Согласие на обработку персональных данных при заключении договора онлайн: когда оно не нужно, когда обязательно и как оформить, чтобы не нарушить 152-ФЗ

Согласие на обработку персональных данных при заключении договора онлайн не нужно — если речь о данных, необходимых для самого договора. Пункт 5 части 1 статьи 6 152-ФЗ разрешает обработку без согласия, когда она необходима для исполнения договора с субъектом или для его заключения по инициативе субъекта. Заказ в интернет-магазине, регистрация в сервисе, акцепт оферты — это инициатива клиента. Согласие требуется на то, что за пределами договора: рекламные рассылки (статья 15 152-ФЗ), передача данных партнёрам для их предложений, аналитика и реклама, хранение для новой цели — например, маркетинговой базы после закрытия заказа. Продлить хранение по прежней цели согласие не позволяет: часть 7 статьи 5 152-ФЗ исключений для него не делает. И оформляется согласие с 1 сентября 2025 года отдельно от оферты и любых других документов (часть 1 статьи 9 152-ФЗ).

Проверить формы и согласия на сайте — бесплатно за 30 секунд ←

Нужно ли согласие, если клиент заключает договор на сайте?

Нет — и это не лазейка, а прямая норма. Статья 6 152-ФЗ перечисляет случаи, когда обработка допускается, и согласие субъекта — лишь первый из них. Здесь мы разбираем оферту: как она устроена, почему согласие нельзя в неё вшивать и что писать под кнопкой. Пошаговый разбор воронки интернет-магазина — от корзины до постпродажных писем — в соседней статье «Персональные данные покупателей интернет-магазина». Пункт 5 части 1 звучит так: обработка «необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем».

Из формулировки следуют четыре ситуации, в которых основание есть без всякой галочки:

• клиент — сторона договора: оформил заказ, оплатил подписку, купил курс;
• клиент — инициатор заключения: оставил заявку, попросил счёт, начал регистрацию — договор ещё не заключён, но обработка для его заключения уже законна;
• клиент — выгодоприобретатель: подарочный сертификат, доставка на другого человека, страховка в пользу третьего лица — данные получателя обрабатываются на том же основании;
• клиент — поручитель по договору.

Важно слово «необходима». Основание покрывает не любые данные, которые удобно собрать при заказе, а те, без которых договор не заключить и не исполнить. Всё, что сверх этого, требует другого основания. Полный перечень оснований статьи 6 и как выбирать между ними — в статье «Статья 6 закона 152-ФЗ: условия обработки персональных данных».

Что считать необходимым для исполнения договора?

Граница проходит по вопросу: можно ли исполнить именно этот договор без этих данных? Если нет — основание договор. Если можно — нужно другое основание, чаще всего согласие.

Две строки требуют пояснения. Передача данных курьеру или платёжному сервису — не «передача третьему лицу», а поручение обработки: часть 3 статьи 6 152-ФЗ позволяет оператору поручить обработку другому лицу по договору, в котором перечислены данные, действия, цели, обязанность конфиденциальности и требования к защите. Норма при этом говорит, что поручить обработку оператор вправе «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом», и прямой оговорки о том, что договорное основание такое согласие заменяет, в законе нет. Поэтому безопаснее не считать поручение автоматически покрытым договором, а перечислить получателей в политике и закрыть передачу согласием. Как это оформить — в статье «Передача ПДн курьерской службе».

Хранение после исполнения — отдельная тема: договор исполнен, цель достигнута, и по части 7 статьи 5 152-ФЗ данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено федеральным законом. Это «иное» — сроки хранения первичных документов по законодательству о бухгалтерском учёте: Федеральный закон №402-ФЗ «О бухгалтерском учёте» требует хранить первичные учётные документы не менее пяти лет после отчётного года. Сколько хранить данные покупателя и что делать с ними потом — в статье «Возврат товара и хранение ПДн покупателя».

Как написать оферту, чтобы не требовать лишнего согласия?

Оферта — договор, и в ней уместно описать обработку, которая нужна для его исполнения. Согласию в ней места нет — ни по форме, ни по смыслу.

