Согласие на обработку ПДн для сайта

Чекбокс согласия нужен везде, где форма собирает данные, которые позволяют идентифицировать человека: имя, телефон, email, а иногда и обезличенные на первый взгляд данные, если они привязываются к остальным. Типичные точки на сайте:

• форма обратной связи и заявки на консультацию;
• форма подписки на рассылку;
• регистрация личного кабинета;
• оформление заказа в интернет-магазине;
• форма отклика на вакансию;
• виджет обратного звонка и онлайн-чат.

Если данные собираются для заключения и исполнения договора с самим посетителем — например, оформление заказа с последующей доставкой, — основанием служит не согласие, а п. 5 ч. 1 ст. 6 закона 152-ФЗ. Но на практике большинство сайтов всё равно ставят чекбокс, потому что помимо исполнения договора данные обычно используются и для других целей: аналитики, информирования, повторных предложений — а это уже требует согласия.

Текст рядом с чекбоксом не должен пытаться вместить всё согласие целиком — это перегружает форму и снижает конверсию, но не делает согласие более законным. Рабочая модель — короткая формулировка со ссылкой на полный текст на отдельной странице. Пример текста для основного чекбокса формы:

Я даю согласие на обработку персональных данных в соответствии с политикой обработки персональных данных (ссылка на страницу политики или полного текста согласия).

Формулировка должна быть понятной без перехода по ссылке: посетитель должен как минимум понимать, что именно он подтверждает. Пассивные, размытые формулировки вроде «продолжая пользоваться сайтом, вы соглашаетесь» не годятся для чекбокса согласия — это не является активным волеизъявлением, требуемым законом.

Если цель обработки специфична — например, форма подписки на рассылку, — стоит указать это прямо в тексте чекбокса:

Я согласен на получение рекламной рассылки и обработку моего email для этой цели.

Одна из главных ошибок сайтов — объединение согласия на обработку данных для основной цели формы с согласием на рекламную рассылку в одном чекбоксе. Закон требует конкретности цели по ст. 9 закона 152-ФЗ, а объединённое согласие лишает посетителя возможности принять одно и отклонить другое.

Практическое правило:

• обязательный чекбокс — на обработку данных для той цели, ради которой заполняется форма: обработка заявки, оформление заказа, регистрация в личном кабинете;
• отдельный, необязательный чекбокс — на получение рекламной и информационной рассылки, если она не является прямым продолжением заявки;
• если сайт использует данные посетителя для передачи партнёрам или для целей, не очевидных из контекста формы, это тоже отдельный пункт согласия, а не часть основного чекбокса.

Обязательный чекбокс можно заблокировать до момента отправки формы — без него данные не собрать. Необязательный чекбокс блокировать нельзя: отказ от рассылки не должен препятствовать использованию основной функции сайта.

Требование к активному, осознанному согласию означает, что посетитель сайта сам должен поставить галочку — предзаполненный чекбокс не признаётся надлежащим согласием, потому что не отражает волеизъявления человека: он мог просто не заметить уже стоящую отметку.

• Правило касается всех чекбоксов на сайте — и обязательного, для основной цели формы, и необязательного, для рассылки.
• Дизайн, где галочка стоит по умолчанию, а посетителю предлагается её снять, формально смещает бремя действия с «дать согласие» на «отозвать несуществующее согласие» — это противоречит логике закона.
• Мобильную версию сайта стоит проверять отдельно: иногда чекбокс на десктопе оформлен корректно, а в адаптивной вёрстке состояние по умолчанию меняется из-за ошибки вёрстки или другого шаблона формы.

Наличие чекбокса на странице само по себе не доказывает, что конкретный посетитель его отметил и отправил форму. Если оператора проверяют или посетитель оспаривает факт согласия, доказывать нужно оператору — это следует из общей логики закона 152-ФЗ о том, что бремя подтверждения законности обработки лежит на операторе.

Что стоит фиксировать при отправке формы на сервере, а не только в интерфейсе:

• факт, что чекбокс был отмечен на момент отправки — не просто наличие поля в форме;
• дату и время отправки;
• версию текста согласия, на который соглашался посетитель, — если текст меняется, старые версии нужно сохранять с привязкой к дате изменения;
• IP-адрес и, если технически возможно, идентификатор сессии — для дополнительного подтверждения.

Текст согласия на сайте и политика обработки персональных данных, которая публикуется по ст. 18.1 закона 152-ФЗ, — разные документы: политика описывает подход оператора в целом, согласие фиксирует волю конкретного посетителя. Ссылка из чекбокса обычно ведёт на текст согласия или на политику, но подменять один документ другим не стоит — в проверке спрашивают оба.