ГлавнаяБлогСогласие на обработку персональных данных на сайте: формы, рассылки, регистрация
Согласие на обработку персональных данных на сайте: формы, рассылки, регистрация
Команда Cart-Power
·15 мин чтения
С 1 сентября 2025 года согласие на обработку персональных данных на сайте оформляют отдельно от оферты, политики и любых других документов, которые подтверждает посетитель (ч. 1 ст. 9 152-ФЗ). Согласие на рекламную рассылку собирайте отдельно, например своей необязательной галочкой. Закон о рекламе разрешает такие письма только с предварительного согласия адресата, а доказывать согласие придётся магазину. Политику обработки данных закон велит публиковать на страницах, где сайт собирает имя, телефон или почту, и надёжнее всего ставить ссылку на неё прямо у формы. У каждой галочки должен быть текст и запись, по которой согласие можно предъявить.
Что изменилось в 2025 году: согласие стало отдельным документом
Часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Форму закон оставляет свободной, если другой федеральный закон не требует письменной, и годится любая, «позволяющая подтвердить факт его получения». Галочка на сайте под это подходит, если потом можно показать, кто, когда и под каким текстом её поставил.
Новое предложение в ту же часть добавил 156-ФЗ от 24 июня 2025 года. Согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект». Норма действует с 1 сентября 2025 года, дату задаёт ч. 2 ст. 7 156-ФЗ.
Текст согласия можно разместить на своей странице или во всплывающем окне, а пункт «я согласен на обработку данных» внутри оферты или пользовательского соглашения перестаёт работать как согласие. Галочка тоже своя. Формулировку «Принимаю условия оферты и даю согласие на обработку персональных данных» под одной галочкой стоит развести на две. Одной галочкой посетитель подтверждает сразу два документа, а согласие закон требует оформлять отдельно.
Заранее отмеченная галочка не годится. Согласие должно быть сознательным и однозначным, а эту отметку поставил магазин, посетитель её только не снял. Если согласие включено для формы, штатная галочка CS-Cart по умолчанию пустая, а браузер не отправляет форму без неё.
Где хватает договора, а где без согласия не обойтись
Согласие — только одно из оснований для обработки данных. Часть 1 статьи 6 перечисляет и другие. Пункт 5 разрешает обрабатывать данные, если это нужно для исполнения договора с человеком или для заключения договора по его инициативе. Имя, телефон и адрес, без которых заказ не доставить, подпадают сюда.
Всё, что выходит за рамки заказа, требует своего основания. Рекламные письма и звонки по ч. 1 ст. 15 152-ФЗ допускаются только с предварительного согласия, и если оператор не докажет, что получил его, обработку считают проведённой без согласия. Ту же логику повторяет ч. 1 ст. 18 закона о рекламе. Рекламу по сетям электросвязи распространяют только с предварительного согласия адресата, и доказывает его рекламораспространитель.
Отсюда практическое правило для формы заказа. Согласие на рекламу нельзя сделать условием покупки. Согласие дают свободно и своей волей (ч. 1 ст. 9 152-ФЗ), а продавец не вправе отказать покупателю в договоре, если тот не дал данных, которые для исполнения договора не нужны и законом не требуются (п. 4 ст. 16 Закона о защите прав потребителей). Галочка рассылки в заказе — необязательная и пустая.
Сами поля формы тоже ограничены. Данные не должны быть избыточными по отношению к целям обработки (ч. 5 ст. 5 152-ФЗ). Обязательная дата рождения в регистрации магазина одежды выглядит как раз такой избыточностью, если она ни на что не влияет.
Списка форм в законе нет, критерий тот же: нужна ли обработка, чтобы исполнить договор с покупателем или заключить его по инициативе самого покупателя (п. 5 ч. 1 ст. 6). Регистрация личного кабинета, заявка на обратный звонок, отзыв с именем на витрине читаются по-разному в зависимости от того, что магазин делает с этими данными дальше.
