Согласие на обработку персональных данных для сайта - шаблон и форма

Форма с email или телефоном требует законного основания для обработки персональных данных. Согласие - одно из таких оснований. Прежде чем добавлять обязательную галочку, определите, зачем нужны данные и можно ли обработать их на другом основании из статьи 6 закона № 152-ФЗ.

Этот шаблон подходит для обычного обращения взрослого посетителя, если вы выбрали согласие основанием обработки. Его нужно адаптировать к реальной форме и работе компании. Для письменного согласия в предусмотренных законом случаях, специальных категорий данных, биометрии и публикации данных для неограниченного круга лиц действуют дополнительные требования.

Сначала определите цель формы

Что делает посетитель	Что проверить владельцу сайта
Оформляет заказ	Обработка необходимых для договора данных может опираться на пункт 5 части 1 статьи 6. Не добавляйте рекламную подписку к обязательным условиям покупки
Просит ответить на общий вопрос	Определите основание с учётом содержания обращения. Если это согласие, покажите отдельный текст и получите явное действие пользователя
Подписывается на рекламные письма	Отдельно оформите обработку адреса для рассылки и предварительное согласие на получение рекламы
Регистрирует личный кабинет	Обоснуйте каждое поле: какие данные нужны для сервиса, а какие вы хотите использовать дополнительно

Основание относится к конкретной цели и объёму данных. Возможность исполнить договор без согласия не разрешает использовать телефон покупателя для рекламных звонков. Политика обработки данных описывает работу оператора, но сама по себе не подтверждает согласие посетителя. Эти различия следуют из статей 5, 6 и 9 закона № 152-ФЗ и статьи 18 закона № 38-ФЗ.

Как оформить отдельное согласие

С 1 сентября 2025 года статья 9 требует оформлять согласие отдельно от другой информации и документов, которые человек подтверждает или подписывает. Поправку внесла статья 5 закона от 24.06.2025 № 156-ФЗ; дата вступления установлена его статьёй 7. Официальная публикация закона, текст статьи 9 с требованием отдельного согласия.

Для сайта практическое решение - самостоятельный текст согласия по отдельной ссылке и отдельная неотмеченная галочка рядом с формой. Не объединяйте её с принятием оферты, ознакомлением с политикой или рекламной подпиской. Закон оставляет выбор технического решения владельцу сайта: универсальной HTML-разметки для всех форм в нём нет.

Рядом с галочкой можно написать:

Даю согласие на обработку моего email и текста обращения для ответа на вопрос. Условия - в отдельном согласии на обработку персональных данных.

Слова «в отдельном согласии» сделайте ссылкой на полный текст. Политику разместите рядом самостоятельной ссылкой: доступ к ней нужен, но заменять ею согласие нельзя.

Шаблон для обращения по email

Замените все поля в фигурных скобках. В примере нет имени и телефона, потому что для ответа по email они не нужны. Если ваша задача требует другого набора данных, измените и форму, и документ.

Согласие на обработку персональных данных для ответа на обращение

Я свободно, своей волей и в своём интересе даю согласие оператору:
{полное наименование организации или ФИО ИП},
адрес: {адрес оператора}, контакт: {email для вопросов о данных}.

Цель: рассмотреть моё обращение, отправленное через форму
на {адрес страницы}, и направить ответ по электронной почте.

Данные: адрес электронной почты и персональные данные, содержащиеся
в тексте моего обращения. Прошу не включать в обращение паспортные
данные, сведения о здоровье и персональные данные других людей.

Действия: сбор, запись, систематизация, накопление, хранение,
уточнение, извлечение, использование, удаление и уничтожение.
Способ обработки: {автоматизированная / смешанная — выбрать}.

Обработка по поручению оператора:
{укажите привлечённое лицо, его адрес, порученные действия и данные;
если поручения нет — укажите, что обработка не поручается}.

Согласие действует до {конкретный срок или понятное условие,
связанное с рассмотрением обращения}, либо до его отзыва,
если отзыв поступит раньше.

Отозвать согласие можно через {рабочий адрес или форму для отзыва}.
После отзыва обработка прекращается, а данные уничтожаются
в порядке статьи 21 закона № 152-ФЗ, если для продолжения обработки
нет другого законного основания.

Это согласие не распространяется на рекламную рассылку.
Редакция текста: {идентификатор редакции и дата}.

