С 1 сентября 2025 года в России действует новое требование: согласие на обработку персональных данных должно быть отдельным документом. Не галочкой в оферте, не пунктом в пользовательском соглашении - отдельным. Это Федеральный закон от 24.06.2025 № 156-ФЗ. Роскомнадзор с июля 2025 года запустил автоматическую проверку сайтов на базе ИИ и находит нарушения без жалоб.

Что изменилось с 1 сентября 2025

С 1 сентября 2025 года в часть 1 статьи 9 закона 152-ФЗ добавился новый абзац: согласие на обработку персональных данных должно быть оформлено отдельно от иных документов, которые подтверждает или подписывает субъект персональных данных. Вшивать его в условия использования сайта, в договор-оферту или регистрационную форму - больше нельзя.

Поправку внёс Федеральный закон от 24 июня 2025 г. № 156-ФЗ. Как сформулировано в разъяснении buh.ru (07.07.2025): «Обновлённые правила вступают в силу с 1 сентября 2025 года и обязательны к применению всеми организациями и ИП, которые получают и обрабатывают персональные данные граждан».

Перечень обязательных сведений в самом согласии не изменился: имя субъекта, наименование и адрес оператора, цели и способы обработки, срок действия, подпись. Единственное новшество - документ обязан стоять отдельно.

Почему «вшитое» согласие нарушает право на отзыв

Если согласие вшито в оферту, пользователь не может его отозвать независимо от остального договора. По части 2 статьи 9 закона 152-ФЗ субъект персональных данных вправе в любой момент отозвать согласие - без объяснений, без последствий для своих прав по другим договорённостям. Именно поэтому 156-ФЗ потребовал раздельного оформления.

Раньше распространённая схема выглядела так: «Оформляя заказ, вы принимаете условия договора и соглашаетесь на обработку персональных данных» - одна галочка, один документ. Пользователь хочет отозвать согласие на данные, но это одновременно означает расторжение договора. Выбора нет.

Это и зафиксировала поправка. Sitelaw.ru (22.06.2026) формулирует прямо: «согласие на обработку персональных данных нельзя вшивать в оферту или пользовательское соглашение - оно должно быть конкретным, информированным, однозначным и оформленным отдельно».

Отдельный практический вопрос: согласия, собранные до 01.09.2025 в составе оферты, при проверке могут быть квалифицированы как не соответствующие новым требованиям. Юристы расходятся в оценках, но риск при аудите остаётся.

Как пользователь отзывает согласие на обработку персональных данных

Субъект персональных данных направляет оператору письменное уведомление об отзыве согласия. Оператор после получения обязан прекратить обработку данных и уничтожить их в течение 30 дней, если иное не предусмотрено договором или законом. Форма отзыва - произвольная: письмо на email, заявление через форму на сайте, бумажное обращение.

По замеру Вордстата от 06.09.2026, запрос «отзыв согласия на обработку персональных данных» набирает 322 точных показа в месяц. Для сравнения: «152-ФЗ персональные данные» как запрос дают 99 точных показов. Тема отзыва ищется в три раза активнее, чем базовый закон - люди уже знают о своём праве и хотят им воспользоваться.

Что должно быть на вашем сайте, чтобы пользователь мог это право реализовать:

  • Указание, как направить заявление об отзыве: email, форма или почтовый адрес
  • Ссылка именно на документ-согласие, а не на общую политику конфиденциальности
  • Срок, в течение которого оператор реагирует на запрос

Если механизма отзыва нет - это второе нарушение поверх нарушения по оформлению.

Посмотреть, откуда утекают номера

Что Роскомнадзор проверяет на сайте с июля 2025 года

С 1 июля 2025 года Роскомнадзор запустил автоматическую проверку сайтов на базе ИИ. Поводом для проверки больше не нужна жалоба - алгоритм сканирует сайты самостоятельно. Любая компания с формой сбора данных на сайте попадает в зону контроля автоматически.

Как сформулировано на klerk.ru (10.11.2025): «Для любого бизнеса, который собирает хоть один email, номер телефона или паспортные данные - будь то ИП, ООО или крупная корпорация - проверка РКН больше не "если", а "когда"».

При проверке РКН смотрит на:

  • Уведомление оператора ПДн: зарегистрированы ли вы в реестре
  • Политику конфиденциальности: отражает ли она реальную обработку
  • Согласие на обработку: оформлено ли оно отдельным документом или вшито в оферту
  • Механизм отзыва: есть ли на сайте понятный путь для пользователя
  • Защиту форм: закрыты ли они от автоматического сбора данных

Последний пункт стоит отдельного внимания. Конкуренты могут использовать парсеры для снятия данных из ваших форм: имён, телефонов, email-адресов людей, которые к вам обращались. Это нарушает права ваших клиентов и ваши интересы одновременно.

