «Хочу получать скидки и новости на email/СМС»․ Пользователь ставит галочку по желанию․

Пример текста согласия (Шаблон для публикации на сайте)

Ниже приведен универсальный образец текста согласия на обработку персональных данных, который можно адаптировать под свой проект․ Замените данные в скобках на свои (реальные данные оператора в публичном документе скрывать не нужно, скрыты только в этой статье для примера безопасности)․

Техническая реализация: как доказать факт согласия?

Роскомнадзор при проверке потребует подтвердить, что конкретный пользователь дал согласие в конкретное время․ Просто наличие текста на сайте — недостаточно․

Что нужно логировать (сохранять в БД/логах):

• Идентификатор пользователя: User ID, Session ID, Email/Phone (если авторизован)․
• Временная метка: Дата и время (UTC) с точностью до секунды․
• IP-адрес и User-Agent браузера․
• Версия документа: Хэш (SHA-256) или номер версии текста согласия/политики, который был актуален в момент клика․
• Действие: «Чек-бокс установлен», «Кнопка «Принять» нажата», «Форма отправлена»․
• Контекст: URL страницы, где дано согласие․

Пример записи в логе (JSON):

{
 "event": "consent_given",
 "user_id": "user_",
 "session_id": "sess_",
 "timestamp": "2023-10-27T14:30:05Z",
 "ip": "․․․",
 "user_agent": "Mozilla/5․0 ․․․",
 "consent_version": "privacy_policy_v_1․2",
 "consent_hash": "a1b2c3d4․․․",
 "scope": ["order_processing", "marketing_email"],
 "page_url": "https://site․ru/checkout"
}

Типичные ошибки (на которые пишут предписания и штрафы)

Особенности для Лендингов и Виджетов

Если у вас одностраничник (Landing Page) с формой «Заказать звонок» или виджет обратного звонка:

• Текст согласия должен быть видим сразу под формой, не спрятан за ссылкой «Читать далее»․
• Минимальный текст у поля: «Нажимая «Отправить», я соглашаюсь на обработку ПДн по Политике»․
• Полный текст политики можно разместить в модальном окне или в футере страницы с якорем #policy․
• Для виджетов (Callbackhunter, JivoSite и др․) — настройте в админке виджета обязательное поле чек-бокса с текстом согласия․

Cookie-согласие (Cookie Banner), отдельная история

Сбор Cookie (идентификаторы устройств, IDFA, GA Client ID) — это обработка ПДн․ Простой баннер «Мы используем куки, ок?» не соответствует 152-ФЗ с 2021 года․

Правильный баннер должен содержать:

1. Кнопку «Принять все»․
2. Кнопку «Отклонить не обязательные» (или «Настроить»)․
3. Ссылку на Политику Cookie (отдельный документ или раздел в Политике конфиденциальности)․
4. В настройках: переключатели по категориям: «Необходимые» (всегда ВКЛ, нельзя выключить), «Аналитика», «Маркетинг», «Персонализация»․
5. Фиксацию выбора пользователя в localStorage/cookie на 1 год․

Чек-лист перед запуском / аудитом

Пройдитесь по списку перед сдачей проекта или при подготовке к проверке Роскомнадзора:

• [ ] Текст согласия/политики опубликован по открытой ссылке (HTTP 200)․
• [ ] Во всех формах сбора данных (заказ, регистрация, подписка, обратная связь, чат-боты) есть непроставленная галочка согласия;
• [ ] Текст у галочки содержит ссылку на политику и перечисляет цели (минимум: «для обработки заявки и связи со мной»)․
• [ ] Реализовано логирование факта согласия (IP, User-Agent, Time, Version, Action)․
• [ ] В политике указаны реальные подоператоры (CRM, доставка, почта, аналитика)․
• [ ] Указан конкретный срок действия или условие прекращения․
• [ ] Описан понятный порядок отзыва (email/форма/почта)․
• [ ] Настроен Cookie-баннер с возможностью отказа от не обязательных кук․
• [ ] Уведомление Роскомнадзора о назначении ответственного за обработку ПДн подано (если не относитесь к исключениям ст․ 22 152-ФЗ)․
• [ ] Разработана и утверждена локальными актами: Политика конфиденциальности, Положение о защите ПДн, Инструкция по инцидентам, Журнал учета инцидентов․

Грамотно составленный образец согласия на обработку персональных данных в сети Интернет — это не просто текст для галочки у юристов, а рабочий инструмент защиты бизнеса от штрафов (до 18 млн руб․ за повторные нарушения) и репутационных рисков․ Главные принципы: прозрачность, раздельность целей, активное действие пользователя и техническая фиксация факта согласия․

Используйте приведенный выше шаблон как базу, адаптируйте перечень данных и подоператоров под свою реальную IT-инфраструктуру и регулярно (раз в 6–12 месяцев) проводите аудит соответствия текущей версии закона и практике Роскомнадзора․

* Meta Platforms Inc․ признана экстремистской организацией, ее деятельность запрещена на территории РФ․ Упоминание в контексте технической передачи данных для рекламы/аналитики носит информационный характер для понимания рисков переграничной передачи․