Подойдёт ли для публикации на сайте готовое Согласие на обработку персональных данных, если собираем только имя и email, и не будет ли претензий от Роскомнадзора

Что именно оператор обязан публиковать на сайте: политику, а не текст согласия

Ключевое разграничение, которое устраняет распространённое заблуждение: Роскомнадзор не требует выкладывать на сайте текст согласия отдельным документом. Закон требует публиковать Политику обработки персональных данных (и сведения о реализуемых требованиях к защите). Согласие же — это индивидуальный документ, который субъект даёт через форму на сайте при вводе своих данных.

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
— ч. 2 ст. 18.1 Федерального закона № 152-ФЗ

Это означает: если на сайте размещена только отдельная политика, а согласие даётся через галочку/чекбокс в форме сбора данных — это правомерно. Публикация текста согласия как отдельной страницы — не требование РКН, а избыточная практика, которая может создать путаницу, если в опубликованном документе указаны не соответствующие вашей реальной обработке цели или категории данных.

Таким образом, для IT-компании, собирающей имя и email через форму на сайте, достаточно: (а) разместить на сайте Политику обработки ПД с постоянным доступом (ссылка в футере сайта), (б) внедрить в форму чекбокс: «Я согласен на обработку персональных данных в соответствии с Политикой» со ссылкой на полный текст политики. Отдельной страницы «Согласие» РКН не требует — это не основание для претензий.

Требования к согласию на обработку ПД при сборе имя + email через форму сайта

Для сбора имени и email через форму на сайте письменная форма согласия с полным набором реквизитов по ч. 4 ст. 9 152-ФЗ не обязательна. Она требуется только в случаях, прямо предусмотренных федеральным законом (например, обработка специальных категорий, биометрия, передача третьим лицам без поручения). Имя и email к таким случаям не относятся.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
— ч. 1 ст. 9 Федерального закона № 152-ФЗ

Общее правило: согласие может быть дано «в любой позволяющей подтвердить факт его получения форме». Это легализует электронное согласие через чекбокс («галочку») на сайте. Но есть обязательные качественные характеристики: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Это означает, что чекбокс не может быть предзаполнен по умолчанию (иначе не является «сознательным и однозначным»), а рядом с ним должна быть ссылка на Политику обработки ПД.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 Федерального закона № 152-ФЗ

Бремя доказывания факта получения согласия лежит на операторе. Поэтому IT-компании необходимо обеспечить логирование: фиксировать IP-адрес, временную метку, текст согласия на момент его дачи (версию политики). На практике это реализуется через хранение в базе данных записи о факте проставления галочки с привязкой к идентификатору сессии/пользователя.

В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных.
— ч. 4 ст. 9 Федерального закона № 152-ФЗ

Требования ч. 4 ст. 9 (паспортные данные, подпись и пр.) к обычному сбору имя+email через сайт не применяются, поскольку федеральный закон не предписывает обязательную письменную форму для такой обработки. Если в найденном «подробном шаблоне» воспроизведены все реквизиты ч. 4 (ФИО, паспорт, адрес, подпись) — такой текст избыточен для вашей ситуации, хотя и не вреден сам по себе. Однако его использование может создать ложное обязательство: если субъект не заполнит паспортные данные в форме, а в опубликованном согласии они указаны как обязательные — возникает риск претензии о неполноте полученного согласия.

Рекомендуемая для IT-компании конструкция: короткое согласие в тексте рядом с чекбоксом, например: «Я даю согласие ООО "…" (ИНН …, адрес …) на обработку моих персональных данных (имя, email) в целях [указать конкретную цель: "направления ответа на обращение" / "информационной рассылки" / "заключения и исполнения договора"] путём сбора, записи, систематизации, накопления, хранения, уточнения, извлечения, использования, уничтожения. Срок действия согласия — до достижения цели обработки или до отзыва. Отзыв — путём направления письма на [email]. С Политикой обработки ПД ознакомлен.» При этом сама Политика (отдельный документ) раскрывает все детали, требуемые для информированного согласия.

Вывод: для сбора имя+email через форму сайта достаточно электронного согласия через чекбокс, не требуется ни публикация отдельного текста согласия, ни соблюдение полного перечня реквизитов ч. 4 ст. 9 152-ФЗ. Найденный «подробный» образец может использоваться, но должен быть адаптирован под ваши реальные цели и категории данных — иначе создаёт риск несоответствия декларируемого и фактического.

