Согласие на обработку персональных данных на сайте: что должно быть в форме

Форма заявки, под ней галочка «Согласен с политикой конфиденциальности», галочка проставлена заранее, чтобы не терять конверсию. Так сделано на большинстве сайтов малого бизнеса, и почти везде это сделано неправильно.

Дальше практика, а не правовая консультация: я не юрист. Но эту конструкцию я разбирал на десятках сайтов, и ошибки в ней повторяются одни и те же.

Согласие и политика это разные вещи

Политика обработки персональных данных - документ оператора о том, как он вообще работает с данными. Он публикуется и доступен любому посетителю.

Согласие - решение конкретного человека разрешить обработку своих данных для конкретной цели. Оно должно быть конкретным, информированным и сознательным, то есть человек понимает, кому, какие данные и зачем он отдаёт.

Из этого следует, что формулировка «согласен с политикой» согласием не является. Человек соглашается прочитать документ, а не разрешает обработку.

Рабочая конструкция выглядит иначе: отдельный чекбокс с текстом вида «Даю согласие на обработку персональных данных» и ссылкой на текст согласия, плюс рядом ссылка на политику. Два документа, две ссылки, одно осознанное действие.

Предзаполненная галочка

Согласие должно быть активным действием. Галочка, проставленная за пользователя, не отражает его волю, потому что он мог её не заметить.

Здесь всегда возникает разговор про конверсию. По моему опыту снятие предзаполненной галочки роняет конверсию формы на считанные проценты, а иногда не меняет ничего: люди привыкли к этому шагу. Сравните эти проценты с суммой штрафа за обработку без надлежащего согласия, для юридического лица это от 300 до 700 тысяч рублей.

Что должно быть в тексте согласия

Кто оператор: название компании, ИНН, адрес. Абстрактное «наш сайт» здесь не годится.

Какие данные собираются. Ровно те, что есть в форме, а не список на все случаи жизни. Если в форме имя и телефон, не надо перечислять паспортные данные.

Для чего. Обработка заявки, консультация, заключение договора. Цель должна совпадать с тем, что происходит на самом деле.

Кому передаются. Если данные уходят в CRM, в сервис рассылки, в коллтрекинг, подрядчику или в зарубежный сервис, это должно быть отражено. Именно этот пункт чаще всего забывают, а он же чаще всего оказывается неверным после подключения новой интеграции.

Сколько хранятся и как отозвать согласие. С работающим способом отзыва: почта, на которую можно написать, и срок ответа.

Реклама требует отдельного согласия

Согласие на обработку данных для ответа на заявку не даёт права слать человеку рассылки и звонить с предложениями. Для рекламных сообщений нужно отдельное согласие, и его нельзя вшить в общий текст мелким шрифтом.

Практический вывод: на форме заявки два чекбокса. Первый обязательный, про обработку. Второй добровольный, про новости и предложения. Второй как раз можно и нужно оставлять пустым, и это не потеря, а чистая база, по которой не прилетит жалоба.

Уведомление регулятора

Компания, которая собирает заявки через сайт, является оператором персональных данных и должна уведомить об этом Роскомнадзор. Это отдельный от всего остального шаг, который часто пропускают, считая, что достаточно опубликовать политику. Отсутствие уведомления о начале обработки для юридического лица стоит от 100 до 300 тысяч рублей.

Если данные уходят в зарубежные сервисы, добавляется отдельное уведомление о трансграничной передаче, которое подаётся до начала передачи. Про него у меня написана отдельная статья.

Что ломается после запуска

Подключили новый сервис и не обновили текст. Согласие перечисляет получателей данных, а вы добавили коллтрекинг или зарубежную рассылку. Формально текст перестал соответствовать действительности в день подключения.

Не сохраняют факт согласия. Хорошо, если в CRM вместе с заявкой ложится отметка о том, какую версию текста человек принял и когда. Без этого доказать согласие нечем.

Ссылку ведут на страницу, которой нет. Классика: политику переносили, ссылка осталась старой, форма ссылается на 404. Проверяется за минуту, ломается регулярно.

Формы на конструкторах живут своей жизнью. Виджеты обратного звонка, квизы и чаты часто ставят свои формы со своим текстом, и о них забывают.

Что сделать на этой неделе

Соберите список всех форм на сайте. Не только основную: обратный звонок, квиз, подписка в подвале, чат, всплывающие окна. Обычно их находится больше, чем ожидалось.

По каждой проверьте три вещи: есть ли отдельный чекбокс согласия, не предзаполнен ли он, работают ли обе ссылки.

Затем сверьте список получателей данных в тексте согласия с реальным списком интеграций. Именно здесь чаще всего обнаруживается расхождение.

Термины по теме собраны в словаре: https://ilkaev.com/slovar/