Максим Ишханов
Согласие на обработку персональных данных — самый частый документ в работе оператора и одновременно самый частый повод для претензий на проверке. Обычно проблема не в том, что согласия нет вовсе, а в том, что оно оформлено типовым бланком из интернета, вшито в договор или сведено к галочке под формой. С 1 сентября 2025 года требования к согласию заметно ужесточились, и такие варианты почти гарантированно не проходят.
Ниже — когда согласие действительно нужно, а когда закон позволяет обойтись без него; какие сведения в согласии обязательны; что поменялось осенью 2025 года; как выглядит корректный образец, как заполнить его по полям и как согласие отзывается.
Когда нужно согласие, а когда — нет
Согласие субъекта — только одно из оснований обработки персональных данных, причём первое в списке, но не единственное. Часть 1 статьи 6 152-ФЗ перечисляет случаи, когда обработка законна и без согласия. Большинство статей с образцами это опускают и создают впечатление, что согласие нужно всегда. На практике это не так, а лишнее согласие иногда даже вредит: оно сужает основание там, где закон давал более устойчивую опору.
Ниже — основные основания обработки без согласия. Список в законе шире; здесь собраны те, что чаще всего встречаются у бизнеса.
| Основание (ч. 1 ст. 6 152-ФЗ) | Типичная ситуация |
|---|---|
| Требование закона или международного договора (п. 2) | Кадровый, налоговый и воинский учёт, обязательная отчётность, хранение бухгалтерских документов |
| Участие в судопроизводстве (п. 3), исполнение судебного акта (п. 3.1) | Обработка данных в связи с судебным спором или исполнением решения суда, акта пристава |
| Исполнение договора с субъектом (п. 5) | Данные нужны для договора, стороной или выгодоприобретателем по которому является субъект: доставка заказа, оказание услуги, гарантийное обслуживание |
| Защита жизненно важных интересов (п. 6) | Защита жизни и здоровья субъекта, когда получить согласие невозможно |
| Права и законные интересы оператора или третьих лиц (п. 7) | Взыскание задолженности, защита в суде — при условии, что не нарушаются права и свободы субъекта |
| Статистические и исследовательские цели (п. 9) | Только при обязательном обезличивании данных |
| Данные, подлежащие опубликованию по закону (п. 11) | Раскрытие информации, обязательное в силу федерального закона |
Распространённое заблуждение: согласие не нужно, если человек «сам выложил данные в открытый доступ». С 2021 года (после ФЗ от 30.12.2020 № 519-ФЗ) это работает иначе. Обработка персональных данных, которые субъект разрешил распространять, требует отдельного согласия по особой форме (ст. 10.1 152-ФЗ), а не подпадает под свободное использование.
На практике согласие почти всегда требуется в четырёх сценариях:
- рекламные и информационные рассылки, в том числе «полезные письма» и дайджесты;
- передача данных третьим лицам — партнёрам, коллекторам, сторонним сервисам, включая облачные CRM и системы аналитики;
- реклама и веб-аналитика через cookie и трекеры, а также любое профилирование;
- сбор данных сверх того, что необходимо для исполнения договора с этим человеком.
Ошибиться с основанием рискованно. Доказывать, что обработка велась законно — есть согласие или есть основание из пунктов 2–11 части 1 статьи 6, — обязан оператор (часть 3 статьи 9 152-ФЗ). На моей практике именно неверно выбранное основание, а не отсутствие бумаги как таковой, чаще всего становится предметом спора с инспектором.
Согласие, политика и уведомление в Роскомнадзор — три разных документа
Эти три документа регулярно путают и пытаются заменить один другим: «у нас же есть политика на сайте», «мы подали уведомление, значит, всё в порядке». У каждого документа своя роль, свой адресат и своё место.
| Документ | Кому адресован | Где находится | Норма |
|---|---|---|---|
| Согласие на обработку персональных данных | Конкретному оператору, под конкретную форму или цель | Подтверждается субъектом, хранится у оператора | Ст. 9 152-ФЗ |
| Политика в отношении обработки персональных данных | Всем посетителям сайта и субъектам | Публикуется на сайте в открытом доступе | Ст. 18.1 152-ФЗ |
| Уведомление об обработке персональных данных | Роскомнадзору | Подаётся оператором, сведения вносятся в реестр операторов | Ст. 22 152-ФЗ |
Политика описывает обработку в целом и информирует — она ничего не «разрешает». Согласие — это волеизъявление конкретного человека под конкретную цель. Уведомление — разовое информирование регулятора о том, что оператор вообще обрабатывает данные. Наличие одного документа не закрывает обязанности по двум другим. На проверке их сверяют между собой: цели в политике, цели в согласиях и цели в уведомлении должны совпадать, а не жить каждая своей жизнью.