В каких формах штатный модуль CS-Cart показывает галочку
Основание выбирает юрист, а галочку показывает и запись хранит платформа магазина. В CS-Cart согласия собирает модуль «Соответствие GDPR (Общему регламенту по защите данных в ЕС)». На вкладке «GDPR» в его настройках — список форм с переключателями. Мы смотрели код версии 4.21.1: после установки модуля согласие включено во всех формах, кроме одной.
Форма в настройках модуля
Согласие после установки
Оформление заказа: Обработка персональных данных
включено
Оформление заказа: Обновление данных профиля
выключено
Покупатель: Регистрация
включено
Профили: Обновление
включено
Товары: Подписка на товар
включено
Рассылки: Подписаться на рассылки
включено
Обратный звонок: Форма для запроса
включено
Отзывы и комментарии: новый отзыв
включено
Продавцы: Получение учётной записи продавца (только Multi-Vendor)
включено
У маркетплейса в списке есть заявка продавца. Что ещё требует от площадки с продавцами закон о платформенной экономике, мы разобрали в отдельной статье.
Форм «Конструктора форм», которые магазин собирает сам на отдельных страницах, в этом списке нет. Галочку в них добавляют полем формы или доработкой, и модуль её в журнал не запишет.
Тексты согласий придётся переписать. Штатный русский текст согласия при оформлении заказа переведён с европейского шаблона, и в последнем абзаце он ссылается на «Общий регламент по защите данных» ЕС. Полный текст согласия на рассылку упоминает MailChimp как сервис отправки. Оператора с реквизитами, цели, перечень данных, срок действия и способ отзыва магазин вписывает сам. Этот перечень закон требует от письменного согласия (ч. 4 ст. 9), и для текста за галочкой на сайте он подходит как основа. Стоит добавить тех, кому магазин поручает обработку, например службу доставки и сервис рассылок, а паспортные данные и подпись из этого перечня в форму сайта не переносят.
У журнала есть ограничение, которое легко пропустить. Галочку проверяет скрипт в браузере, и без неё форма не уходит. На сервере CS-Cart читает её значение только у одной формы, обновления профиля при оформлении заказа. Запись в журнал согласий пишет обработчик, который срабатывает при сохранении формы, например заказа или профиля. Сохраняются номер покупателя, почта, тип формы, время и полный текст согласия на этот момент. IP-адреса и браузера в журнале нет.
При обычной отправке штатной формы браузер проверяет галочку, а сервер записывает текст согласия. Сам по себе такой журнал не доказывает, что галочку отметили: проверку в браузере можно обойти. Регистрация через кнопку Сбер ID или Яндекс ID проходит мимо формы, а штатный модуль при сохранении профиля может записать в журнал «Профили: Обновление», хотя галочки покупатель не видел. В нашем модуле входа через Яндекс ID под кнопкой выводится строка со ссылками на документы магазина, а в журнал согласий уходят строка, которую видел покупатель, адреса документов, способ входа, IP и браузер (карточка модуля). Формулировку строки магазин согласует с юристом, потому что после поправки 2025 года согласие в ней должно стоять отдельно от условий.
У магазина на другой платформе вопросы к ней те же. В каких формах она показывает галочку, что пишет в журнал и чем это потом подтвердить?
Что мы находим в формах магазинов
В сентябре 2026 года мы прогнали модуль «Проверка сайта на 152-ФЗ» по копиям двух российских магазинов на CS-Cart: оптового магазина парфюмерии и магазина автозапчастей. Названия не раскрываем, находки — по состоянию на день проверки.
В магазине парфюмерии согласие было выключено во всех восьми формах штатного модуля, от заказа до отзыва. Регистрация собирала имя, фамилию, телефон и почту без галочки, подписка в подвале брала почту так же. За 90 дней до проверки покупатели регистрировались, а в журнале согласий не появилось ни одной записи. Показать согласие кого-то из этих покупателей по журналу магазин не смог бы.
