Согласие на обработку персональных данных на сайте

Коротко. Согласие на обработку персональных данных — форма на сайте должна получать его так, чтобы потом это можно было доказать. По Закону Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» у оператора должно быть основание для каждой обработки, и для типичных форм сайта — заявка, подписка, отклик на вакансию — таким основанием чаще всего служит согласие. Рабочая схема: отдельный непроставленный чекбокс под каждую цель, короткий текст «кто, какие данные, зачем, сколько» со ссылкой на политику, журнал с датой, временем и версией текста и простой способ отозвать согласие. Ниже — когда согласие действительно нужно, а когда основание другое, как написать текст у чекбокса, как устроить интерфейс формы, что хранить в журнале и как исполнять отзыв. Обязательный состав сведений в согласии и допустимые формы его получения по 99-З —.

Для владельцев сайтов, маркетологов и разработчиков, которые настраивают формы заявок, подписки, регистрации и отклика на вакансии.

Согласие и политика: в чём разница

Согласие на обработку персональных данных — это волеизъявление конкретного человека, которым он разрешает оператору обрабатывать его данные для определённой цели. Политика описывает процессы оператора целиком; согласие привязано к одной форме, одному человеку и одному моменту времени. Поэтому одна политика на сайте спокойно соседствует с пятью разными согласиями.

На практике согласие оценивают по трём свойствам: оно конкретное (понятно, какие данные и для чего), информированное (человек мог прочитать условия до отправки) и подтверждаемое (оператор может показать, что согласие было и на каком тексте).

Как устроена сама политика — в разборе структуры политики обработки персональных данных; общий список обязанностей владельца сайта — в статье о законе 99-З для сайта. Согласие на аналитические cookie получают через баннер, а не через формы, — это отдельная тема: cookie-баннер по правилам НЦЗПД. Здесь — только формы, чаты и боты.

Когда согласие нужно, а когда основание другое

Частая ошибка — ставить чекбокс согласия везде «на всякий случай», в том числе там, где обработка идёт на ином основании. Пример: человек оформляет заказ в интернет-магазине. Адрес и телефон нужны, чтобы исполнить заказ. Если построить это на согласии, возникает противоречие: согласие можно отозвать, но отзыв не должен отменять уже оплаченную доставку. Перечень оснований, отличных от согласия, и их применимость к вашему процессу —.

Таблица — ориентир для разговора с юристом, а не готовое решение. Основание выбирается под конкретный процесс и одинаково фиксируется в политике, реестре процессов и тексте у формы.

Текст согласия: что написать у чекбокса

Текст у чекбокса должен читаться за несколько секунд и объяснять суть без перехода в политику. Практичная формула — пять элементов:

1. Кто — оператор: наименование юридического лица, а не только бренд.
2. Какие данные — поля именно этой формы: имя, телефон, email.
3. Зачем — одна цель: «чтобы связаться по заявке».
4. Сколько — срок хранения или критерий, совпадающий с политикой.
5. Где подробнее — ссылка на политику и порядок отзыва согласия.

Пример логики для формы заявки:

☐ Я даю ООО «Пример» согласие на обработку имени, телефона и email из этой формы, чтобы со мной связались по заявке. Срок хранения и порядок отзыва согласия — в «Политике обработки персональных данных».

Слабые варианты: «Нажимая кнопку, вы соглашаетесь со всем» — нет цели и перечня данных; «Согласен на обработку персональных данных в соответствии с законодательством» — нет ничего конкретного; текст на полстраницы в прокручиваемом окне — формально информирует, фактически не читается. Пример выше показывает структуру, а не юридически выверенную формулировку: итоговый текст —.

Интерфейс формы: семь правил

• Чекбокс не проставлен заранее. Предзаполненная галочка — не волеизъявление человека.
• Одна цель — один чекбокс. Заявка и рассылка — два чекбокса, и заявка отправляется без согласия на рассылку.
• Блокировать отправку без галочки стоит только там, где согласие — действительно основание для этой цели.
• Ссылка на политику открывается в новой вкладке и не сбрасывает уже введённые данные.
• Кнопка называется по действию — «Отправить заявку», а не «Согласиться и продолжить».
• Полей — минимум. Для обратного звонка достаточно имени и телефона; каждое лишнее поле расширяет и согласие, и риск.
• Одинаково на всех устройствах. На телефоне текст и ссылка не обрезаются, чекбокс нажимается пальцем.

Пройдите по своим формам с телефона — половина проблем видна сразу: мелкий нечитаемый текст, нерабочая ссылка, галочка, которую невозможно снять.

Журнал согласий: как доказать, что согласие было

Если человек пожалуется, что не подписывался на рассылку, или при проверке НЦЗПД попросят показать основание обработки, отвечать придётся записью, а не скриншотом формы. Минимальный состав журнала:

Технически это отдельная таблица в базе сайта или набор полей в CRM, которые форма заполняет в момент отправки. Два правила. Первое — храните тексты всех версий согласия: запись «версия 3» без самого текста версии 3 ничего не доказывает. Второе — не складывайте в журнал лишнего, например полный слепок всех полей формы: журнал подтверждает факт, а не дублирует базу клиентов. Срок хранения записей после отзыва согласия или окончания обработки —.

