Согласие на обработку данных на сайте: правила 2026 года

Форма заявки на сайте — это сбор персональных данных, даже если полей всего два. Осенью 2025 года правила её оформления заметно ужесточились, а штраф для компании именно за обработку данных без нормального согласия начинается с 300 тысяч рублей. При этом фраза «Нажимая кнопку, вы соглашаетесь на обработку персональных данных» до сих пор стоит под формами на множестве сайтов — и именно она с сентября 2025 года прямо не подходит.

Эти 300 тысяч — нижний этаж. С 30 мая 2025 года в статье 13.11 КоАП появились отдельные штрафы за утечку данных, вплоть до 20 миллионов рублей, а за повторную утечку считают процент от годовой выручки. Но начинаются все они там же, где стоит галочка под формой: с вопроса, на каком основании у вас вообще оказались эти контакты.

01Что изменилось с 1 сентября 2025 года

Главное: согласие на обработку персональных данных для сайта теперь должно быть отдельным документом. Норму ввёл Федеральный закон от 24 июня 2025 года № 156-ФЗ, дополнив часть 1 статьи 9 закона «О персональных данных»: согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Прятать его внутрь договора, оферты или пользовательского соглашения больше нельзя, выражать формулировкой «нажимая кнопку» — тоже.

Закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным, однозначным — и отдельным. На практике это значит, что человек должен совершить самостоятельное действие именно в отношении своих данных, а не согласиться со всем сразу одним кликом по кнопке отправки.

Штрафы по статье 13.11 КоАП для юридических лиц выглядят так:

Первая строка шире, чем кажется: часть 2 статьи 13.11 наказывает не только за отсутствие согласия, но и за нарушение требований к составу сведений, которые в это согласие включаются. То есть галочка сама по себе ещё ничего не закрывает — важно, что написано в документе, на который она ссылается. Две последние строки — про то, куда уходят заявки с формы, и о них отдельный разговор ниже.

02Сколько галочек должно быть в форме

Одной галочки достаточно, если вы собираете данные только чтобы обработать заявку. Условия к ней простые:

• она пустая по умолчанию — предустановленная галочка нарушает добровольность согласия;
• она выражает согласие только на обработку данных, без «и с условиями сервиса заодно»;
• рядом с ней стоит активная ссылка на политику обработки данных.

Формулировка, к которой меньше всего вопросов: «Я даю согласие на обработку моих персональных данных в соответствии с Политикой». Слово «моих» здесь не украшение — оно показывает, что человек понимает, о чьих данных речь.

Вторая галочка нужна, когда форма попутно подписывает человека на рассылку или рекламные касания: это отдельное согласие уже по закону «О рекламе», и смешивать его с первым нельзя. Общий чекбокс «согласен со всем сразу» не годится именно поэтому — у собранных в нём оснований разный закон, разный срок жизни и разный порядок отзыва.

Понятно, что каждый лишний элемент в форме — это ещё один барьер между посетителем и заявкой. Разбирая, почему лендинг собирает показы, но не собирает заявки, я почти всегда вижу форму, которая просит больше, чем нужно, — так что сокращать стоит не галочку, а поля вокруг неё: одна короткая фраза со ссылкой работает и по закону, и для конверсии.

03Что обязано быть в тексте самого согласия

Ссылка рядом с галочкой ведёт на документ, и его состав закон описывает подробно. Часть 4 статьи 9 перечисляет, что согласие «должно включать в себя, в частности», — то есть задаёт минимум, а не закрытый список. Формально перечень написан про письменную форму, но именно на него ориентируются, когда собирают текст согласия для сайта.

Две строки из этих девяти пропускают чаще всего. Первая — про лицо, обрабатывающее данные по поручению: если заявка уходит в CRM, а оттуда в рассыльщик, названы должны быть оба сервиса. Вторая — про отзыв: адреса, на который пишут «отзываю», в тексте согласия обычно просто нет.

04Как доказать, что галочка была

Через год после заявки человек пишет в Роскомнадзор, что согласия не давал. Доказывать обратное придётся вам: часть 3 статьи 9 возлагает обязанность предоставить доказательство получения согласия на оператора.

Скриншот формы доказательством не является — он показывает, что галочка есть сейчас, а не что её поставил конкретный человек в конкретный день. Работает журнал отправок, в котором сохраняются четыре вещи:

• дата и время отправки формы;
• какие именно поля были отмечены;
• какую редакцию текста согласия человек видел в этот момент;
• идентификатор обращения, по которому заявку можно найти в CRM.

