Чекбокс согласия на обработку персональных данных: как сделать правильно

Чекбокс согласия на обработку персональных данных — обязательный элемент любой формы на сайте, которая собирает ПДн пользователей (имя, email, телефон, адрес). Без чекбокса обработка незаконна, штраф до 500 000 ₽ по ч. 1 ст. 13.11 КоАП РФ. В этой инструкции — готовый HTML-код, 5 правил Роскомнадзора, типичные ошибки и что фиксировать в базе данных для доказательства факта согласия.

Зачем нужен чекбокс на сайте

По статье 9 Федерального закона 152-ФЗ обработка персональных данных возможна только с согласия субъекта (если нет другого основания — договор, закон, судебный акт). Для онлайн-форм это реализуется через чекбокс рядом с кнопкой отправки.

Чекбокс решает три задачи:

1. Юридическое основание обработки. Явный выбор пользователя — согласие или отказ.
2. Доказательство факта согласия. При проверке Роскомнадзора оператор показывает логи установки чекбокса: дату, IP, версию согласия.
3. Информирование пользователя. Рядом с чекбоксом ссылка на политику — пользователь знает, кто и для чего обрабатывает его данные.

Отсутствие чекбокса = обработка ПДн без согласия = штраф. Для юрлица по ч. 1 ст. 13.11 КоАП РФ (редакция 420-ФЗ от 30.05.2025) — от 150 000 до 500 000 ₽. При массовой утечке — до 15 млн ₽ (ч. 4) и оборотные штрафы до 3% выручки.

5 правил чекбокса согласия

Правило 1. Чекбокс НЕ должен быть предустановлен

Автоматически отмеченная галочка (checked по умолчанию) — не согласие. По ч. 1 ст. 9 152-ФЗ согласие должно быть свободным, конкретным и информированным. Молчаливое согласие не считается.

Плохо:

<input type="checkbox" name="consent" checked>

Хорошо:

<input type="checkbox" name="consent" required>

Позиция Роскомнадзора подтверждена в многочисленных разъяснениях. Аналогичная позиция Европейского суда в деле Planet49 (C-673/17, 01.10.2019) — предустановленный чекбокс не является согласием.

Правило 2. Обязательность для основной формы

Чекбокс согласия на обработку ПДн для выполнения заказа/регистрации — должен быть обязательным (required). Без галочки форма не отправляется.

<form>
  <input type="text" name="name" required>
  <input type="email" name="email" required>
  
  <label>
    <input type="checkbox" name="pdn_consent" required>
    Я согласен на <a href="/privacy" target="_blank">обработку ПДн</a>
  </label>
  
  <button type="submit">Отправить</button>
</form>

Правило 3. Раздельные чекбоксы для разных целей

Согласие на обработку ПДн для договора — одно. Согласие на рекламные рассылки — другое. По п. 4 ч. 4 ст. 9 152-ФЗ цели обработки должны быть конкретными, и для каждой цели — отдельное согласие.

<!-- ОБЯЗАТЕЛЬНЫЙ: согласие на обработку ПДн -->
<label>
  <input type="checkbox" name="pdn_consent" required>
  Я согласен на <a href="/privacy">обработку персональных данных</a>
</label>

<!-- НЕОБЯЗАТЕЛЬНЫЙ: согласие на рассылку -->
<label>
  <input type="checkbox" name="marketing_consent">
  Я согласен получать рекламные рассылки на email
</label>

Пользователь соглашается на обработку ПДн (без этого форма не работает), но может отказаться от рекламы — это его право.

Правило 4. Читаемый текст и видимые ссылки

• Шрифт не меньше 12px, цвет с контрастом к фону (стандарт WCAG AA).
• Ссылка на политику — подчёркнутая, цветная, открывается в новой вкладке (target="_blank").
• Нет мелкого шрифта — приёмы вроде font-size: 8px для «маскировки» согласия = нарушение принципа информированности.

<!-- ПЛОХО: мелкий шрифт, нет ссылки -->
<label style="font-size: 10px; color: #ccc;">
  <input type="checkbox">
  Согласие на ПДн
</label>

<!-- ХОРОШО: читаемый текст, видимая ссылка -->
<label style="font-size: 14px; color: #333;">
  <input type="checkbox" required>
  Я согласен на <a href="/privacy" target="_blank" 
    style="color: #0066cc; text-decoration: underline;">
    обработку персональных данных
  </a> в соответствии с политикой конфиденциальности.
</label>

Правило 5. Фиксация факта согласия в базе

Для доказательства при проверке РКН оператор должен хранить в базе:

Хранить — не менее 3 лет после прекращения отношений с пользователем. Для трудовых отношений — 75 лет.