В магазине автозапчастей с настройками согласия было меньше проблем. Выключенной оказалась одна форма, «Оформление заказа: Обновление данных профиля», та самая, что выключена после установки. Зато в форме покупки в один клик и в формах на страницах галочка стояла, а текста согласия за ней не было. Покупатель соглашался с пустым окном.
Документы тоже требовали правки. В политике магазина парфюмерии не нашлось ни слова о cookie и не были названы четыре подключённых сервиса: Vimeo, Яндекс Карты, Яндекс Метрика и Pinterest Tag. Политика магазина автозапчастей обходилась без разделов о сроках хранения и об отзыве согласия.
Политику и окно согласия видит любой посетитель. Выключенный переключатель в панели и пустой журнал видны только изнутри магазина, и онлайн-сканер, который открывает несколько страниц сайта, до них не доходит.
Рассылки: отдельное согласие и подтверждение адреса
Если обработка данных для заказа или кабинета основана на согласии, отделите его от необязательной галочки рекламной подписки. Когда для заказа достаточно договора, дополнительное согласие на эту же обработку не обязательно. Поручить обработку другому лицу, например подрядчику, который подтверждает заказы по телефону, магазин вправе с согласия покупателя, если федеральный закон не предусматривает иного (ч. 3 ст. 6 152-ФЗ). Освобождает ли от этого согласия договор с покупателем (п. 5 ч. 1 ст. 6), закон прямо не говорит.
У штатной подписки CS-Cart есть особенность. Адрес из подвала попадает сразу во все активные списки рассылки магазина. Короткий текст согласия склеивает обработку данных и подписку в одну фразу «Я согласен/согласна на обработку своих персональных данных указанным образом и хочу подписаться на следующие рассылки». Если списков несколько, проверьте, видит ли подписчик их тематику и цели до отправки формы. Согласие сразу на все скрытые от него рассылки трудно назвать конкретным и предметным. После поправки 2025 года подвал надёжнее развести на две галочки. Сейчас одна фраза соединяет согласие на обработку данных и согласие на рекламу, а первое закон требует оформлять отдельно.
Слов о подтверждении письмом в законе о рекламе нет. Есть обязанность доказать согласие адресата (ч. 1 ст. 18), а переход по ссылке из письма подтверждает доступ к указанному почтовому ящику. Он усиливает доказательство, но сам по себе не удостоверяет личность подписчика. Подтверждение в CS-Cart включается у каждого списка полем «Email подтверждения». Магазин выбирает письмо со ссылкой активации, и рассылки этого списка уходят только тем, кто по ней перешёл. Список, который CS-Cart создаёт сам при первой подписке, заводится без подтверждения.
Отписка тоже входит в закон. По требованию адресата рекламу прекращают немедленно (ч. 1 ст. 18 закона о рекламе, ч. 2 ст. 15 152-ФЗ). В письмах CS-Cart для этого есть подстановка ссылки отписки, её стоит держать в каждом шаблоне.
Регистрация, отзыв согласия и удаление данных
Данные остаются в личном кабинете и после заказа. На это хранение тоже распространяются сроки. Согласие можно отозвать (ч. 2 ст. 9). После отзыва оператор прекращает обработку и, если хранить данные для целей обработки больше не нужно, уничтожает их в течение 30 дней (ч. 5 ст. 21). На требование прекратить обработку отводится 10 рабочих дней, продлить можно ещё на пять с мотивированным уведомлением (ч. 5.1 той же статьи). В этой норме тоже есть исключения: например, обработку для исполнения договора можно продолжить.
Отзыв согласия не отменяет другие основания обработки. Если у покупателя есть неисполненный заказ, обработку можно продолжить на другом основании из пунктов 2–11 ч. 1 ст. 6, например для исполнения договора (ч. 2 ст. 9). Хранить данные можно не дольше, чем этого требуют цели обработки, если срок не задан федеральным законом или договором (ч. 7 ст. 5).