Последний пункт держится на предпоследнем. Текст согласия со временем меняется: добавился сервис рассылки, переехал юридический адрес. Если прежняя редакция не сохранена с датами действия, доказательство рассыпается — вы показываете текст, которого в день заявки ещё не существовало.

По этому же журналу видно, почему заявка может не дойти ни до почты, ни до CRM: отправка записана, письма нет — значит, дело не в посетителе, и узнаёте вы об этом в тот же день, а не из жалобы через неделю.

Ещё два срока отсчитываются от письма человека, а не от вашего удобства. Отзыв согласия: обработку прекращают, а данные уничтожают в течение 30 дней с даты поступления отзыва, если сохранение данных больше не требуется для целей обработки, — это часть 5 статьи 21. Запрос субъекта о том, какие его данные у вас есть: ответ в течение 10 рабочих дней, плюс 5 рабочих дней, если вы направили мотивированное уведомление о продлении, — часть 3 статьи 14.

05Политика — отдельная страница, а не абзац в подвале

Политика обработки персональных данных должна лежать на отдельной странице сайта, к которой есть свободный доступ. Ссылка на неё ставится в двух местах: в подвале сайта и рядом с галочкой в форме. Отсутствие такой страницы или недоступность её текста — это те самые 30–60 тысяч, и штраф этот выписывается легче остальных: проверяющему достаточно открыть сайт.

Сам документ устроен сложнее, чем кажется: что должно быть в политике конфиденциальности и в каком порядке, я разбирал отдельной статьёй, и cookies там — только один из разделов. Если вы собираете аналитику, их описывают явно: какие ставите, зачем и как от них отказаться.

Политикой набор документов не заканчивается: закон отдельно требует назначить ответственного за организацию обработки персональных данных — это статья 22.1.

Когда с формами и документами разбираться некогда, проще поручить доработку сайта на Тильде целиком — обычно это один заход: галочки, политика, баннер и проверка того, куда реально уходят заявки.

06Уведомление в Роскомнадзор — то, о чём забывают чаще всего

Юридическая обвязка — одна из тех статей расходов, которые не попадают в первый счёт, хотя в смете на сайт они занимают отдельную строку наравне с доменом и тарифом, и посчитать их лучше заранее.

Согласие пользователя сайта на обработку персональных данных — это про отношения с посетителем. А есть ещё отношения с регулятором: оператор данных подаёт в Роскомнадзор уведомление о намерении обрабатывать персональные данные — до начала обработки, то есть до того, как форма на сайте примет первую заявку.

Подаётся оно через Госуслуги с подтверждённой учётной записью или с квалифицированной подписью, госпошлины нет. Формы утверждены приказом Роскомнадзора от 28 октября 2022 года № 180 — три приложения: о начале обработки, об изменении сведений и о её прекращении. Тридцать дней, которые обычно называют сроком рассмотрения, — это срок, за который сведения вносят в реестр операторов, часть 4 статьи 22.

Дальше уведомление живёт вместе с сайтом. Поменялся юридический адрес, добавился сервис, куда уходят заявки, — об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. Прекратили обработку — 10 рабочих дней. Оба срока в части 7 статьи 22.

Исключений из обязанности уведомлять после 1 сентября 2022 года осталось три: данные в государственных системах для защиты безопасности государства, обработка исключительно без средств автоматизации и обработка по законодательству о транспортной безопасности. Сайту с формой не подходит ни одно, и «у меня маленький бизнес» в этот список не входит.

Правило простое: если у вас есть сайт с формой, CRM с контактами клиентов или рассылка — уведомление, скорее всего, нужно.

07Cookies и баннер согласия

Технически необходимые cookies — те, без которых сайт не работает, — согласия не требуют. А вот статистические, включая Яндекс Метрику, требуют.

Обязанность идёт не от баннера, а от данных: прямой нормы «покажи cookie-баннер» в российском законе нет, но статистические cookies позволяют выделить конкретного посетителя, значит, их обработке нужно основание, и этим основанием служит согласие. Баннер — способ его получить и потом доказать. Поэтому баннер, у которого кнопка «отклонить» ничего не выключает, хуже, чем его отсутствие: он фиксирует, что согласия на самом деле не спрашивали.

Кстати, о рекламе. В требованиях модерации Яндекс Директа к посадочной странице политики обработки данных прямо нет — там речь про сбор данных обманным путём. Но проверять стоит самому. Кабинет не подскажет, что вообще должно быть на сайте, который принимает рекламный трафик, потому что видит цифры внутри себя, а не то, что происходит на вашей странице.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

08Утечка стоит дороже всей остальной таблицы

Первая таблица — цена того, как оформлены галочка, политика и уведомление. Цена потерянной базы считается иначе: с 30 мая 2025 года статья 13.11 КоАП берёт за основу число людей, чьи данные ушли.

