Согласие на обработку персональных данных на большинстве сайтов выглядит одинаково: одна галочка, одна строчка «согласен с политикой», и на этом всё. Проблема в том, что закон устроен иначе: согласие должно быть конкретным, предметным и информированным, под каждую цель обработки своё. Разберу, как выглядит правильная схема и какие ошибки я нахожу на аудитах чаще всего.
Базовое правило: одна цель, одно согласие
Форма обратной связи собирает данные для ответа на вопрос: это одна цель. Подписка на рассылку: другая. Передача данных партнёру для доставки: третья. Смешивать их в одном чекбоксе нельзя: согласие «на всё сразу» не является конкретным, а рекламные рассылки требуют отдельного явного согласия ещё и по закону о рекламе.
Как выглядит правильный чекбокс
- Не предотмечен. Галочка, проставленная за пользователя, не подтверждает его волю, это классика претензий.
- Текст называет оператора: кто именно обрабатывает данные, с наименованием и ИНН.
- Текст называет цель: «для связи по заявке», «для отправки новостей и предложений».
- Ссылка на политику рядом, и политика реально открывается и описывает эту обработку.
Рассылки: отдельная песня
Рекламная рассылка без согласия нарушает сразу два закона: о персональных данных и о рекламе, и жалобы на спам ФАС рассматривает охотно. Правильная схема: отдельный чекбокс «хочу получать новости и предложения», не обязательный для отправки основной формы. Собирать базу «в нагрузку» к заявкам, а потом удивляться жалобам: дорогое удовольствие.
Доказательства: то, о чём забывают все
Согласие мало получить, его нужно уметь показать. При споре или проверке вопрос звучит конкретно: докажите, что этот человек дал согласие, когда и на что именно. Значит, система должна логировать факт проставления галочки: дату, время, идентификатор формы и версию текста согласия. Если ваша CRM или конструктор форм этого не умеют, при жалобе субъекта вы окажетесь без аргументов.
Частые ошибки с аудитов
- Один чекбокс на форму заявки и рассылку одновременно.
- Ссылка «политика» ведёт на пустую страницу или на политику с чужим оператором.
- Формы добавлялись годами, и половина живёт вообще без чекбоксов: квизы, попапы, виджеты обратного звонка.
- Согласие есть на сайте, но данные из формы уходят в мессенджер менеджера, что нигде не описано.
- Текст согласия ссылается на цели, которых нет в политике, а политика на цели, которых нет в уведомлении РКН.
Последний пункт самый коварный: документы должны сходиться между собой в единую систему. Проверка этой сходимости и есть половина юридического аудита сайта.