В списке клиентов CS-Cart есть действие «Анонимизировать» из того же модуля GDPR. Перед его применением проверьте, какие данные останутся в заказах, интеграциях и резервных копиях. Название действия само по себе не подтверждает исполнение требования об уничтожении. Уничтожением закон называет действия, после которых содержание данных нельзя восстановить, и отличает его от обезличивания (пп. 8 и 9 ст. 3 152-ФЗ). Уничтожение у подрядчика, которому поручена обработка, магазин тоже обязан обеспечить (ч. 5 ст. 21). Если уложиться в 30 дней нельзя, данные блокируют и уничтожают в срок не более шести месяцев (ч. 6 ст. 21). Адрес для таких запросов магазин указывает в политике и в тексте согласия, иначе покупатель пишет куда придётся, а срок идёт с момента получения.
Политика обработки данных: ссылка из каждой формы
Оператор, который собирает данные через интернет, публикует политику на тех страницах сайта, где идёт сбор (ч. 2 ст. 18.1 152-ФЗ). Ссылка в подвале есть на каждой странице, но форма во всплывающем окне подвал закрывает, поэтому ссылку ставят и рядом с галочкой. Перечислить в политике стоит данные, которые собирает сайт, сервисы, через которые они проходят, и сроки хранения. Расхождение с сайтом видно, если сравнить список сервисов в политике с тем, что загружает страница.
Что грозит за форму без согласия
Штрафы за нарушения с персональными данными собраны в ст. 13.11 КоАП. Суммы в таблице указаны для юридических лиц и проверены 30 октября 2026 года. Индивидуальный предприниматель по ч. 1 и 2 отвечает как должностное лицо, это до 100 000 и до 300 000 ₽ (примечание к ст. 2.4 КоАП).
Часть ст. 13.11 КоАП
Что нарушено
Штраф для юрлица
ч. 1
обработка в случаях, не предусмотренных законодательством, или несовместимая с целями сбора
150 000–300 000 ₽
ч. 1.1
то же повторно
300 000–500 000 ₽
ч. 2
обработка без согласия в письменной форме там, где закон его требует, или письменное согласие без обязательных сведений
300 000–700 000 ₽
ч. 3
политика не опубликована и к ней нет доступа
30 000–60 000 ₽
Верхняя граница 700 000 ₽ относится к ч. 2, то есть к письменному согласию из ч. 4 ст. 9 152-ФЗ. Какую часть применят к конкретной форме, решают Роскомнадзор и суд. Для рекламы по сетям электросвязи без предварительного согласия есть специальный состав по ч. 4.1 ст. 14.3 КоАП. Штраф для юрлица составляет от 300 000 до 1 000 000 ₽; такие дела рассматривает ФАС.
За впервые совершённое нарушение, выявленное в ходе государственного контроля (надзора) или муниципального контроля, штраф заменяют предупреждением, если нет имущественного ущерба, угрозы чрезвычайных ситуаций, вреда и угрозы вреда жизни и здоровью людей, безопасности государства и другим объектам из ч. 2 ст. 3.4 КоАП (ч. 1 ст. 4.1.1). Статьи 13.11 в списке исключений из этого правила нет. Но одного факта первого нарушения недостаточно: должны выполняться все перечисленные условия. Если нарушение нашла прокуратура, прямого ответа в ст. 4.1.1 нет: норма называет государственный контроль (надзор) и муниципальный контроль, а прокурорский надзор не упоминает.
Cookie и счётчики — следующий шаг после форм
Галочки в формах касаются того, что посетитель вводит сам. Счётчики, пиксели, карты и видео собирают данные молча, с первой страницы. Штатный модуль CS-Cart по умолчанию работает в режиме «Неявное», и окно только сообщает, что сайт использует cookie. Режим «Явное» даёт выбрать сервисы. Наш модуль «Согласие на файлы cookie» от 9 900 ₽ делит cookie на четыре категории и работает в двух режимах. В строгом счётчики и пиксели запускаются только после согласия, в мягком работают до отказа. Если счётчику нужно согласие, подходит только строгий режим, потому что в мягком данные уходят раньше, чем посетитель что-то выбрал. Каждое решение посетителя модуль пишет в журнал вместе с редакцией политики. Цена зависит от редакции CS-Cart; установка оплачивается отдельно. Как баннер cookie влияет на статистику Метрики и какой режим выбрать, разобрали в статье «Баннер cookie и Яндекс Метрика».