Готовый HTML-код для сайта

Вариант 1. Минимальный (обратная связь)

<form action="/submit" method="POST">
  <label>Ваше имя
    <input type="text" name="name" required>
  </label>
  
  <label>Email
    <input type="email" name="email" required>
  </label>
  
  <label>Телефон
    <input type="tel" name="phone" required>
  </label>
  
  <label>Сообщение
    <textarea name="message" required></textarea>
  </label>
  
  <label class="checkbox-label">
    <input type="checkbox" name="pdn_consent" value="1" required>
    Я согласен на <a href="/privacy" target="_blank">обработку 
    персональных данных</a> в соответствии с 152-ФЗ
  </label>
  
  <button type="submit">Отправить</button>
</form>

Вариант 2. Расширенный (регистрация + рассылка)

<form action="/register" method="POST">
  <!-- Поля формы -->
  <input type="text" name="name" required>
  <input type="email" name="email" required>
  <input type="password" name="password" required>
  
  <!-- Согласие на обработку ПДн — обязательное -->
  <label class="checkbox-label required">
    <input type="checkbox" name="pdn_consent" value="1" required>
    Я принимаю условия <a href="/terms" target="_blank">пользовательского 
    соглашения</a> и согласен на <a href="/privacy" target="_blank">
    обработку персональных данных</a>
  </label>
  
  <!-- Согласие на рассылку — опциональное -->
  <label class="checkbox-label">
    <input type="checkbox" name="marketing_consent" value="1">
    Я согласен получать информационные и рекламные рассылки
  </label>
  
  <!-- Согласие на cookies — опциональное -->
  <label class="checkbox-label">
    <input type="checkbox" name="analytics_consent" value="1">
    Я разрешаю использовать аналитические cookies для улучшения сайта
  </label>
  
  <button type="submit">Зарегистрироваться</button>
</form>

Вариант 3. С фиксацией в БД (JavaScript)

<form id="contactForm">
  <!-- Поля формы -->
  
  <label>
    <input type="checkbox" name="pdn_consent" required>
    <span>Я согласен на <a href="/privacy">обработку ПДн</a></span>
  </label>
  
  <button type="submit">Отправить</button>
</form>

<script>
document.getElementById('contactForm').addEventListener('submit', async (e) => {
  e.preventDefault();
  const form = e.target;
  const data = new FormData(form);
  
  // Добавляем метаданные согласия
  data.append('consent_timestamp', new Date().toISOString());
  data.append('consent_policy_version', 'v2026-04-21');
  data.append('consent_user_agent', navigator.userAgent);
  data.append('consent_form_url', window.location.href);
  // IP добавит сервер
  
  await fetch('/api/submit', { 
    method: 'POST', 
    body: data 
  });
});
</script>

Сервер дополнительно логирует:

• IP-адрес из заголовков запроса
• Timestamp получения (для сверки с клиентским)
• Версию политики, которая была актуальна на момент согласия

Типичные ошибки чекбоксов

1. Предустановленный чекбокс

<!-- НЕЛЬЗЯ -->
<input type="checkbox" name="pdn_consent" checked required>

Нарушение ч. 1 ст. 9 152-ФЗ. Роскомнадзор при проверке отметит как нарушение.

2. Один чекбокс для всего

<!-- НЕЛЬЗЯ -->
<label>
  <input type="checkbox" required>
  Согласен на обработку ПДн и рекламные рассылки
</label>

Нужно два разных чекбокса — на обработку ПДн и на маркетинг.

3. Текст без ссылок

<!-- НЕЛЬЗЯ -->
<label>
  <input type="checkbox">
  Соглашаюсь на обработку ПДн
</label>

Пользователь не знает, на что конкретно соглашается. Нужна ссылка на политику.

4. Скрытый или очень мелкий шрифт

<!-- НЕЛЬЗЯ -->
<label style="font-size: 8px; color: #eeeeee;">
  <input type="checkbox">
  Согласие на обработку ПДн
</label>

Нарушение информированности согласия.

5. Форма без чекбокса вообще

<!-- НЕЛЬЗЯ -->
<form>
  <input name="email">
  <button>Подписаться</button>
</form>

Обработка ПДн без согласия = штраф до 500 000 ₽.

6. «Продолжая использовать сайт, вы соглашаетесь» без явного чекбокса

Скролл-wrapper или cookie banner без кнопки «Принять» — не заменяет согласие на обработку ПДн. Это позиция Роскомнадзора из письма № 07-113/3-11 от 04.07.2023. Молчаливое использование сайта не является согласием.

Как проверить свой сайт

Чтобы убедиться, что чекбоксы согласия на вашем сайте соответствуют 152-ФЗ:

1. Откройте все формы сайта — контакты, регистрация, подписка, оформление заказа, запрос звонка.
2. Проверьте каждую: есть ли чекбокс? Не предустановлен? Текст читаемый? Ссылка работает?
3. Разделите цели: обработка ПДн и маркетинг — отдельные чекбоксы?
4. Логи: фиксирует ли бэкенд согласие — дату, IP, версию?
5. Политика: есть ли /privacy и актуальна ли она на дату согласия?

Или воспользуйтесь автоматическим сканером сайта на 152-ФЗ — за 15 секунд проверит все формы, наличие политики, трекеры, cookies и даст отчёт со штрафами и рекомендациями.

Итог

Чекбокс согласия — небольшой, но критически важный элемент сайта. Стоимость ошибки — до 500 000 ₽, при утечке — до 15 млн ₽. При правильной реализации:

• Обрабатываете ПДн законно;
• Защищены от штрафов Роскомнадзора;
• Имеете доказательство согласия для суда.

Что сделать:

• Образцы текста согласия для разных типов форм — на странице согласие на обработку ПДн для сайта.
• Полное согласие с 10 обязательными реквизитами — согласие на обработку ПДн или все виды согласий.
• Политика конфиденциальности для /privacy — сгенерировать в генераторе.
• Если пользователь захочет отозвать согласие — в личном кабинете должен быть раздел с кнопкой «Отозвать». Подробнее — как отозвать согласие на обработку ПДн.
• Автоматизация для операторов: конструктор Кибероснова подготовит весь пакет документов для сайта — политика, согласия, инструкции — за 15 минут.