Согласия для форм сайта, cookie и рекламных рассылок

Правильный вопрос — не «где поставить галочку», а «на каком основании обрабатываются данные для конкретной цели». Федеральный закон № 152-ФЗ предусматривает несколько оснований. Согласие используется только там, где оно применимо, и не должно подменять договор, обязанность по закону или другую самостоятельную конструкцию.

Для формы заявки возможны разные ситуации. Если человек просит подготовить предложение или связаться с ним для заключения договора, часть обработки может быть необходима для действий по его инициативе до заключения договора. Если тот же контакт планируется использовать для последующей рекламы, возникает новая цель, которая требует самостоятельной проверки оснований и предварительного рекламного согласия. Если данные нужны для исполнения уже заключённого договора, основанием может быть договор, но дополнительные маркетинговые действия из него автоматически не следуют.

Нужно различать как минимум четыре конструкции:

1. **Согласие на обработку персональных данных.** Относится к конкретным данным, цели и действиям, когда обработка основана на согласии.

2. **Согласие на распространение персональных данных.** Применяется к данным, разрешённым субъектом для распространения, и регулируется специальными требованиями статьи 10.1 Федерального закона № 152-ФЗ и актом Роскомнадзора.

3. **Предварительное согласие на рекламу по сетям электросвязи.** Требуется по статье 18 Федерального закона «О рекламе»; обязанность доказать его наличие лежит на рекламораспространителе.

4. **Согласие с договором, офертой или правилами сервиса.** Это юридическое действие по поводу договорных условий и само по себе не заменяет отдельное согласие на обработку, когда оно необходимо.

С 1 сентября 2025 года статья 9 Федерального закона № 152-ФЗ требует оформлять согласие на обработку персональных данных отдельно от иных документов и информации, которые субъект подтверждает или подписывает. Поэтому нельзя прятать согласие внутри пользовательского соглашения, оферты или общего текста рядом с кнопкой. При этом отдельность оформления не означает, что любая обработка должна основываться на согласии.

Юридическая оценка зависит от того, что происходит после действия пользователя. Одинаковая внешне форма может обслуживать разные цели, передавать данные разным получателям и требовать разных оснований.

**Форма заявки.** Нужно определить, требуется ли обработка для ответа на обращение или подготовки договора. Если пользователь добровольно запрашивает услугу, не следует автоматически утверждать, что единственным основанием является согласие. Одновременно оператор должен предоставить необходимую информацию и не использовать данные для несовместимой цели.

**Регистрация.** Создание учётной записи обычно связано с правилами сервиса и договорной моделью. Отдельно оцениваются необязательные данные профиля, аналитика поведения, публикация сведений другим пользователям и маркетинг.

**Рассылка.** Подписка на рекламу не должна быть условием отправки заявки или регистрации, если реклама не является необходимой частью запрошенной услуги. Отказ от рекламы не должен блокировать основное действие пользователя.

**Cookie и аналитика.** Само название технологии не определяет правовой режим. Технически необходимый идентификатор сессии, инструмент статистики, рекламный трекер и технология профилирования выполняют разные функции. Нужно установить, какие сведения формируются, передаются ли они третьим лицам, можно ли определить пользователя и предоставляет ли поставщик сервиса данные для собственных целей.

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Эти требования оцениваются не только по словам документа, но и по интерфейсу: расположению текста, обязательности выбора, состоянию чекбокса и связи с кнопкой.

Содержание согласия зависит от формы и применимого требования. Не следует механически включать все элементы письменного согласия в каждую электронную форму, если закон не требует письменной формы для конкретной обработки. Но электронный сценарий должен позволять установить оператора, цель, данные, действие пользователя и содержание согласия, а также подтвердить его получение.

Отзыв согласия должен иметь понятный канал. Оператор не обязан прекращать любую обработку немедленно, если существует иное законное основание для продолжения, но обязан проверить последствия отзыва по каждой цели. Для рекламы возможность отказаться от дальнейших сообщений должна быть практической, а не формальной.

Допустимая координация интерфейса не означает объединение разных правовых действий. Пользователь может в одном окне отправить заявку и добровольно подписаться на новости, но каждое действие должно быть распознаваемым и подтверждаемым отдельно.

Статья 18 Федерального закона «О рекламе» допускает распространение рекламы по сетям электросвязи только при предварительном согласии абонента или адресата. Если рекламораспространитель не докажет получение такого согласия, реклама признаётся распространённой без него. Поэтому наличие контакта в CRM, согласие на обработку персональных данных или заключённый договор сами по себе не подтверждают право направлять рекламу.

Согласие на рекламу целесообразно оформлять отдельным добровольным выбором с понятным описанием каналов и отправителя. Формулировка должна соответствовать фактическому сценарию: электронная почта, SMS, телефонные звонки или сообщения в иных сетях связи могут требовать учёта конкретного способа распространения.