Верхняя строка таблицы — это база на тысячу контактов: не крупный сервис, а обычная выгрузка из CRM небольшой компании за несколько лет работы формы. Сроки после утечки тоже считаются в часах: первичное уведомление в Роскомнадзор подаётся в течение 24 часов, дополнительное, с результатами внутреннего расследования, — в течение 72 часов. Само неуведомление об инциденте стоит компании от 1 до 3 миллионов рублей.

За пределами КоАП есть статья 272.1 Уголовного кодекса, появившаяся в конце 2024 года. По части 1 за незаконный сбор, хранение и передачу компьютерной информации с персональными данными грозит штраф до 300 тысяч рублей, принудительные работы или лишение свободы до четырёх лет; по части 4, если такие данные ушли за границу, — до восьми лет со штрафом до 2 миллионов. Другой кодекс, но та же база контактов, и отвечает по нему человек, а не компания.

09Как это собирается на Тильде

Хорошая новость: разработка лендинга на Тильде не требует программиста ни на одном из этих шагов — всё есть в редакторе.

1. Галочка в форме. В настройках полей формы добавьте поле типа «галочка», в текст впишите фразу согласия и вставьте ссылку на страницу политики. Оставьте её пустой по умолчанию.
2. Страница политики. У Тильды есть конструктор политик, который собирает документ по вашим данным. Положите результат отдельной страницей и добавьте ссылку в подвал сайта.
3. Cookie-баннер. Подойдут блоки T657, T886, T887 и T972. Из них удобнее T972: он позволяет посетителю выбрать, какие категории cookies разрешить, а не соглашаться со всем сразу.
4. Уведомление в Роскомнадзор. Это уже вне Тильды — через Госуслуги.

Отдельно про хранение — здесь правило изменилось, и формулировка «подайте ещё одно уведомление» больше не работает. На российском профиле Тильды данные лежат на серверах «Селектел» и Яндекс Облака, то есть в России, и обоих провайдеров указывают в уведомлении Роскомнадзору. А если заявка с формы улетает сразу в зарубежный сервис — CRM, рассыльщик, таблицу, — то с 1 июля 2025 года это запрещено: часть 5 статьи 18 в редакции Федерального закона от 28 февраля 2025 года № 23-ФЗ не допускает запись, систематизацию, накопление, хранение и уточнение данных россиян в базах за пределами России. Не «уведомите и работайте», а нельзя. Считается физическое расположение серверов, а не юрисдикция владельца сервиса, и цена вопроса — от 1 до 6 миллионов рублей.

Справка самой Тильды про требование отдельного документа согласия с 1 сентября 2025 года молчит: конструктор соберёт вам политику, но текст согласия и его состав остаются вашей зоной ответственности.

10Что проверить прямо сейчас

Откройте свой сайт и посмотрите на форму заявки. Если под ней стоит «Нажимая кнопку, вы соглашаетесь на обработку персональных данных» и никакой галочки нет — согласия у вас, с точки зрения закона, нет тоже. Если галочка есть, но проставлена заранее — та же история. Если ссылка на политику ведёт в никуда или политики нет вовсе — это самое дешёвое нарушение из списка и самое заметное снаружи.

Заметное — потому что смотрят не выборочно и не руками. Автоматизированный мониторинг открывает сайт и проверяет по списку:

• есть ли политика и открывается ли она;
• как устроены атрибуты чекбоксов в HTML формы;
• какие подключены счётчики и рекламные пиксели;
• работает ли отказ от cookies, а не только кнопка «принять»;
• стоят ли реквизиты компании в подвале;
• есть ли запись о вас в реестре операторов.

Последний пункт проверяется быстрее всех: своё присутствие в реестре можно посмотреть по ИНН на сайте Роскомнадзора, а строка «уведомление не подано» стоит от 100 тысяч рублей.

Ещё одна вещь, которую стоит закрыть в тот же заход: убедиться, что домен и аккаунты оформлены на вас, а не на подрядчика — оператором данных перед регулятором отвечаете вы, а доступы при этом нередко лежат у того, кто делал сайт.

Это не юридическая консультация: в нестандартных случаях — биометрия, данные детей, передача данных за границу — стоит сверяться с юристом, а не со статьёй в блоге. Но базовый набор из галочки, текста согласия, политики, баннера и уведомления закрывает то, из-за чего штрафуют чаще всего.

Если хотите, чтобы этим занялся кто-то другой, можно обсудить, что из этого списка у вас не закрыто — мы посмотрим формы, документы и то, куда уходят заявки, и скажем, что менять, а что и так в порядке.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram