Согласие на обработку персональных данных для сайта: текст и форма

<div class="consent-block">
  <label class="consent-label">
    <input type="checkbox" name="consent" required />
    <span>Нажимая кнопку «Отправить», я даю 
      <a href="/privacy-policy/" target="_blank">
        согласие на обработку персональных данных
      </a>.
    </span>
  </label>
</div>

Атрибут required гарантирует, что форма не будет отправлена без проставленной галочки. Это важно — без этого атрибута пользователь может отправить данные без согласия.

<div class="consent-block">
  <label class="consent-label">
    <input type="checkbox" 
           name="consent" 
           id="pdnConsent" 
           required 
           aria-describedby="consent-text" />
    <span id="consent-text">
      Я даю согласие ООО «Ваша компания» на обработку 
      моих персональных данных (имя, телефон, e-mail) 
      в целях обработки обращения. 
      <a href="/privacy-policy/" target="_blank">
        Политика конфиденциальности
      </a>.
    </span>
  </label>
</div>

<script>
document.addEventListener('DOMContentLoaded', function() {
  var checkbox = document.getElementById('pdnConsent');
  var submitBtn = document.getElementById('submitBtn');
  
  submitBtn.disabled = true;
  
  checkbox.addEventListener('change', function() {
    submitBtn.disabled = !this.checked;
  });
});
</script>

Этот скрипт делает кнопку отправки неактивной до тех пор, пока пользователь не поставит галочку согласия. Визуально неактивная кнопка подсказывает пользователю, что нужно сначала дать согласие.

• Размер шрифта текста согласия — не менее 12px (лучше 14px). Мелкий шрифт создаёт впечатление «скрытого» текста;
• Ссылка на Политику конфиденциальности должна быть визуально выделена (подчёркивание, цвет);
• Чекбокс должен быть достаточного размера для удобного нажатия на мобильных устройствах (минимум 20x20px);
• Расположите блок согласия непосредственно над кнопкой «Отправить», а не внизу страницы.

Обязательный минимум:

• Дата и время отправки формы (timestamp);
• IP-адрес пользователя;
• Текст согласия (или ссылка на версию текста, действовавшую в момент согласия);
• Данные, указанные пользователем в форме.

Рекомендуемый расширенный набор:

• Версия текста согласия (если текст менялся);
• URL страницы, с которой отправлена форма;
• User-Agent браузера;
• Скриншот формы на момент согласия;
• Лог действий пользователя (проставил галочку, нажал кнопку).

При обработке формы на сервере сохраняйте запись о согласии в базе данных:

consent_id: уникальный идентификатор
user_ip: IP-адрес
timestamp: дата и время UTC
form_url: URL страницы
consent_text_version: версия текста согласия
user_data: данные из формы (зашифрованные)
user_agent: строка User-Agent

Эти записи должны храниться в течение всего срока обработки ПДн и не менее 3 лет после прекращения обработки.

• Не хранят версию текста согласия — если текст менялся, невозможно доказать, на что именно согласился пользователь;
• Не фиксируют IP-адрес — без него сложно идентифицировать факт согласия конкретного пользователя;
• Удаляют логи — при проверке Роскомнадзор может запросить подтверждение получения согласия для конкретного субъекта;
• Используют предзаполненный чекбокс — отсутствие активного действия пользователя означает, что согласие не было дано.

Отдельно стоит вопрос сбора cookie-файлов. Если сайт использует cookie для аналитики (Яндекс.Метрика, Google Analytics), рекламы, персонализации, рекомендуется разместить cookie-баннер с возможностью принять или отклонить использование cookie. Это не прямое требование 152-ФЗ (cookie не всегда являются ПДн), но рекомендация Роскомнадзора и стандартная практика.