Собрать базовый комплект для сайта — политику и согласие — можно в бесплатном генераторе. Полный комплект документов оператора под реальные процессы компании и подачу уведомления в Роскомнадзор мы делаем под ключ.
Что изменилось с 1 сентября 2025 года
Осенью 2025 года требования к оформлению согласия стали строже.
Отдельный документ. Согласие больше нельзя включать в состав договора, оферты, пользовательского соглашения «одним из пунктов». Если оно вшито в договор, при первой же возможности — продлении, новом заказе, обращении в поддержку — его нужно выносить отдельно.
Конкретные цели. «Для улучшения качества обслуживания», «в маркетинговых и иных целях» больше не годятся: под каждой целью должно быть понятно, какие данные и зачем используются.
Запрет «согласия в нагрузку». Нельзя отказать человеку в услуге или товаре из-за того, что он не дал согласие, если обработка этих данных не нужна для самой услуги.
Обязательные реквизиты согласия: что требует статья 9
Часть 4 статьи 9 152-ФЗ устанавливает перечень сведений, которые должны быть в письменном согласии.
| Что должно быть в согласии | Частая ошибка |
|---|---|
| ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность | Для веб-форм требуют полные паспортные данные, хотя для обычной обработки достаточно ФИО и контакта |
| Данные представителя и реквизиты доверенности — если согласие даёт представитель | Блок пропускают, хотя согласие подписывает не сам субъект, а родитель или опекун |
| Наименование и адрес оператора, получающего согласие | Указывают только название компании без адреса и ИНН |
| Цель обработки персональных данных | Общая формулировка вместо конкретной; «любые не запрещённые законом цели» |
| Перечень персональных данных, на обработку которых даётся согласие | Список «с запасом» — шире, чем реально собирают в форме |
| Наименование и адрес лица, которое обрабатывает данные по поручению оператора | Не указывают подрядчика или сервис, которому передаются данные |
| Перечень действий с данными и общее описание способов обработки | Слово «обработка» без расшифровки: сбор, хранение, передача, уничтожение |
| Срок действия согласия и способ его отзыва | «Бессрочно» без указания, как и куда направить отзыв |
| Подпись субъекта персональных данных | Тут ошибаются редко :) |
Образец согласия на обработку персональных данных
Единой универсальной формы согласия не существует: набор реквизитов и формулировки зависят от того, кто, какие данные и для чего собирает. На практике встречаются три базовых сценария:
- Клиент через сайт. Имя, один контакт (телефон или почта), цель — «обработка обращения и подготовка ответа» или «оформление и доставка заказа». Согласие на рекламную рассылку — отдельным чекбоксом. Паспортные данные в такой форме не запрашивают.
- Сотрудник при приёме на работу. Согласие оформляется только на то, что за рамками прямых требований закона: фотография на пропуске и на сайте компании, передача данных в НПФ по выбору работника, банк зарплатного проекта, публикация в корпоративных материалах. Обязательный кадровый и налоговый учёт идёт по пункту 2 части 1 статьи 6.
- Передача данных партнёру. В согласии прямо называется лицо, которому передаются данные (наименование и адрес), и цель передачи. «Третьим лицам по усмотрению оператора» — недопустимая формулировка.
Как выглядит корректно заполненное согласие клиента через сайт по структуре:
- Субъект: Иванова Мария Сергеевна, г. Казань (полный адрес и паспорт для этой цели не требуются).
- Оператор: ООО «Ромашка», ИНН 1600000000, 420000, г. Казань, ул. Примерная, д. 1.
- Цель: обработка обращения, отправленного через форму на сайте, и подготовка ответа заявителю.
- Перечень данных: фамилия, имя, отчество, адрес электронной почты, номер телефона.
- Действия и способы: сбор, запись, хранение, использование, уничтожение; обработка автоматизированная и без использования средств автоматизации.
- Обработчик по поручению: ООО «Сервис-Почта» (сервис рассылки), 190000, г. Санкт-Петербург, ул. Другая, д. 2 — если рассылка ответов идёт через внешний сервис.
- Срок: до достижения цели обработки, но не дольше 1 года с даты обращения; отзыв: письмом на адрес оператора или на privacy@romashka.ru.
Почему скачанный типовой образец опасен. Шаблон из интернета описывает усреднённую ситуацию: чужие реквизиты, чужой набор целей и категорий данных. Если эти формулировки расходятся с вашей реальной деятельностью — в образце не упомянут сервис рассылок или CRM, которыми вы пользуетесь, зато перечислены цели, которых у вас нет, — на проверке это расценивается так же, как отсутствие согласия. Инспектору важно соответствие документа реальности, а не сам факт его наличия.
Как заполнить согласие: разбор по полям
Данные субъекта
Полный паспорт нужен там, где обработка серьёзная и объём данных большой: специальные категории или биометрия. Для формы на сайте достаточно ФИО и одного контакта. Требовать паспортные данные «на всякий случай» — нарушение принципа минимизации: вы собираете больше, чем нужно для заявленной цели.
Цель обработки
Формулировка должна отвечать на вопрос «зачем именно эти данные и что вы будете с ними делать». Рабочий вариант: «обработка и выполнение заказа, информирование о статусе доставки». Нерабочий: «повышение качества сервиса», «маркетинг», «уставная деятельность».
Перечень данных
Указывайте только то, что реально собираете в этой форме. Список «на будущее» создаёт расхождение с реальностью в обе стороны: в согласии есть поле, которого нет в форме, или в форме есть поле, которого нет в согласии. И то и другое — дефект.
Действия и способы обработки
Недостаточно написать «обработка». Перечисляют конкретные действия: сбор, запись, систематизацию, хранение, использование, передачу, уничтожение — и указывают, автоматизированная обработка или нет.
Срок и способ отзыва
Срок привязывают к цели: «до достижения целей обработки, но не более одного года», «на срок действия договора и три года после его окончания». Способ отзыва — конкретный канал: письмо на юридический адрес, обращение на указанный адрес электронной почты, форма на сайте.
Согласие на сайте: чекбокс, а не преклик
Техническая реализация согласия на сайте — та часть, где ошибаются чаще всего, и самый частый спор в нашей практике по сайтам — именно про преклик.
Галочка «Я согласен с обработкой персональных данных» под формой, если за ней нет доступного текста согласия, — это не согласие. В ней нет ни одного из обязательных реквизитов: неизвестно, кто оператор, какие данные, с какой целью и на какой срок. На проверке такая обработка квалифицируется как обработка без надлежащего основания.
Рабочая схема:
- Чекбокс не проставлен по умолчанию и расположен отдельно от кнопки отправки формы. Заранее проставленная галочка (преклик) согласием не считается: нет активного действия субъекта.
- Рядом с чекбоксом — видимая ссылка на полный текст согласия. Текст открывается отдельной страницей или всплывающим окном, а не прячется в подвале.
- Факт согласия логируется: дата, время, версия текста, по возможности IP. Это единственное доказательство на случай спора, а доказывать наличие согласия обязан оператор.
- Согласие на рассылку — отдельным чекбоксом от согласия на обработку, и оно не может быть обязательным для отправки формы.
- Формулировка «продолжая пользоваться сайтом, вы соглашаетесь» согласием не является — это пассивная конструкция без волеизъявления.
Настройку форм согласия, cookie-уведомления и логирования на сайте мы делаем в рамках услуги технического приведения сайта в соответствие 152-ФЗ. Технический чек-лист для сайта — в отдельном материале.
Как отозвать согласие и что обязан сделать оператор
Право отозвать согласие в любой момент прямо закреплено в части 2 статьи 9 152-ФЗ, и ограничить это право договором нельзя.
Со стороны субъекта. Отзыв оформляется письменным заявлением оператору. Строгой формы нет, но заявление должно позволять идентифицировать заявителя и содержать однозначное требование прекратить обработку. Направляют его тем способом, который указан в самом согласии; если способ не указан — по любому известному контакту оператора, включая юридический адрес.
Со стороны оператора. Получив отзыв, оператор прекращает обработку. Продолжить обработку без согласия он вправе только при наличии другого основания — из пунктов 2–11 части 1 статьи 6, либо по части 2 статьи 10 (специальные категории) или части 2 статьи 11 (биометрия). Например, если человек одновременно действующий клиент по договору, данные, нужные для исполнения договора, можно продолжать обрабатывать, а рассылку прекратить. Если никакого другого основания нет, оператор обязан прекратить обработку и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления отзыва (часть 5 статьи 21 152-ФЗ). Тот же тридцатидневный срок действует и при достижении цели обработки (часть 4 статьи 21).
Оператору стоит зафиксировать: дату поступления отзыва, дату прекращения обработки, дату и способ уничтожения данных, а также основание, по которому часть данных (если так) сохранена. Без этих отметок оператор при повторном обращении субъекта или проверке не докажет, что уложился в срок.
Сколько действует согласие
Фиксированного срока действия согласия закон не устанавливает — его определяет сам оператор и указывает в тексте. Рабочие формулировки:
- «до достижения целей обработки, но не более одного года»;
- «на срок действия договора и три года после его окончания».
Срок должен быть соотносим с целью: согласие на обработку обращения не может действовать «бессрочно», потому что обращение обрабатывается и закрывается за понятное время. Согласие без указания срока и без описания способа отзыва нарушает пункт 8 части 4 статьи 9.
Что грозит за обработку без согласия
Ответственность установлена статьёй 13.11 КоАП РФ. С 30 мая 2025 года размеры штрафов существенно выросли — изменения внесены Федеральным законом от 30.11.2024 № 420-ФЗ. Обработка без согласия квалифицируется по одной из двух частей статьи.
Часть 1 — нет законного основания
Согласия нет, и другого основания из статьи 6 тоже нет. Обычная ситуация, когда данные с сайта или из анкеты используются без правовой опоры.
Часть 2 — нет обязательного письменного согласия
Обработка без согласия там, где закон требует именно письменную форму (специальные категории, биометрия), либо обработка при согласии, в котором нет обязательных сведений из части 4 статьи 9.
| Нарушение (ст. 13.11 КоАП) | Должностное лицо | ИП | Юрлицо |
|---|---|---|---|
| ч. 1 — обработка в случаях, не предусмотренных законом | 50 000 – 100 000 ₽ | как должностное лицо | 150 000 – 300 000 ₽ |
| ч. 2 — нет обязательного письменного согласия либо согласие без обязательных реквизитов | 100 000 – 300 000 ₽ | как должностное лицо | 300 000 – 700 000 ₽ |
| ч. 2.1 — нарушение по ч. 2 повторно | 300 000 – 500 000 ₽ | 500 000 – 1 000 000 ₽ | 1 000 000 – 1 500 000 ₽ |
| ч. 3 — нет опубликованной политики обработки данных | 6 000 – 12 000 ₽ | 10 000 – 20 000 ₽ | 30 000 – 60 000 ₽ |
Составы не поглощают друг друга: отсутствие опубликованной политики (ч. 3) и неподача уведомления в Роскомнадзор (ч. 10, до 300 000 ₽ юрлицу) — отдельные нарушения. При проверке штрафы по разным основаниям складываются в рамках одного дела.
Отдельно и намного строже наказывается утечка персональных данных: по частям 12–14 статьи 13.11 штраф для юрлиц — от 3 до 15 млн ₽ в зависимости от числа пострадавших субъектов, а за повторную утечку (часть 15) — оборотный штраф от 1 до 3 % годовой выручки, но не менее 20 млн и не более 500 млн ₽. Для ИП по этим частям ответственность наступает как для юридического лица (примечание 1 к статье 13.11), а не как для должностного. Разбор дел об утечках — тема отдельного материала.
Реальные дела по статье 13.11 — с конкретными суммами и обстоятельствами — собраны в разделе судебной практики по ст. 13.11 КоАП.
Итог
Согласие на обработку персональных данных — не универсальный бланк, в который достаточно подставить реквизиты. Порядок работы такой:
- Проверить основание — нужно ли согласие вообще или обработка укладывается в договор либо требование закона.
- Если согласие нужно — оформить его отдельным документом, а не пунктом договора.
- Включить все девять групп обязательных сведений по части 4 статьи 9.
- Сформулировать цели конкретно; перечислить только те данные, которые реально собираются.
- На сайте — не проставленный по умолчанию чекбокс, видимая ссылка на полный текст, логирование факта согласия.
- Предусмотреть работающий механизм отзыва и порядок действий оператора после него.
Если нужно быстро получить корректное согласие и политику под свои реквизиты — соберите их в бесплатном генераторе.
Дальше по теме: комплект документов по 152-ФЗ, приведение сайта в соответствие 152-ФЗ, регистрация в реестре операторов персональных данных.
Источники:
- КонсультантПлюс, Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 6 «Условия обработки персональных данных», проверено 2026-08-25
- КонсультантПлюс, 152-ФЗ, ст. 9 «Согласие субъекта персональных данных на обработку его персональных данных», проверено 2026-08-25
- КонсультантПлюс, 152-ФЗ, ст. 21 (уточнение, блокирование и уничтожение персональных данных), проверено 2026-08-25
- КонсультантПлюс, КоАП РФ, ст. 13.11, проверено 2026-08-25
- КонсультантПлюс, обзор «Персональные данные: новые штрафы с 30 мая 2025 года», проверено 2026-08-25
- Федеральный закон от 30.11.2024 № 420-ФЗ, проверено 2026-08-25
Частые вопросы
Нужно ли согласие для формы обратной связи на сайте?
Зависит от того, что происходит с данными дальше. Если через форму собираются имя и контакт только для того, чтобы ответить на конкретное обращение, такую обработку можно вести по договорному основанию — по пункту 5 части 1 статьи 6 152-ФЗ, и отдельное согласие формально не требуется. Но как только эти же данные используются шире — попадают в базу для рассылок, передаются партнёрам, участвуют в аналитике и профилировании — появляется цель, которую договорное основание уже не закрывает, и нужно согласие с конкретно описанными целями. На практике я советую исходить из того, что для любой формы на сайте согласие лучше оформить: граница между «ответили на обращение» и «работаем с контактом дальше» на живом бизнесе размывается за пару недель, а доказывать, по какому основанию шла обработка, при проверке обязан оператор, а не субъект. Единственная форма, где согласие точно не нужно, — та, что вообще не собирает идентифицирующих данных: например, анонимный опрос без имени и контакта.
Чем согласие отличается от политики конфиденциальности?
Это два разных документа с разными адресатами и разной функцией. Политика в отношении обработки персональных данных — публичный документ оператора: по статье 18.1 152-ФЗ он размещается на сайте в открытом доступе и адресован всем посетителям сразу, описывая обработку в целом — какие категории данных, с какими целями, как обеспечивается защита. Согласие субъект даёт под конкретную форму или конкретную цель на основании статьи 9: оно должно точно описывать, какие именно данные и с какой именно целью собирает эта форма, и содержать обязательные реквизиты — от наименования и адреса оператора до срока действия и способа отзыва. Публикация политики не заменяет получение согласий: политика ничего не «разрешает», она информирует. И наоборот — собранные согласия не отменяют обязанность опубликовать политику. Нужны оба документа, и на проверке инспектор смотрит и то, и другое: есть ли политика в открытом доступе, совпадают ли описанные в ней цели с текстами согласий под формами и с целями, которые оператор указал в уведомлении для Роскомнадзора. Расхождение между этими тремя документами — частый повод для замечания.
Нужно ли брать согласие у сотрудника?
Большая часть кадровой обработки идёт по прямому требованию закона — Трудовой кодекс, налоговый и пенсионный учёт, воинский учёт — и отдельного согласия не требует: это основание по пункту 2 части 1 статьи 6 152-ФЗ. Согласие работника нужно для того, что выходит за рамки прямых требований закона: размещение фотографии на пропуске или на сайте компании, передача данных в негосударственный пенсионный фонд по выбору сотрудника, оформление банковской карты в рамках зарплатного проекта, публикация характеристик или данных на корпоративных ресурсах, передача данных в сторонние сервисы вроде облачной бухгалтерии или системы контроля доступа. Универсального согласия «на всё, что может понадобиться» здесь не бывает — под каждую такую цель нужна отдельная формулировка с перечнем данных и получателей. На практике у работодателя обычно два документа: обязательство о неразглашении и согласие на обработку, где перечислены именно необязательные по закону цели. Отдельно оформляется согласие на обработку данных, полученных от третьих лиц, — например, при проверке рекомендаций. Требовать у соискателя согласие «в нагрузку» к рассмотрению резюме с сентября 2025 года прямо запрещено.
Можно ли оформить одно согласие на все цели сразу?
