Электронное согласие на обработку персональных данных: что изменилось к 2026 году и как оформить его на сайте

Электронное согласие на обработку персональных данных — это не обязательно файл с электронной подписью. По части 1 статьи 9 152-ФЗ согласие даётся в любой форме, позволяющей подтвердить факт его получения, и галочка в форме этому условию отвечает. Электронная подпись нужна только там, где закон требует именно письменного согласия. В 2026 году эти правила не менялись: последнее изменение — требование оформлять согласие отдельно от иных информации и документов — работает с 1 сентября 2025 года.

Проверить бесплатно, как согласие оформлено на вашем сайте ←

Что 152-ФЗ называет согласием и какой может быть его форма?

Статья 9 закона о персональных данных описывает согласие через пять признаков: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Дальше идёт ключевая для интернета фраза: согласие может быть дано субъектом или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

Из этой конструкции следуют три вещи, которые на практике путают чаще всего.

Первое: закон не требует бумаги по умолчанию. Письменная форма — исключение, а не правило. Она включается только там, где её прямо предписал федеральный закон.

Второе: «в любой форме» не значит «как угодно». Форма должна позволять подтвердить факт получения. Если посетитель отправил заявку, а на сервере не осталось ничего, кроме самой заявки, подтвердить факт нечем — и с точки зрения статьи 9 согласие фактически отсутствует.

Третье: доказывает оператор. Часть 3 статьи 9 152-ФЗ прямо возлагает обязанность предоставить доказательство получения согласия на оператора. Не субъект доказывает, что не соглашался, — оператор доказывает, что согласие было.

Изменилось ли что-то в электронном согласии в 2026 году?

Короткий ответ: в правилах о форме согласия — нет.

Публикации с заголовками «новые правила электронного согласия с 2026 года» обычно пересказывают изменение, которое вступило в силу раньше. Федеральный закон №156-ФЗ в силе с 01.09.2025, и он добавил в часть 1 статьи 9 закона о персональных данных требование: согласие должно быть оформлено отдельно от иных информации и (или) документов. Именно из-за него перестали работать конструкции «одна галочка на оферту, политику и согласие» — разбор с примерами есть в статье «Пакетное согласие: одна галочка на всё больше нельзя».

Законы 2026 года, которые действительно добавили обязанностей владельцу сайта, касаются другого: способов авторизации на сайте (статья 13.55 КоАП, в силе с 07.07.2026) и идентификации администратора домена через Госуслуги (с 01.09.2026). Статью 12 152-ФЗ о трансграничной передаче в 2026 году тоже переписали — Федеральным законом №265-ФЗ от 26.07.2026, — но новых обязанностей владельцу сайта это не добавило: уведомлять Роскомнадзор до начала передачи было нужно и раньше. Что из новостей про 2026 год оказалось точным, а что нет, разобрано в статье «Изменения в 152-ФЗ в 2026 году».

Практический вывод для владельца сайта: если вы разнесли чекбоксы в 2025 году, менять форму согласия в 2026-м из-за изменений закона не нужно. Если не разнесли — это долг с прошлого года, а не новая задача.

Когда нужна письменная форма, а когда достаточно галочки?

Письменная форма включается тогда, когда её требует федеральный закон. Для сайтов таких ситуаций немного, и их стоит знать в лицо.

Обычному коммерческому сайту — интернет-магазину, студии, клинике, школе английского — в подавляющем большинстве случаев достаточно чекбокса с корректным текстом и сохранённого следа о его отметке. Собирать сканы подписанных бумаг под каждую заявку закон не требует, и требование такого рода со стороны подрядчика — повод задать вопрос, на какую норму он опирается.

Отдельно стоит сказать про фотографии: снимок сам по себе не превращает обработку в биометрическую. Биометрией фотография становится, когда оператор использует её для установления личности. Это важно для школ, фитнес-клубов и пропускных систем — и разобрано в статье «Биометрия ребёнка в школе: обязательно ли согласие и можно ли отказаться».

Чем чекбокс на сайте отличается от электронного документа с подписью?

Это два разных юридических объекта, и путаница между ними порождает половину вопросов про «электронное согласие».

Электронный документ с электронной подписью — это способ выполнить требование о письменной форме. Часть 4 статьи 9 152-ФЗ говорит, что равнозначным содержащему собственноручную подпись согласию в письменной форме на бумажном носителе признаётся согласие в форме электронного документа, подписанного электронной подписью в соответствии с законом об электронной подписи. Такой документ нужен там, где письменная форма обязательна.

Чекбокс в форме — это не документ и не подпись. Это конклюдентное действие, то есть поведение, из которого следует воля субъекта. Оно годится везде, где закон не требует письменной формы, и его юридическая сила держится не на подписи, а на доказуемости: что именно было написано рядом с галочкой, была ли она отмечена самим пользователем и осталась ли об этом запись.

Отсюда практическое правило: чем слабее форма, тем важнее след. Бумага с подписью доказывает себя сама. Галочку доказывает только ваш сервер.

Что должно быть в тексте электронного согласия?

Перечень сведений из части 4 статьи 9 152-ФЗ формально относится к письменному согласию. Но в качестве ориентира он годится для любого: если текст рядом с галочкой отвечает на те же вопросы, признак «информированное» выполняется.