Когда наша проверка не нужна
Если на сайте одна форма заявки на конструкторе и нет личного кабинета и рассылок, начните с самопроверки. По числу форм нельзя определить, есть ли на сайте нарушения. Чек-лист «Сайт и 152-ФЗ» на 40 пунктов лежит на странице услуги, на него уходит 2–3 часа.
Если юрист уже подготовил тексты согласия и политики, а магазин на CS-Cart, остаётся настройка: включить формы на вкладке «GDPR», вставить тексты в языковые переменные, у списков рассылки выбрать письмо подтверждения. С этим справится администратор магазина.
Наш отчёт технический: в нём видно, где сайт собирает данные без согласия и что поменять в коде и настройках, у каждой находки стоит норма. Юридическую оценку и ответ Роскомнадзору готовит юрист, отчёт ему в этом помогает.
Частые вопросы
Нужно ли согласие на обработку персональных данных при оформлении заказа?
Для доставки и оплаты заказа есть другое основание, договор с покупателем (п. 5 ч. 1 ст. 6 152-ФЗ). Для рекламных писем и звонков нужно предварительное согласие (ч. 1 ст. 15 152-ФЗ, ч. 1 ст. 18 закона о рекламе). Основание для аналитики и других целей вне заказа выбирают с юристом; выбор зависит от состава данных и способа их использования.
Как отозвать согласие и что магазин делает после отзыва?
Согласие можно отозвать в любой момент (ч. 2 ст. 9 152-ФЗ). Магазин прекращает обработку и в течение 30 дней уничтожает данные, если хранить их для целей обработки больше не нужно (ч. 5 ст. 21). Продолжить обработку можно только на другом основании, например пока исполняется договор.
Сколько действует согласие и сколько хранить запись о нём?
Срок действия называет сам текст согласия, для письменной формы закон прямо требует его указать (п. 8 ч. 4 ст. 9). Запись сохраняют для подтверждения основания обработки (ч. 3 ст. 9). Сколько хранить её после окончания обработки, 152-ФЗ прямо не говорит. Общее правило ч. 7 ст. 5: хранить данные не дольше, чем этого требуют цели обработки.
Нужно ли сайту письменное согласие?
Письменное согласие нужно там, где его прямо требует федеральный закон (ч. 4 ст. 9). В 152-ФЗ это, например, обработка специальных категорий данных и биометрии на основании согласия (ст. 10 и 11); в этих статьях есть и исключения, допускающие обработку без него. Имя, телефон, почта и адрес в форме заказа к таким категориям не относятся, для них хватает формы, которая позволяет подтвердить факт согласия (ч. 1 ст. 9).
Нужно ли согласие на распространение, если на сайте публикуются отзывы с именами?
Если по отзыву и подписи можно определить человека, публикация на витрине будет распространением данных (п. 5 ст. 3 152-ФЗ). Хватает ли для этого одного имени или ника, закон прямо не говорит: персональными данными он называет информацию об определённом или определяемом человеке (п. 1 ст. 3). Согласие оформляют отдельно (ч. 1 и 8 ст. 10.1), по требованиям Роскомнадзора (приказ от 24.02.2021 № 18), указывая реквизиты оператора, адрес страницы, цель, перечень данных и срок. Молчание согласием не считается; доказывать разрешение на публикацию придётся магазину (ч. 3 ст. 9 152-ФЗ).