Обязанность уведомить Роскомнадзор о начале обработки

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
— ч. 1 ст. 22 Федерального закона № 152-ФЗ

Сбор имени и email через форму на сайте — это обработка с использованием средств автоматизации. Действующие исключения ч. 2 ст. 22 (освобождающие от уведомления) после редакции от 14.07.2022 № 266-ФЗ сведены к узкому перечню: госинформсистемы в целях безопасности (п. 7), обработка исключительно без средств автоматизации (п. 8), транспортная безопасность (п. 9). Сбор через сайт ни под одно из этих исключений не подпадает.

Следовательно, до начала сбора данных через форму на сайте оператор-IT-компания обязана направить уведомление в РКН. Уведомление подаётся в электронной форме через портал Роскомнадзора (https://pd.rkn.gov.ru) и должно содержать сведения согласно ч. 3 ст. 22: наименование и адрес оператора, цели обработки, описание мер защиты, данные ответственного за организацию обработки ПД, дату начала обработки, срок или условие прекращения, сведения о трансграничной передаче и месте нахождения базы данных, а также — согласно ч. 3.1 — для каждой цели: категории ПД, категории субъектов, правовое основание, перечень действий и способы обработки.

Неисполнение этой обязанности влечёт административную ответственность по ч. 10 ст. 13.11 КоАП (штраф на юрлиц от 100 тыс. до 300 тыс. руб.).

Ч. 1 ст. 13.11 КоАП (обработка без согласия / несовместимая с целями) влечёт штраф на юрлиц от 150 тыс. до 300 тыс. руб.

Вывод: уведомление РКН обязательно. Его отсутствие — самостоятельный состав правонарушения, даже если с согласиями и политикой всё в порядке. Рекомендуется подать уведомление до запуска формы сбора данных на сайте.

Ответственность за нарушения: обзор санкций по ст. 13.11 КоАП РФ

Для IT-компании — юридического лица — актуальны следующие составы:

1. Обработка ПД в случаях, не предусмотренных законом, либо несовместимая с целями сбора (ч. 1 ст. 13.11): штраф на юрлиц от 150 000 до 300 000 рублей. Под этот состав подпадает, в частности, обработка без получения согласия вообще либо использование данных в целях, не заявленных при сборе.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
— ч. 2 ст. 13.11 КоАП РФ

1. Обработка ПД без письменного согласия, когда оно обязательно, либо с нарушением требований к составу сведений в письменном согласии (ч. 2 ст. 13.11): штраф на юрлиц от 300 000 до 700 000 рублей. Этот состав применяется, когда федеральный закон требует письменную форму согласия (спецкатегории, биометрия, трансграничная передача в отдельные страны), а оператор её не получил. При сборе имени и email через галочку этот состав, как правило, не применяется, поскольку письменная форма для такой обработки не обязательна. НО: если вы используете «подробный» образец, в котором воспроизведены реквизиты письменного согласия (паспорт, адрес), но фактически не собираете эти данные и не получаете подпись — возникает риск квалификации по второму альтернативному признаку: «нарушение требований к составу сведений, включаемых в согласие в письменной форме», если РКН сочтёт, что вы сами установили такую форму как обязательную.

Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей.
— ч. 3 ст. 13.11 КоАП РФ

1. Неопубликование политики обработки ПД / сведений о защите (ч. 3 ст. 13.11): штраф на юрлиц от 30 000 до 60 000 рублей. Если на сайте нет политики — наказывается независимо от наличия согласий.

2. Неуведомление РКН о начале обработки (ч. 10 ст. 13.11): штраф на юрлиц от 100 000 до 300 000 рублей.

Таким образом, суммарный риск при комплексном нарушении (нет политики + нет уведомления РКН + нет согласия) может составить для юрлица ориентировочно от 280 000 до 660 000 рублей нижней границы по трём составам, а в худшем случае, при квалификации по ч. 2 — до 1 060 000 рублей и выше.