Нет. С 1 сентября 2025 года согласие должно содержать конкретные цели обработки, а не общие формулировки вроде «для улучшения качества обслуживания» или «в маркетинговых и иных целях». Принципиально разные цели требуют разных согласий: обработка обращения через форму и рекламная рассылка — это не одна цель, и одним документом их не закрыть. То же с передачей данных третьим лицам: если данные уходят партнёру или в стороннюю CRM, это отдельная цель с отдельным упоминанием получателя — его наименования и адреса. Технически на сайте это чаще всего означает несколько отдельных чекбоксов под формой вместо одного общего, и только один из них — про саму услугу — может быть обязательным для отправки. Практический ориентир: если вы не можете в одном предложении объяснить, зачем конкретно нужны эти данные, цель сформулирована слишком широко и согласие уязвимо при проверке. Отдельная ситуация — специальные категории данных и биометрия: под них согласие всегда оформляется отдельным письменным документом, объединять их с обычным согласием нельзя.
Человек отозвал согласие, а его данные остались в рассылке — что делать?
Сразу исключить контакт из рассылки — это первое действие, и его стоит выполнить в день получения отзыва, не дожидаясь окончания внутренних процедур. Дальше нужно проверить, есть ли для хранения этих данных другое основание из пунктов 2–11 части 1 статьи 6 152-ФЗ: например, человек одновременно ваш действующий клиент по договору, и часть данных нужна для исполнения этого договора — тогда обработку в этой части можно продолжить, а вот рекламную рассылку всё равно прекратить. Отдельно проверьте сторонние сервисы: если адрес был выгружен в почтовую платформу или CRM, отозвать согласие нужно и там, а не только в основной базе. Если никакого другого основания нет, оператор обязан прекратить обработку и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления отзыва (часть 5 статьи 21 152-ФЗ). Факт и дату исключения из рассылки, а также дату и способ уничтожения данных нужно зафиксировать — это единственное, чем оператор потом докажет, что требование выполнено в срок, если субъект обратится повторно или пожалуется в Роскомнадзор.
Как оформить согласие за несовершеннолетнего?
За несовершеннолетнего, не обладающего полной дееспособностью, согласие на обработку персональных данных даёт его законный представитель — родитель, усыновитель, опекун или попечитель (часть 5 статьи 9 152-ФЗ). В тексте согласия указываются данные и представителя, и самого ребёнка, а также документ, подтверждающий полномочия представителя: свидетельство о рождении, акт о назначении опекуном. Единого возрастного порога, после которого подросток подписывает согласие сам, в 152-ФЗ нет — вопрос решается через нормы Гражданского кодекса о дееспособности и через отраслевое регулирование. Для отдельных сфер действуют дополнительные требования: например, обработка данных детей образовательными, медицинскими организациями и операторами онлайн-сервисов регулируется строже, и там стоит проверять конкретные нормы. Практический вывод для бизнеса: если ваша услуга рассчитана в том числе на несовершеннолетних, форма согласия должна предусматривать поля для данных представителя, а не только для данных самого субъекта. Если субъект умер, согласие на обработку его данных дают наследники, если такое согласие не было дано при жизни (часть 6 статьи 9); это согласие тоже может быть отозвано наследниками.
Достаточно ли галочки «Я согласен с обработкой персональных данных» под формой?
Сама по себе галочка согласием не является. Согласие по статье 9 152-ФЗ — это конкретное, предметное, информированное, сознательное и однозначное волеизъявление по тексту, который содержит обязательные сведения из части 4 статьи 9: наименование и адрес оператора, цель обработки, перечень данных, перечень действий с ними, срок действия и способ отзыва. Рабочая схема на сайте выглядит так: рядом с формой — не проставленный по умолчанию чекбокс и видимая ссылка на полный текст согласия, который открывается отдельной страницей или всплывающим окном; пользователь сам ставит галочку, и факт этого действия логируется с датой, временем и версией текста. Не считаются надлежащим согласием: галочка, проставленная заранее (преклик); галочка без доступного текста; формулировка «продолжая пользоваться сайтом, вы соглашаетесь»; сбор согласия уже после того, как данные отправлены. Все эти варианты Роскомнадзор и суды оценивают как обработку без согласия. Отдельная галочка нужна и под согласие на рекламную рассылку — объединять её с согласием на обработку в один чекбокс нельзя, и рассылочный чекбокс не может быть обязательным для отправки формы.
