Под формой на сайте часто стоит одна строка: «Отправляя форму, вы принимаете политику конфиденциальности». Владелец сайта считает, что этим получил согласие на обработку данных. На самом деле политика и согласие это два разных документа с разными задачами, и один другой не заменяет.
Если коротко: политика рассказывает всем посетителям, как компания работает с данными. Согласие фиксирует, что конкретный человек разрешил обработку своих данных для конкретной цели.
Что такое политика и зачем она нужна
Политика обработки персональных данных, которую на сайтах часто называют политикой конфиденциальности, публичный документ оператора. Ее обязан принять любой оператор по статье 18.1 Закона № 152-ФЗ. А если данные собираются через интернет, политику нужно опубликовать на тех страницах сайта, где этот сбор происходит.
В политике обычно указывают:
- кто оператор и как с ним связаться;
- какие данные собираются и у кого;
- для каких целей;
- на каких правовых основаниях;
- кому данные передаются и какие сервисы используются;
- сколько данные хранятся и как уничтожаются;
- как человек может реализовать свои права, в том числе отозвать согласие;
- какие меры защиты принимает компания.
Политика нужна не для того, чтобы получить согласие. Ее задача раскрыть правила обработки. Человек ее читает (или не читает), но своего решения ею не выражает.
За отсутствие опубликованной политики по части 3 статьи 13.11 КоАП юридическому лицу грозит штраф от 30 000 до 60 000 рублей, ИП от 10 000 до 20 000 рублей. Сумма небольшая, но это одно из первых нарушений, которые замечают при проверке сайта, а за ним обычно находятся и другие.
Что такое согласие
Согласие на обработку персональных данных это решение конкретного человека разрешить обработку его данных. Оно одно из оснований обработки, которые перечислены в статье 6 закона. Нужно оно тогда, когда другого основания нет.
Согласие обычно требуется для формы обратной связи, заявки на консультацию, подписки на рассылку, аналитических и маркетинговых cookie, ретаргетинга и других необязательных целей.
Но не всегда. Если человек сам оформляет заказ, основанием служит договор. Если данные нужны по закону, например для налоговой отчетности, основанием служит закон. Брать согласие там, где оно не нужно, тоже не лучшая идея: человек может его отозвать, и тогда непонятно, на чем держится обработка.
По статье 9 закона согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. А с 1 сентября 2025 года его нужно оформлять отдельно от иной информации и документов, которые человек подтверждает или подписывает.
Главное различие
| Признак | Политика | Согласие |
|---|---|---|
| Кому адресована | Всем посетителям и клиентам | Конкретному человеку |
| Что делает | Информирует о правилах обработки | Дает основание для обработки |
| Обязательна ли | Да, для любого оператора | Только если нет другого основания |
| Как оформляется | Публикуется на сайте | Отдельная галочка, подпись или иное подтверждение |
| Можно ли отозвать | Нет, это документ компании | Да, в любой момент |
| Что будет, если ее нет | Штраф по ч. 3 ст. 13.11 КоАП | Обработка без основания, штраф по ч. 1 или ч. 2 ст. 13.11 КоАП |
Поэтому принять политику не значит дать согласие на обработку. Человек должен иметь возможность выразить согласие отдельно: поставить свою галочку под формой, нажать кнопку в cookie-баннере, выбрать категории cookie в настройках.
Как это выглядит на сайте правильно
Под формой заявки:
- отдельная галочка «Даю согласие на обработку персональных данных» со ссылкой на текст согласия;
- ссылка на политику обработки персональных данных рядом с формой;
- при необходимости отдельная необязательная галочка для согласия на рекламную рассылку.
Текст согласия лучше держать отдельной страницей или всплывающим окном, а не главой внутри политики. Так проще выполнить требование об отдельном оформлении и обновлять тексты независимо друг от друга.
В подвале сайта ссылка на политику тоже нужна, но одной ее там мало, если на странице с формой ссылки нет.
Частые ошибки
Первая: одна строка под кнопкой «принимаю политику» вместо согласия. Такой вариант вряд ли выдержит проверку, особенно после поправок 2025 года.
Вторая: согласие спрятано внутри политики или пользовательского соглашения. Человек не может согласиться с одним, не согласившись с другим.
Третья: политика скопирована с чужого сайта. В ней упомянуты сервисы, которых у вас нет, и нет тех, что есть. Такая политика не выполняет свою единственную задачу: честно рассказать, как вы работаете с данными.
Четвертая: согласие сформулировано «на все цели, указанные в политике». Это попытка сделать согласие безграничным, и с требованием конкретности она плохо сочетается.
Пятая: политика не обновлялась несколько лет. За это время появилась новая CRM, рассылка и чат-бот, а документ о них молчит.
Частые вопросы
Политика конфиденциальности и политика обработки персональных данных одно и то же?
В контексте Закона № 152-ФЗ речь об одном документе: о политике оператора в отношении обработки персональных данных. Название «политика конфиденциальности» просто привычнее для сайтов. Главное, чтобы по содержанию документ описывал обработку данных, а не, например, только коммерческую тайну.
Можно ли сделать одну политику для сайта и для офлайн-бизнеса?
Можно, политика описывает обработку оператора в целом. Но она должна охватывать все процессы: и сайт, и работников, и контрагентов.
Нужно ли согласие, если человек только читает сайт и ничего не отправляет?
Для форм нет. Но если сайт использует аналитические и рекламные cookie, вопрос согласия встает и для простых посетителей. Об этом статья о cookie и согласии.
Что делать со старыми согласиями, полученными до сентября 2025 года?
Закон прямо не требует переоформлять старые согласия, и позиции юристов расходятся. Безопаснее всего привести формы на сайте к новым требованиям сейчас, а при следующем контакте с клиентом получать согласие уже по новой форме.
Политика и согласие работают вместе. Политика объясняет правила, согласие дает основание там, где оно нужно. Когда одно пытаются заменить другим, страдают оба документа.