Вывод: «куцые» согласия с чужих сайтов опасны не столько краткостью, сколько отсутствием конкретики под ваши цели и категории. Подробный образец — безопаснее, но только если адаптировать его под реальную обработку: убрать лишние категории ПД и цели, которые вы не преследуете.

Если email используется для рекламной рассылки: дополнительное требование

Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено. Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием.
— ч. 1 ст. 18 Федерального закона № 38-ФЗ «О рекламе»

Согласие на обработку ПД и согласие на получение рекламы — это два разных, самостоятельных согласия. Первое регулируется 152-ФЗ, второе — ст. 18 ФЗ «О рекламе». Бремя доказывания наличия согласия на рекламу также лежит на рекламораспространителе (IT-компании).

Если форма на сайте собирает email для последующей рассылки рекламных/маркетинговых сообщений, в ней должны быть две отдельные галочки (или одна, но с явным указанием, что согласие даётся в том числе на рекламную рассылку). Объединение двух согласий в одном чекбоксе — допустимо при условии, что текст явно и недвусмысленно охватывает оба. Рекомендуется разделить: «Я согласен на обработку ПД» и «Я согласен получать рекламные сообщения на email» — это устраняет риск признания согласия на рекламу неполученным.

Если email собирается исключительно для обратной связи (ответ на обращение, техническое уведомление) и не используется для рекламы — согласие по ст. 18 ФЗ «О рекламе» не требуется.

Вывод: в зависимости от реальной цели использования email — требуется либо не требуется отдельное согласие на рекламную рассылку. Если цель — реклама, недостаточно одного согласия на обработку ПД, необходимо согласие на получение рекламы по ст. 18 ФЗ «О рекламе».

Развилка «подробный шаблон» vs «короткое согласие»: оценка рисков для чужого образца

Вопрос клиента: «Подойдёт ли найденный подробный образец, не будет ли претензий от РКН?» — предполагает две ветки.

Ветка А: образец адекватен вашей обработке. Если найденный текст содержит корректные для вашей ситуации: перечень ПД (имя, email), конкретную цель (например, «обратная связь по запросу пользователя» или «информационная рассылка»), перечень действий (сбор, хранение, использование, уничтожение), срок действия, способ отзыва, наименование/реквизиты оператора — такой образец допустим. Но его место — не на отдельной странице сайта, а в тексте рядом с чекбоксом в форме. На сайте публикуется Политика, а не текст согласия.

Ветка Б: образец содержит избыточные или неверные сведения. Если в нём указаны категории ПД, которые вы не собираете (например, телефон, адрес, паспортные данные), или цели, которые вы не преследуете (например, «передача третьим лицам», «маркетинговые исследования»), то использование такого текста создаёт риск:

• Субъект даёт согласие на обработку более широкого перечня данных, чем вы фактически обрабатываете — формально это не нарушение, но при проверке РКН может задать вопрос: «оказывается ли оператору согласие по избыточному перечню»;
• Если в образце воспроизведены реквизиты письменного согласия (паспорт, адрес, подпись), но фактически вы их не получаете (только имя+email через веб-форму) — появляется риск квалификации по ч. 2 ст. 13.11 КоАП (нарушение требований к составу сведений) — штраф от 300 до 700 тыс. руб.;
• Если образец скопирован с сайта юрконторы и содержит упоминания специфических для них целей/категорий, которые не соответствуют вашей деятельности — РКН может расценить это как введение субъекта в заблуждение относительно целей обработки → нарушение принципа «информированного согласия» (ч. 1 ст. 9 152-ФЗ).

Рекомендация: используйте подробный образец как черновик, но обязательно адаптируйте: (1) укажите точное наименование и реквизиты вашей компании, (2) ограничьте перечень ПД до фактически собираемых (имя, email), (3) укажите реальные цели, (4) исключите паспортные данные / реквизиты письменной формы, если их сбор не предполагается, (5) встройте согласие в форму сбора данных как текст рядом с чекбоксом, а не публикуйте отдельной страницей. На сайте должна быть Политика обработки ПД, а не текст согласия.

Вывод: подробный образец использовать можно, но только после адаптации под вашу реальную обработку и с размещением в форме, а не как отдельную страницу сайта. Претензий РКН не будет, если текст соответствует фактической обработке, на сайте опубликована Политика и в РКН направлено уведомление.