• кто субъект — в онлайн-форме это данные, которые он вводит сам;
• кто оператор — наименование и адрес организации или ИП, а не «наш сайт»;
• цель обработки — «обработка заявки и связь по ней», а не «улучшение качества услуг»;
• перечень данных — те же поля, что реально есть в форме;
• кто обрабатывает по поручению — CRM, сервис рассылок, колл-центр, если данные уходят к ним;
• действия и способы обработки — сбор, хранение, использование, передача;
• срок действия согласия и способ его отзыва — конкретный адрес или форма, а не «обратитесь к нам».

Самая частая ошибка в этом списке — расхождение между перечнем данных в согласии и полями формы. Если форма просит телефон, а согласие про него молчит, признак «конкретное» рушится. То же касается политики обработки: она должна описывать те же данные, что вы фактически собираете, — типичные расхождения разобраны в статье «Формы собирают больше данных, чем описано в политике».

Как доказать, что электронное согласие получено?

Доказательством служит не скриншот и не «у нас так настроено», а запись, сделанная в момент события. Минимальный набор, который стоит писать в лог на стороне сервера:

1. Дата и время отправки формы.
2. Идентификатор события — номер заявки, заказа, сессии.
3. Точный текст согласия, который отображался рядом с галочкой, — целиком, а не ссылка на него.
4. Версия политики обработки и адрес, по которому она была доступна.
5. Состав отправленных полей — без содержимого чужих персональных данных сверх необходимого.
6. Факт отметки чекбокса именно пользователем: галочка не должна быть предустановленной.

Последний пункт стоит проверить в первую очередь. Предустановленная галочка снимает признак «сознательное и однозначное» — и, что хуже, она видна снаружи, то есть фиксируется автоматизированным мониторингом без всякого запроса документов. Подробности — в статье «Предустановленная галочка согласия: почему это нарушение».

Хранить лог согласий стоит столько же, сколько вы храните сами данные, и на тех же основаниях. Отдельное согласие на ведение такого лога не требуется: он часть исполнения обязанности, а не самостоятельная цель обработки.

Что из электронного согласия видно снаружи?

Проверка не обязательно начинается с запроса документов. С 2025 года Роскомнадзор ведёт автоматизированный мониторинг сайтов — риск-ориентированный, а не сплошной, — и видит он только открытую информацию, то есть то, что показывает сайт (как это устроено, разобрано в статье «Бот РКН: как устроен автоматизированный мониторинг сайтов»). Из темы согласия снаружи видно почти всё существенное:

• есть ли чекбокс в форме вообще;
• не отмечен ли он заранее;
• есть ли рядом текст согласия, а не только слово «Согласен»;
• есть ли рабочая ссылка на политику обработки;
• не объединено ли согласие с офертой и рассылкой в одну галочку.

Невидимо снаружи только одно — ведёте ли вы лог. Именно поэтому порядок работы разумно строить так: сначала привести в порядок то, что видно, потом заняться доказательной частью.

Санкции за эти вещи разные. Отсутствующее, предустановленное или склеенное с офертой согласие Роскомнадзор квалифицирует как обработку персональных данных без согласия — часть 1 статьи 13.11 КоАП, для юридических лиц от 150 000 до 300 000 ₽. Отсутствие или неполнота опубликованной политики — часть 3 статьи 13.11 КоАП, для юридических лиц от 30 000 до 60 000 ₽. Верхние границы этих вилок — потолок, а не типичное наказание: сколько Роскомнадзор взыскал по утечкам в действительности, разобрано в статье «Оборотный штраф 500 млн ₽ за утечку: сколько раз его назначили на самом деле».

Что проверить на своём сайте за 15 минут

1. Откройте каждую форму и посмотрите, отмечена ли галочка при загрузке страницы.
2. Прочитайте текст рядом с ней: назван ли оператор, названа ли цель, есть ли ссылка на политику.
3. Сравните поля формы с перечнем данных в тексте согласия и в политике.
4. Проверьте, отдельный ли чекбокс у рассылки — и есть ли он вообще, если вы шлёте письма.
5. Спросите разработчика, что именно сохраняется на сервере в момент отправки формы.
6. Откройте ссылку на политику и убедитесь, что она ведёт на документ, а не на главную.

Пункты 1 и 6 целиком, а пункты 2–4 частично — наличие текста согласия рядом с чекбоксом, рабочая ссылка на политику, склейка согласия с офертой и расхождение полей форм с политикой — наш сервис проверяет автоматически, вместе с десятком других проверок. Он открывает сайт так же, как это делает автоматизированная система мониторинга, и показывает, что именно будет видно снаружи. Состав сведений в тексте согласия и то, что сохраняется на сервере, придётся посмотреть самому.

→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)

Что читать дальше

• Согласие на обработку ПДн 2026: образец и 5 обязательных элементов — что писать в тексте согласия
• Пакетное согласие: одна галочка на всё больше нельзя — как разделить чекбоксы
• Cookie-политика: нужна ли отдельным документом и как её составить — ещё один вид согласия на сайте и почему отдельный документ под него закон не требует
• Форма без чекбокса согласия: чем это грозит сайту — самая частая находка на сайтах

Источники: статья 9 Федерального закона №152-ФЗ «О персональных данных», статья 11 152-ФЗ о биометрических персональных данных, статья 13.11 КоАП РФ.