Что должно быть в оферте или пользовательском соглашении:

1. Какие данные и зачем. «Для оформления и исполнения заказа исполнитель обрабатывает имя, телефон, адрес электронной почты и адрес доставки заказчика».
2. Основание. Прямо назвать пункт 5 части 1 статьи 6 152-ФЗ — это снимает вопросы при проверке и объясняет клиенту, почему галочки нет.
3. Кому передаются данные для исполнения — службе доставки, платёжному сервису, хостингу, — и что это поручение обработки.
4. Срок хранения и что происходит после — уничтожение либо обезличивание.
5. Ссылка на политику обработки персональных данных. Она обязательна независимо от оферты: часть 2 статьи 18.1 152-ФЗ требует опубликовать её на тех страницах сайта, с которых ведётся сбор данных.

Чего в оферте быть не должно:

• фразы «акцептуя оферту, заказчик даёт согласие на обработку персональных данных» — согласие с 1 сентября 2025 года «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных» (часть 1 статьи 9 152-ФЗ в редакции 156-ФЗ от 24.06.2025). Оферта — ровно такой документ: заказчик её акцептует, то есть подтверждает;
• согласия на рассылки, передачу партнёрам, рекламу, «спрятанного» в договор: помимо нарушения формы это лишает согласие свободы — клиент не может заключить договор, не согласившись на лишнее. Почему объединение согласий запрещено и как его разделить — в статье «Пакетное согласие: запрет с 2025 года»;
• условия, по которым клиент «соглашается» на обработку любых данных в любых целях, — это противоречит части 5 статьи 5 152-ФЗ о неизбыточности и части 2 о конкретных, заранее определённых целях.

Как выглядит правильный экран заказа. Кнопка «Оформить заказ», под ней текст: «Нажимая кнопку, вы принимаете условия оферты и подтверждаете, что ознакомлены с политикой обработки персональных данных» — две ссылки. Ниже — отдельный, по умолчанию пустой чекбокс: «Хочу получать письма о новинках и акциях» со ссылкой на текст согласия.

Важная оговорка про галочку на сам заказ. Юридически она не нужна: основание — договор. Но договорное основание живёт в оферте и политике, а снаружи, по одной странице, его не видно. Поэтому автоматическая проверка — и автоматизированный мониторинг, и наш бесплатный скан — видит форму с контактными полями и без единого чекбокса как обработку без зафиксированного согласия и помечает её красным. Это не значит, что вы нарушили закон: у вас есть чем ответить. Но многие операторы сознательно оставляют необязательный чекбокс «ознакомлен с политикой обработки персональных данных» — он не меняет основание на согласие, зато снимает вопрос и у робота, и у проверяющего. Когда чекбокс действительно обязателен, разобрано в статье «Форма без чекбокса согласия».

Когда согласие всё-таки нужно и как получить его онлайн?

Согласие — основание для всего, что не покрыто договором и законом. Требования к нему — в статье 9 152-ФЗ.

Форма. Часть 1 статьи 9: согласие даётся «в любой форме, позволяющей подтвердить факт его получения, если иное не предусмотрено федеральным законом». Для рассылок, аналитики, передачи партнёрам достаточно электронной формы — чекбокса с текстом, если факт его проставления можно доказать. Письменная форма нужна только там, где её требует закон: специальные категории данных по статье 10 152-ФЗ (например, анкета о хронических заболеваниях на сайте фитнес-клуба), биометрия по статье 11 152-ФЗ, отдельные случаи трансграничной передачи по статье 12 152-ФЗ. Обратите внимание: у медицинской организации для той же анкеты письменное согласие может и не понадобиться — пункт 4 части 2 статьи 10 152-ФЗ даёт самостоятельное основание обрабатывать сведения о здоровье в медико-профилактических целях и при оказании медицинских услуг, если обработку ведёт лицо, обязанное сохранять врачебную тайну. Для этих случаев чекбокс не подходит — нужен электронный документ с электронной подписью или бумага.

Содержание. Согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным»: кто оператор, какие данные, для какой цели, какие действия, срок, как отозвать. Один чекбокс «на всё» этим требованиям не отвечает — у каждой цели своё согласие или, как минимум, своя отметка.

Доказательство. Часть 3 статьи 9 152-ФЗ: обязанность доказать получение согласия лежит на операторе. Значит, нужно хранить не только факт «галочка была», но и текст, который клиент видел, дату, время и идентификатор сессии или аккаунта. Как построить такое хранение и что считается доказательством — в статье «Электронное согласие на обработку ПДн».

