Вопрос о количестве галочек в форме сбора персональных данных — одна из самых частых дилемм для владельцев сайтов. С одной стороны, хочется минимизировать барьеры для пользователей и сохранить конверсию. С другой — необходимо соблюсти требования 152-ФЗ и избежать серьезных штрафов. Разберем этот вопрос с точки зрения закона, позиции Роскомнадзора и судебной практики.

Ключевое: закон требует сознательного и отдельного согласия

Статья 9 Федерального закона № 152-ФЗ «О персональных данных» устанавливает ключевые требования: согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.

Важнейшее изменение с 1 сентября 2025 года: поправки, внесенные Федеральным законом от 08.08.2024 № 233-ФЗ, добавили новый критерий — отдельность (ч. 1 ст. 9 152-ФЗ). Это означает, что согласие должно оформляться отдельным документом, а не быть частью договора, оферты или пользовательского соглашения. Как поясняет прокуратура, согласие должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает или подписывает субъект персональных данных

Что это означает на практике:

  • нельзя «зашивать» согласие в договор или пользовательское соглашение;
  • нельзя использовать формулировку «нажимая кнопку, я соглашаюсь…» — это смешивает действие отправки формы и действие согласия;
  • согласие должно быть самостоятельным волеизъявлением пользователя.

Почему нельзя ставить галочку по умолчанию?

Заранее проставленная галочка — прямое нарушение. Согласие должно быть результатом активного действия пользователя, а не пассивного согласия с уже стоящей отметкой. Если галочка уже стоит, это не считается согласием по ч. 1 ст. 9 152-ФЗ.

Можно ли обойтись одной галочкой согласия?

Прямого запрета на одну галочку в законе нет. Единственное требование — галочка должна быть только для согласия на обработку персональных данных, а не для смешанных действий (например, «согласен с условиями договора и на обработку ПДн»).

Основываясь на анализе законодательства и разъяснениях, одна галочка допустима, если она:

  1. Явно и недвусмысленно выражает согласие на обработку персональных данных.
  2. Является единственным действием, которое она подтверждает (не смешивает согласие на ПДн с согласием с офертой или подтверждением ознакомления).
  3. Сопровождается активной ссылкой на Политику обработки персональных данных, чтобы пользователь мог с ней ознакомиться до принятия решения.

Важно понимать: галочка одна, но документов два — Политика и Согласие. Галочка выражает согласие, которое сформулировано в отдельном документе. Информированность галочкой подтверждать не нужно, она обеспечивается соответствующими ссылками.

Рекомендуемая формулировка для одной галочки:

«Я даю [согласие на обработку моих персональных данных] в соответствии с [Политикой обработки персональных данных]»

Почему «моих» обязательно? Согласие должно быть сознательным — пользователь должен понимать, что речь идет именно о его данных.

Почему нельзя «и ознакомлен»? Это смешивает два действия в одно, что нарушает принцип однозначности.

Оформление согласия при одной галочке: важный нюанс

Если вы используете одну галочку, в тексте самого Согласия (отдельного документа, на который ссылается галочка) обязательно должна быть прямая ссылка на Политику обработки персональных данных . Это необходимо, чтобы соблюсти принцип информированности: пользователь должен иметь возможность ознакомиться с условиями обработки в момент принятия решения.

Рекомендуемая формулировка в документе Согласия (первое предложение первого абзаца):

«Настоящим я, действуя свободно, своей волей и в своем интересе, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и в соответствии с [Политикой обработки персональных данных], принимаю решение о предоставлении своих персональных данных и даю согласие…»

Почему такая формулировка корректна и не создает проблем со смешением действий:

  1. «В соответствии с Политикой» — это указание на правовое основание обработки, а не отдельное действие пользователя. Пользователь не подтверждает ознакомление отдельной галочкой, он просто дает согласие в контексте существующего документа. Факт ознакомления обеспечивается самой ссылкой — она ведет на страницу, которую можно открыть в новой вкладке.
  2. Отсутствует слово «подтверждаю» в связке с ознакомлением. В формулировке нет фразы «подтверждаю, что ознакомлен», которая могла бы трактоваться как отдельное волеизъявление.
  3. Галочка остается единственным действием пользователя — он ставит отметку и тем самым выражает согласие. Информированность не требует отдельного подтверждения, достаточно того, что ссылка на Политику была доступна до момента проставления галочки.

Две галочки тоже допустимы

Две галочки — «ознакомлен с Политикой» и «даю согласие на обработку» — также допустимы с точки зрения закона. Более того, такой подход можно считать юридически более безопасным, поскольку он максимально явно разделяет два действия: информированность и волеизъявление.

Аргументы в пользу двух галочек:

  1. Прозрачность для пользователя: он сначала подтверждает, что ознакомился с условиями, а затем дает согласие.
  2. Четкое разделение действий: не возникает вопросов, является ли согласие информированным.
  3. Защита от споров: в случае проверки или жалобы проще доказать, что пользователь был информирован и сознательно дал согласие.