Какие штрафы грозят за нарушение

За нарушение требований к оформлению согласия действуют санкции КоАП. По данным ADVOLAW (март 2026 г.), штрафы по статьям, связанным с нарушением 152-ФЗ, достигают 18 млн рублей для юридических лиц. Новые размеры штрафов введены с 30 мая 2025 года.

Конкретные суммы зависят от состава нарушения:

  • Отсутствие отдельного согласия или его неправильное оформление - административный штраф
  • Необеспечение механизма отзыва - отдельный состав
  • Утечка персональных данных - более высокий размер

Для малого бизнеса и ИП размеры меньше, но обязанность одинаковая. 156-ФЗ не делает исключений по форме собственности или обороту. Если на сайте есть форма с полями «имя» и «телефон» - требования распространяются на вас.

Практически это означает: нарушения, которые раньше обнаруживались только при жалобах, теперь выявляются автоматически. Срок между нарушением и штрафом сократился.

Примерить на свой сайт

Как правильно оформить согласие: 5 пунктов для сайта

Согласие на обработку персональных данных в соответствии с 156-ФЗ - это отдельная страница или отдельная форма на сайте, никак не связанная с текстом оферты или пользовательского соглашения. Пользователь должен отметить именно её - отдельным действием.

Что должно быть внутри:

1. Отдельный документ с собственным чекбоксом

Согласие не входит в договор-оферту и не прикреплено к нему. Это самостоятельная страница или форма, ссылка на которую ведёт только к ней.

2. Конкретный перечень данных

Имя, телефон, email, IP-адрес - всё, что вы обрабатываете, перечислено точно. Формулировка «и иные данные» без расшифровки не соответствует требованию конкретности из статьи 9 152-ФЗ.

3. Цели обработки по каждому виду данных

Для чего нужны данные: для связи, для исполнения договора, для рассылки. Каждая цель - отдельным пунктом. «В маркетинговых целях» без расшифровки - не подходит.

4. Срок действия и условия отзыва

Как долго действует согласие. Как его отозвать: конкретный email или форма, и в какой срок оператор реагирует.

5. Подтверждение - отдельным действием

Один чекбокс на «принимаю условия + согласен на обработку данных» - нарушение с 01.09.2025. Для согласия нужна отдельная галочка, для договора - своя.

Что делать, если согласие уже вшито: 3 шага

Если до сентября 2025 вы собирали данные в составе оферты, привести ситуацию в порядок можно за один спринт. Трёх шагов достаточно для большинства сайтов.

Шаг 1: Аудит точек сбора данных

Пройдитесь по всем формам на сайте: заявка, регистрация, подписка, заказ обратного звонка. Выпишите, где упоминается согласие на обработку - отдельным пунктом или в составе общих условий. Это займёт 20-30 минут.

Шаг 2: Выделить согласие в отдельный документ

Создайте страницу «Согласие на обработку персональных данных» или добавьте отдельный чекбокс рядом с каждой формой. Ссылка из чекбокса ведёт на этот документ, а не на оферту. Текст документа - стандартный, с пятью обязательными пунктами выше.

Шаг 3: Перезапросить согласие у существующей базы

Если вы собирали данные до 01.09.2025 на основании согласия в оферте - юридически безопаснее направить этим людям письмо с предложением подтвердить согласие по новой форме. Это не обязательно, но снижает риск претензий при проверке.

Почему одними документами не обойтись

Правильно оформленные согласие и политика конфиденциальности - это правовой слой защиты данных ваших клиентов. Его необходимо привести в порядок. Но параллельно стоит задать другой вопрос: а насколько технически закрыты ваши данные от посторонних?

Пока сайт открыт для систем автоматического сбора, конкуренты могут снимать информацию о ваших посетителях и клиентах - независимо от того, насколько аккуратно оформлены ваши документы. Форма заявки, список телефонов сотрудников в «Контактах», история переписки через онлайн-чат - всё это может читаться парсерами без какого-либо запроса.

Компании, которые одновременно закрывают и правовой, и технический канал, описывают результат похоже: «мы думали, что основная задача - это документы. Оказалось, данные утекали по-другому».

Закрыть периметр сайта

Источники

StopParsing - часть сервисов LEADLIFE. Другие инструменты работы с трафиком и данными - на LEADLIFE.