Отзыв. Часть 2 статьи 9 152-ФЗ: согласие может быть отозвано. После отзыва оператор вправе продолжать обработку, если у него есть иное основание — например, договор. Поэтому и важно не смешивать основания: отозванное согласие на рассылку не мешает исполнять заказ, если заказ обрабатывался по договору, а не «по согласию». Готовые формулировки для отдельных согласий — в статье «Согласие на обработку ПДн: образец».

Какие ошибки при онлайн-договорах встречаются чаще всего?

1. Одна галочка на всё. «Даю согласие на обработку персональных данных, получение рассылок и передачу данных партнёрам» — три разных основания в одном чекбоксе, причём первое из них для сделки не нужно вовсе. Разделить: договор — без галочки, рассылка — отдельный чекбокс, партнёры — отдельный чекбокс с перечнем получателей.
2. Предотмеченная галочка. Согласие должно быть сознательным и однозначным; заранее проставленная отметка этому не соответствует. Подробно — в статье «Предустановленная галочка согласия».
3. Согласие внутри оферты. Нарушение части 1 статьи 9 152-ФЗ о раздельном оформлении и, по существу, принуждение к согласию как условию договора.
4. Обязательное «согласие» на сам заказ. Не нарушение само по себе, но ложное основание: при отзыве такого согласия оператору придётся объяснять, почему он продолжает обработку, — а мог бы сразу опираться на договор.
5. Избыточные поля в форме. Дата рождения, паспортные данные, место работы там, где для договора достаточно имени и контакта. Часть 5 статьи 5 152-ФЗ: данные «не должны быть избыточными по отношению к заявленным целям».
6. Политика есть, но не на странице заказа. Часть 2 статьи 18.1 152-ФЗ требует опубликовать политику в том числе «на страницах принадлежащего оператору сайта… с использованием которых осуществляется сбор персональных данных», — ссылка в подвале главной не заменяет ссылку у формы. Отдельная норма — часть 4 статьи 9 152-ФЗ: согласие должно быть информированным, поэтому рядом с чекбоксом согласия нужна работающая ссылка на документ. Подробнее — в статье «Чекбокс без ссылки на политику».
7. Нет уведомления в Роскомнадзор «потому что у нас только договор». Исключение для договорной обработки утратило силу с 1 сентября 2022 года; уведомление нужно, и правовое основание «договор» в нём указывается.

Что грозит за ошибки с согласием при онлайн-договоре?

Ответственность распределяется по частям статьи 13.11 КоАП в зависимости от того, что именно нарушено.

Обратите внимание на развилку между частями 1 и 2. Часть 2 с её 700 000 рублей применяется только к обработке «без согласия в письменной форме… в случаях, когда такое согласие должно быть получено», — то есть к специальным категориям, биометрии и трансграничной передаче. Обычная форма заказа с рассылкой без галочки — это часть 1. Обещания «штраф до 700 тысяч за форму без согласия» завышают риск более чем вдвое.

Что из этого видно снаружи?

Часть перечисленного проверяется прямо на странице оформления заказа, без запроса документов. Бесплатная проверка на rkn-ok.ru за полминуты показывает: опубликована ли политика и открывается ли она, есть ли ссылка на неё рядом с формой, не вшито ли согласие на рассылку в тот же чекбокс, что и согласие на обработку, не предотмечена ли галочка, какие поля собирает форма и расходятся ли они с заявленными в политике категориями, какие сторонние скрипты загружаются до согласия. Текст самой оферты и выбор оснований остаются на вас — а экран заказа можно проверить прямо сейчас.

Проверить страницу заказа бесплатно: политика, чекбоксы, трекеры ←

Что читать дальше

• «Статья 6 закона 152-ФЗ: условия обработки персональных данных» — все основания и как выбирать между ними.
• «Пакетное согласие: запрет с 2025 года» — почему согласия разделяют по целям.
• «Персональные данные покупателей интернет-магазина» — где заканчивается договор и начинается согласие на каждом шаге воронки.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 5, 6, 9, 10, 10.1, 11, 12, 15, 18.1, 22 — consultant.ru/document/cons_doc_LAW_61801/.
• КоАП РФ, статьи 13.11 и 14.3 — consultant.ru/document/cons_doc_LAW_34661/.
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» (хранение документов бухгалтерского учёта) — consultant.ru/document/cons_doc_LAW_122855/.