Не оставляйте срок «навсегда» или бессрочное хранение без обоснования. Условие прекращения должно быть понятным посетителю и выполнимым для вашей команды. Например, оператор может установить срок после завершения переписки, но его нужно выбрать под свою задачу, а затем настроить удаление во всех задействованных системах.

Если обращения попадают в систему учёта клиентов или почтовый сервис подрядчика, проверьте условия поручения обработки по части 3 статьи 6. Название сервиса в согласии не заменяет необходимых договорных условий. Местонахождение баз и передачу данных за рубеж проверьте по руководству о локализации.

Пример HTML-формы

Код показывает поля и явное согласие. Пути /legal/consent-feedback, /legal/privacy и /api/contact - примеры: создайте документы и обработчик на своём сайте, затем подставьте реальные адреса. В запросе нет отправки на сторонний домен.

<form action="/api/contact" method="post">
  <label for="contact-email">Ваш email</label>
  <input id="contact-email" name="email" type="email" required>

  <label for="contact-message">Ваш вопрос</label>
  <textarea id="contact-message" name="message"
    maxlength="2000" required></textarea>

  <label for="feedback-consent">
    <input id="feedback-consent" name="consent_pd"
      type="checkbox" value="yes" required>
    Даю согласие на обработку email и текста обращения
    для ответа на вопрос.
  </label>
  <p>
    <a href="/legal/consent-feedback">Текст согласия</a>.
    <a href="/legal/privacy">Политика обработки данных</a>.
  </p>
  <input type="hidden" name="consent_version" value="feedback-v1">
  <button type="submit">Отправить вопрос</button>
</form>

У чекбокса нет атрибута checked: посетитель выбирает сам. Атрибут required помогает браузеру проверить форму, но запрос можно отправить в обход страницы. Не полагайтесь только на него или на отключённую кнопку.

Что должен проверить сервер

Обработчик /api/contact должен проверить consent_pd === "yes" и принятую на сервере редакцию согласия до сохранения обращения и его передачи в другие системы. Значение скрытого поля можно подменить, поэтому сравнивайте его с допустимой редакцией. Произвольное значение из запроса не подтверждает, какой текст видел посетитель. Если редакция уже изменилась, предложите открыть актуальную форму и подтвердить согласие заново.

Проверьте формат email, длину текста, защиту от поддельных запросов и частых отправок. Не записывайте тело отвергнутого обращения в журналы ошибок. Для принятой заявки сохраняйте минимальное доказательство: идентификатор обращения, время на сервере, цель, результат явного действия и редакцию согласия. Сам текст каждой редакции тоже должен оставаться доступным оператору. Доказательство должно позволять связать согласие с обращением; достаточность этих сведений для конкретного спора нужно оценивать отдельно.

Статья 9 возлагает обязанность доказать согласие или другое основание на оператора. Она не требует собирать IP-адрес каждого посетителя во всех случаях. Не добавляйте IP, паспорт и отпечаток устройства «для надёжности» без отдельной необходимости и основания.

Самопроверка перед запуском

1. Откройте форму с телефона: полный текст согласия доступен до отправки, ссылки работают, галочка пустая.
2. Отправьте тест без согласия через интерфейс и напрямую в обработчик. При выбранном основании «согласие» заявка не должна сохраняться или уходить в почту.
3. Отправьте тест с согласием. Убедитесь, что можно восстановить текст, который подтвердил посетитель, и дату подтверждения.
4. Проверьте запрос со старой редакцией: сервер не должен молча считать её актуальной.
5. Пройдите отзыв на собственных тестовых данных: найдите запись, прекратите нужную обработку и проверьте удаление либо документированное основание дальнейшего хранения.

Для общего документа используйте шаблон политики обработки данных. Отдельно проверьте cookie-баннер, если сайт использует такие технологии.

Проверить публичную часть сайта в СайтсканРФ можно после изменений. Сканер помогает найти видимые признаки риска в формах и документах; он не видит ваши серверные проверки, историю согласий и договоры с подрядчиками. Успешный скан не подтверждает законность всей обработки.

Материал нужно адаптировать к работе вашего сайта. Он не заменяет юридическую оценку конкретной обработки. Проверены положения статей 5, 6, 9 и 21 закона от 27.07.2006 № 152-ФЗ и поправка от 24.06.2025 № 156-ФЗ; дата проверки источников - 10.09.2026.