Проверим формы и журнал согласий изнутри магазина
Проверка сайта на 152-ФЗ стоит 18 000 ₽ с НДС 5 % и занимает до 6 рабочих дней. Смотрим сайт снаружи и из панели управления: переключатели согласий, тексты за галочками, журнал, подписку, политику и подключённые сервисы. Вы получаете список находок с нормой у каждой, что исправить в каждой форме и смету, а результат разбираем на часовом созвоне с вами или вашим юристом.
Основные нормы 152-ФЗ, 156-ФЗ, закона о рекламе, Закона о защите прав потребителей и КоАП повторно проверены 30 октября 2026 года по текстам на consultant.ru. В тот же день сверены код CS-Cart 4.21.1 и цены на страницах услуги и модуля. Находки магазинов относятся к сентябрю 2026 года.
Материал подготовлен как технический обзор с правовыми пояснениями на 30 октября 2026 года. Юридические выводы для конкретного магазина делает его юрист. Основание обработки для каждой формы, тексты согласий и политики, ответ Роскомнадзору или ФАС готовит юрист магазина. Настройки CS-Cart и модули Cart-Power дают механизм: показать галочку, записать согласие, не запускать счётчики до выбора посетителя. Соответствие закону зависит от текстов, настроек и того, что магазин делает с данными.
Получите консультацию специалиста по вашему проекту
Содержание
Получите консультацию специалиста по вашему проекту
Как снизить зависимость от маркетплейсов:… Разбираемся, почему собственный интернет-магазин нужен не для ухода с маркетплейсов, а как второй канал продаж: для защиты маржи, повторных заказов…
Комиссии маркетплейсов превысили 40%: зачем бизнесу… Обобщили данные различных исследований по маркетплейсам, чтобы на их основе показать реальную картину рынка. Разбираем, какие преимущества даёт собственный онлайн-канал…
ИИ-продвижение интернет-магазина: как попасть в… Объясняем, как интернет-магазинам на CS-Cart попадать в ответы нейросетей (ChatGPT, Алиса). Разбираем, чем ИИ-продвижение отличается от классического SEO.
Сайт использует cookie и Яндекс Метрику. Метрика работает, пока вы от неё не откажетесь — кнопкой «Отклонить необязательные» или в «Настройках cookie». Технические cookie нужны для работы сайта и всегда включены. Подробнее — в политике конфиденциальности.
Настройка файлов cookie
Здесь можно выбрать, какие cookie разрешить. Технические нужны для работы и защиты сайта, их отключить нельзя. Аналитические и рекламные работают, пока вы их не отключите. Выбор хранится год, потом сайт спросит снова. Изменить его можно в любой момент кнопкой «Настройки cookie» внизу страницы. Как мы используем cookie, описано в разделе о cookie политики конфиденциальности.
Пришлём руководство на вашу почту
Пришлём чек-лист на вашу почту
Чек-лист будет отправлен на указанную Вами электронную почту
Согласие на обработку персональных данных на сайте: формы, рассылки, регистрация
С 1 сентября 2025 года согласие на обработку персональных данных на сайте оформляют отдельно от оферты, политики и любых других документов, которые подтверждает посетитель (ч. 1 ст. 9 152-ФЗ). Согласие на рекламную рассылку собирайте отдельно, например своей необязательной галочкой. Закон о рекламе разрешает такие письма только с предварительного согласия адресата, а доказывать согласие придётся магазину. Политику обработки данных закон велит публиковать на страницах, где сайт собирает имя, телефон или почту, и надёжнее всего ставить ссылку на неё прямо у формы. У каждой галочки должен быть текст и запись, по которой согласие можно предъявить.
Что изменилось в 2025 году: согласие стало отдельным документом
Часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Форму закон оставляет свободной, если другой федеральный закон не требует письменной, и годится любая, «позволяющая подтвердить факт его получения». Галочка на сайте под это подходит, если потом можно показать, кто, когда и под каким текстом её поставил.