Не каждое сервисное сообщение является рекламой. Подтверждение заказа, уведомление о статусе доставки или сообщение о безопасности учётной записи оцениваются по содержанию и связи с исполнением договора. Добавление рекламного предложения в сервисное сообщение может изменить правовую оценку. Название рассылки «информационная» не исключает применение закона о рекламе, если содержание продвигает товар, услугу или лицо.

Ни один документ не подтверждает всю систему обработки. Политика, согласие, журнал событий, договор с сервисом и база отписок отвечают на разные вопросы и должны согласовываться между собой.

Доказательственная модель проектируется до запуска формы. Оператору нужно сохранять не только факт клика, но и связь события с конкретной версией текста, страницей и целью. Скриншот текущей формы не доказывает, как она выглядела год назад. Поэтому изменения текста и интерфейса должны версионироваться.

Для бумажного или квалифицированного письменного согласия закон устанавливает специальные требования к содержанию. В электронных сценариях способ подтверждения выбирается с учётом категории данных, цели и требований к форме. Нельзя считать любой чекбокс эквивалентом письменного согласия там, где закон требует письменную форму.

Согласие на распространение персональных данных оформляется по специальной конструкции. Оно должно позволять субъекту определять данные, которые можно распространять, и устанавливать запреты или условия. Обычная галочка под формой заявки не заменяет такой документ.

Повторная проверка необходима, когда:

• добавляется новое поле или меняется обязательность заполнения;
• данные начинают использоваться для новой цели;
• подключается сервис рассылок, аналитики, коллтрекинга или профилирования;
• меняется оператор, домен или юридическая модель проекта;
• появляются новые получатели или иностранные поставщики;
• изменяется срок хранения или порядок удаления;
• корректируется текст кнопки, чекбокса или ссылки на документ;
• изменяется политика, оферта или договорная модель;
• поступает отзыв согласия либо требование субъекта;
• выявляется, что фактическая отправка рекламы не соответствует сохранённым согласиям.

Изменение политики не расширяет автоматически ранее полученное согласие. Если новая цель или новый состав данных не охватываются прежним волеизъявлением, требуется отдельная правовая оценка и, при необходимости, новое согласие. Аналогично перенос базы в другой сервис требует проверки передачи и роли сторон, а не только замены названия поставщика в документе.

Отказ от рекламы должен синхронизироваться со всеми каналами и системами, которые фактически используют контакт. Ссылка «отписаться» в одном сервисе не решает проблему, если менеджеры продолжают отправлять сообщения из CRM или мессенджера. Назначенное ответственное лицо должно контролировать единый процесс фиксации отказов.

Решение принимается по совокупности фактов. Алгоритм не гарантирует единую квалификацию для всех сайтов, но позволяет отделить цель, основание, интерфейс, доказательства и последующее использование данных.

1. **Опишите действие пользователя.** Что он просит: ответить на вопрос, зарегистрировать аккаунт, заключить договор, получить материал или подписаться на рекламу.

2. **Определите каждую цель.** Не объединяйте ответ на обращение, исполнение договора, аналитику и маркетинг в одну формулу.

3. **Сократите состав данных.** Оставьте сведения, необходимые для конкретной цели, и отдельно оцените автоматически создаваемые идентификаторы.

4. **Выберите правовое основание.** Проверьте статью 6 Федерального закона № 152-ФЗ и специальные нормы. Не используйте согласие автоматически.

5. **Определите вид согласия.** Обычное согласие на обработку, согласие на распространение и предварительное рекламное согласие не взаимозаменяемы.

6. **Разделите юридические действия.** Согласие оформляется отдельно от оферты, пользовательского соглашения и иных подтверждаемых документов; реклама отделяется от обязательного действия.

7. **Проверьте текст и интерфейс.** Пользователь должен видеть необходимую информацию до отправки, а добровольный выбор не должен быть предустановлен или скрыт.

8. **Настройте доказательства.** Сохраняйте версию текста, дату, время, событие, идентификатор и источник, не собирая избыточные сведения.

9. **Проверьте получателей и системы.** CRM, рассылка, аналитика и подрядчики должны быть учтены в политике и договорах.

10. **Организуйте отзыв и отказ.** Установите канал обращения, порядок прекращения обработки и синхронизацию рекламных отказов.

11. **Пересматривайте форму при изменениях.** Новый сервис или цель может потребовать корректировки документов, уведомления и повторного волеизъявления.

Пример ситуации: посетитель отправляет телефон для обратного звонка и отдельно выбирает получение предложений по электронной почте. Первое действие оценивается по цели обращения и договорной модели; второе — как самостоятельная рекламная подписка. Использовать телефон для SMS-рекламы только потому, что он введён в заявку, нельзя без отдельной проверки предварительного согласия на соответствующий канал.