Однако закон не требует отдельного подтверждения факта ознакомления. Информированность обеспечивается доступом к Политике по ссылке.

Две галочки: когда это необходимо?

Две галочки становятся обязательными, если в форме предусмотрено согласие на рекламную рассылку.

По закону «О рекламе» (№ 38-ФЗ), согласие на получение рекламы должно быть отдельным и добровольным. Его нельзя объединять с согласием на обработку персональных данных в одну галочку.

В этом случае форма должна содержать:

  1. Галочка 1 (блокирующая): согласие на обработку персональных данных (для обработки заявки, регистрации и т.д.).
  2. Галочка 2 (неблокирующая): согласие на получение рекламных и информационных рассылок.

Что говорят суды и Роскомнадзор?

Суды признают согласие недействительным, если:

  1. Согласие «зашито» в договор или оферту. В постановлении Девятого арбитражного апелляционного суда от 14.01.2021 по делу № А40-129510/2020 указано, что включение согласия в другие юридически значимые документы — недобросовестная практика. С 2025 года это прямо запрещено законом (ч. 1 ст. 9 152-ФЗ).
  2. Не указаны конкретные цели обработки. Формулировки «для улучшения качества услуг» или «в целях хозяйственной деятельности» недопустимы. Цели должны быть четкими: «для отправки заявки», «для регистрации на мероприятие».
  3. Нет конкретного перечня третьих лиц, которым передаются данные. Если вы передаете данные подрядчикам (CRM, сервисы рассылок), это должно быть явно прописано.
  4. Галочка стояла по умолчанию. Нарушение добровольности и сознательности (ч. 1 ст. 9 152-ФЗ) .
  5. Согласие размещено в виде скачиваемого документа .docx. Формат затрудняет ознакомление; ссылка на Политику должна быть активной и открываться в новой вкладке.
  6. Запрашиваются излишние данные. Оператор вправе запрашивать только те данные, которые необходимы для заявленных целей. Требование избыточной информации незаконно
  7. Не указан способ отзыва, сроки хранения. Отсутствие обязательных реквизитов (п. 4 ст. 9 152-ФЗ).
  8. За предоставление данных предусмотрено вознаграждение. Стимулирование («оставьте телефон и получите скидку») нарушает добровольность и свободу волеизъявления.
  9. Ссылки оформлены неоднозначно. Ссылка есть, но не видна, не выделена, текст согласия свёрнут или находится в модальном окне.
  10. Не разъяснено, что понимается под обработкой. Суды признают такое согласие не соответствующим закону, если субъекту не разъяснено значение понятия «обработка».

Последствия признания согласия недействительным: оператор обязан прекратить обработку и уничтожить данные. Плюс административная ответственность по ч. 2 ст. 13.11 КоАП РФ — от 300 000 до 700 000 ₽ для юридических лиц за первое нарушение, до 15 000 000 ₽ при повторных нарушениях с оборотными штрафами.

Позиция Роскомнадзора

Роскомнадзор в ходе проверок обращает внимание на:

  • наличие прямой ссылки на Политику на странице сбора данных (ч. 2 ст. 18.1 152-ФЗ);
  • отдельность согласия от других документов;
  • конкретность перечня данных и целей в Политике (п. 2 ч. 1 ст. 18.1 152-ФЗ).

Технические требования к реализации

Независимо от количества галочек, важно соблюдать технические требования:

  1. Чекбокс должен быть пустым по умолчанию.
  2. Чекбокс должен блокировать отправку формы. Отправка без галочки — нарушение.
  3. Ссылка на Политику должна быть активной и заметной, открываться в новой вкладке.
  4. Фиксация факта согласия: в базе данных должны сохраняться IP-адрес, время, дословный текст согласия. Лог-файлы помогут доказать добросовестность при проверке.

Вывод

Для обычных форм сбора данных (заявка, обратная связь, регистрация) достаточно одной галочки с корректной формулировкой, отсылающей к Политике обработки персональных данных. Это соответствует закону при условии, что галочка пустая по умолчанию, является единственным подтверждаемым действием, а Политика доступна по прямой ссылке.

Для форм с подпиской на рекламную рассылку необходимы две галочки, одна из которых — отдельное согласие на рекламу (по закону «О рекламе»).

Главное правило: согласие должно быть конкретным, предметным, информированным, сознательным, однозначным и отдельным. Одна галочка не нарушает этих критериев, если оформлена правильно. Две галочки — допустимый, но необязательный вариант, который снижает конверсию. Выбор между юридической «сверхосторожностью» и удобством пользователей — это бизнес-решение, которое каждая компания принимает самостоятельно.

Подробнее о том, что должно содержаться в политике, а что в согласии читайте в нашей статье:

Политика и согласие на обработку персональных данных: в чём разница и что должно быть в каждом документе