Новое предложение в ту же часть добавил 156-ФЗ от 24 июня 2025 года. Согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект». Норма действует с 1 сентября 2025 года, дату задаёт ч. 2 ст. 7 156-ФЗ.
Текст согласия можно разместить на своей странице или во всплывающем окне, а пункт «я согласен на обработку данных» внутри оферты или пользовательского соглашения перестаёт работать как согласие. Галочка тоже своя. Формулировку «Принимаю условия оферты и даю согласие на обработку персональных данных» под одной галочкой стоит развести на две. Одной галочкой посетитель подтверждает сразу два документа, а согласие закон требует оформлять отдельно.
Заранее отмеченная галочка не годится. Согласие должно быть сознательным и однозначным, а эту отметку поставил магазин, посетитель её только не снял. Если согласие включено для формы, штатная галочка CS-Cart по умолчанию пустая, а браузер не отправляет форму без неё.
Где хватает договора, а где без согласия не обойтись
Согласие — только одно из оснований для обработки данных. Часть 1 статьи 6 перечисляет и другие. Пункт 5 разрешает обрабатывать данные, если это нужно для исполнения договора с человеком или для заключения договора по его инициативе. Имя, телефон и адрес, без которых заказ не доставить, подпадают сюда.
Всё, что выходит за рамки заказа, требует своего основания. Рекламные письма и звонки по ч. 1 ст. 15 152-ФЗ допускаются только с предварительного согласия, и если оператор не докажет, что получил его, обработку считают проведённой без согласия. Ту же логику повторяет ч. 1 ст. 18 закона о рекламе. Рекламу по сетям электросвязи распространяют только с предварительного согласия адресата, и доказывает его рекламораспространитель.
Отсюда практическое правило для формы заказа. Согласие на рекламу нельзя сделать условием покупки. Согласие дают свободно и своей волей (ч. 1 ст. 9 152-ФЗ), а продавец не вправе отказать покупателю в договоре, если тот не дал данных, которые для исполнения договора не нужны и законом не требуются (п. 4 ст. 16 Закона о защите прав потребителей). Галочка рассылки в заказе — необязательная и пустая.
Сами поля формы тоже ограничены. Данные не должны быть избыточными по отношению к целям обработки (ч. 5 ст. 5 152-ФЗ). Обязательная дата рождения в регистрации магазина одежды выглядит как раз такой избыточностью, если она ни на что не влияет.
Списка форм в законе нет, критерий тот же: нужна ли обработка, чтобы исполнить договор с покупателем или заключить его по инициативе самого покупателя (п. 5 ч. 1 ст. 6). Регистрация личного кабинета, заявка на обратный звонок, отзыв с именем на витрине читаются по-разному в зависимости от того, что магазин делает с этими данными дальше.
В каких формах штатный модуль CS-Cart показывает галочку
Основание выбирает юрист, а галочку показывает и запись хранит платформа магазина. В CS-Cart согласия собирает модуль «Соответствие GDPR (Общему регламенту по защите данных в ЕС)». На вкладке «GDPR» в его настройках — список форм с переключателями. Мы смотрели код версии 4.21.1: после установки модуля согласие включено во всех формах, кроме одной.
У маркетплейса в списке есть заявка продавца. Что ещё требует от площадки с продавцами закон о платформенной экономике, мы разобрали в отдельной статье.
Форм «Конструктора форм», которые магазин собирает сам на отдельных страницах, в этом списке нет. Галочку в них добавляют полем формы или доработкой, и модуль её в журнал не запишет.
Тексты согласий придётся переписать. Штатный русский текст согласия при оформлении заказа переведён с европейского шаблона, и в последнем абзаце он ссылается на «Общий регламент по защите данных» ЕС. Полный текст согласия на рассылку упоминает MailChimp как сервис отправки. Оператора с реквизитами, цели, перечень данных, срок действия и способ отзыва магазин вписывает сам. Этот перечень закон требует от письменного согласия (ч. 4 ст. 9), и для текста за галочкой на сайте он подходит как основа. Стоит добавить тех, кому магазин поручает обработку, например службу доставки и сервис рассылок, а паспортные данные и подпись из этого перечня в форму сайта не переносят.