Отзыв согласия: как принимать и исполнять

Человек вправе отозвать согласие, и путь к отзыву не должен быть сложнее, чем путь к согласию. Рабочий порядок:

1. Каналы. Ссылка «Отписаться» в каждом письме рассылки, email для обращений в политике, при наличии кабинета — кнопка в настройках профиля.
2. Приём. Обращение регистрируется: дата, канал, что именно отзывается — одна цель или все.
3. Исполнение. Обработка по этой цели прекращается во всех системах: на сайте, в CRM, в сервисе рассылки, у подрядчиков.
4. Ответ. Человек получает подтверждение. Сроки исполнения отзыва и ответа на обращение установлены законом —.
5. Отметка в журнале. Статус согласия меняется, запись о факте отзыва сохраняется.

Типичный сбой — отписка срабатывает в сервисе рассылки, но в CRM контакт остаётся с пометкой «подписан», и через полгода его снова выгружают в рассылку. Синхронизацию статуса между системами проверьте отдельно, на тестовом адресе.

Частые ошибки с согласиями

• Одна галочка «согласен с политикой, пользовательским соглашением и рассылкой».
• Чекбокса нет — только мелкая фраза под кнопкой отправки.
• Текст согласия скопирован с российского сайта со ссылкой на 152-ФЗ.
• Согласие запрашивается там, где обработка идёт по договору, и отзыв ломает процесс.
• Версии текста не хранятся — нельзя показать, что человек видел год назад.
• Резюме кандидатов хранятся годами после закрытия вакансии без отдельной цели.
• Отписка не доходит до CRM и подрядчиков.

Чек-лист согласий на сайте

• Составлен перечень всех форм, чатов и ботов, где человек вводит данные
• Для каждой цели определено основание и зафиксировано в политике
• У целей на основании согласия — отдельный непроставленный чекбокс
• Рассылка отделена от заявки и заказа
• Текст называет оператора, данные, цель, срок и ведёт на политику
• Ссылка на политику работает на телефоне и не сбрасывает форму
• В форме только необходимые поля
• Журнал: дата, время, форма, версия текста, версия политики
• Архив всех версий текста согласия
• Отзыв доступен через ссылку в письме и email из политики
• Отзыв исполняется во всех системах и у подрядчиков
• Формулировки и основания проверены юристом

Сколько стоит оформить согласия

Инвентаризация форм, тексты согласий под реальные цели, политика, cookie-баннер и сканирование сайта на уязвимости входят в пакет «Цифровой Минимум» — от 1 700 BYN, единая цена. Если формы нужно переделать технически — отдельные чекбоксы, журнал согласий, синхронизация отписок с CRM, — это делает наша команда разработки в рамках «Разработки по подписке» от 4 400 BYN/мес за 20 часов или отдельной задачей.

Частые вопросы

Достаточно ли фразы «Нажимая кнопку, вы соглашаетесь на обработку данных»?

Для доказуемого согласия это слабый вариант: нет отдельного действия человека, нет конкретной цели и перечня данных. Отдельный непроставленный чекбокс с коротким текстом и ссылкой на политику надёжнее и при жалобе, и при проверке. Допустимо ли согласие без чекбокса в вашей ситуации, уточните у юриста.

Можно ли одним чекбоксом получить согласие на заявку и рассылку?

Не стоит. Это разные цели: ответ на заявку нужен человеку сейчас, рассылка — ваше предложение на будущее. Объединив их, вы вынуждаете соглашаться на рассылку ради обратного звонка, и такое согласие трудно назвать конкретным. Правильно — два чекбокса, причём заявка отправляется и без согласия на рассылку.

Нужно ли согласие при оформлении заказа в интернет-магазине?

Для исполнения заказа и доставки основанием может служить договор, а не согласие, поэтому отдельный чекбокс для самого заказа бывает лишним. Согласие понадобится для дополнительных целей: рассылки, публикации отзывов, программы лояльности. Точное основание для вашей модели продаж определяет юрист, и оно должно совпадать с политикой.

Сколько хранить подтверждение согласия?

Как минимум всё время, пока идёт обработка на его основании, а после отзыва — запись о самом факте отзыва. Конкретный срок хранения журнала после окончания обработки закрепите во внутренних документах и согласуйте с юристом. Главное — чтобы вместе с записью хранился и текст той версии согласия, которую видел человек.

Что делать с базой контактов, собранной без нормального согласия?

Прежде всего не использовать её для целей, на которые согласия нет, особенно для рассылок. Дальше два пути: удалить данные или корректно запросить согласие заново, если это допустимо. Как законно обратиться к контактам из старой базы за новым согласием, решите с юристом до первой отправки, а не после жалобы.

Вывод

Согласие на обработку персональных данных: форма на сайте оформлена правильно, когда у каждой цели свой непроставленный чекбокс, текст называет оператора, данные, цель и срок, факт согласия пишется в журнал с версией текста, а отзыв исполняется во всех системах. Настраивается это один раз и поддерживается при каждой новой форме или сервисе. Если хотите проверить свои формы — пришлите ссылку на сайт, и мы скажем, какие согласия нужно переделать.

Источники: Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (pravo.by); Национальный центр защиты персональных данных — разъяснения и примерные документы для операторов (cpd.by). Перечень оснований обработки, обязательный состав и форма согласия, сроки исполнения отзыва и ответа субъекту —.