У журнала есть ограничение, которое легко пропустить. Галочку проверяет скрипт в браузере, и без неё форма не уходит. На сервере CS-Cart читает её значение только у одной формы, обновления профиля при оформлении заказа. Запись в журнал согласий пишет обработчик, который срабатывает при сохранении формы, например заказа или профиля. Сохраняются номер покупателя, почта, тип формы, время и полный текст согласия на этот момент. IP-адреса и браузера в журнале нет.
При обычной отправке штатной формы браузер проверяет галочку, а сервер записывает текст согласия. Сам по себе такой журнал не доказывает, что галочку отметили: проверку в браузере можно обойти. Регистрация через кнопку Сбер ID или Яндекс ID проходит мимо формы, а штатный модуль при сохранении профиля может записать в журнал «Профили: Обновление», хотя галочки покупатель не видел. В нашем модуле входа через Яндекс ID под кнопкой выводится строка со ссылками на документы магазина, а в журнал согласий уходят строка, которую видел покупатель, адреса документов, способ входа, IP и браузер (карточка модуля). Формулировку строки магазин согласует с юристом, потому что после поправки 2025 года согласие в ней должно стоять отдельно от условий.
У магазина на другой платформе вопросы к ней те же. В каких формах она показывает галочку, что пишет в журнал и чем это потом подтвердить?
Что мы находим в формах магазинов
В сентябре 2026 года мы прогнали модуль «Проверка сайта на 152-ФЗ» по копиям двух российских магазинов на CS-Cart: оптового магазина парфюмерии и магазина автозапчастей. Названия не раскрываем, находки — по состоянию на день проверки.
В магазине парфюмерии согласие было выключено во всех восьми формах штатного модуля, от заказа до отзыва. Регистрация собирала имя, фамилию, телефон и почту без галочки, подписка в подвале брала почту так же. За 90 дней до проверки покупатели регистрировались, а в журнале согласий не появилось ни одной записи. Показать согласие кого-то из этих покупателей по журналу магазин не смог бы.
В магазине автозапчастей с настройками согласия было меньше проблем. Выключенной оказалась одна форма, «Оформление заказа: Обновление данных профиля», та самая, что выключена после установки. Зато в форме покупки в один клик и в формах на страницах галочка стояла, а текста согласия за ней не было. Покупатель соглашался с пустым окном.
Документы тоже требовали правки. В политике магазина парфюмерии не нашлось ни слова о cookie и не были названы четыре подключённых сервиса: Vimeo, Яндекс Карты, Яндекс Метрика и Pinterest Tag. Политика магазина автозапчастей обходилась без разделов о сроках хранения и об отзыве согласия.
Политику и окно согласия видит любой посетитель. Выключенный переключатель в панели и пустой журнал видны только изнутри магазина, и онлайн-сканер, который открывает несколько страниц сайта, до них не доходит.
Рассылки: отдельное согласие и подтверждение адреса
Если обработка данных для заказа или кабинета основана на согласии, отделите его от необязательной галочки рекламной подписки. Когда для заказа достаточно договора, дополнительное согласие на эту же обработку не обязательно. Поручить обработку другому лицу, например подрядчику, который подтверждает заказы по телефону, магазин вправе с согласия покупателя, если федеральный закон не предусматривает иного (ч. 3 ст. 6 152-ФЗ). Освобождает ли от этого согласия договор с покупателем (п. 5 ч. 1 ст. 6), закон прямо не говорит.
У штатной подписки CS-Cart есть особенность. Адрес из подвала попадает сразу во все активные списки рассылки магазина. Короткий текст согласия склеивает обработку данных и подписку в одну фразу «Я согласен/согласна на обработку своих персональных данных указанным образом и хочу подписаться на следующие рассылки». Если списков несколько, проверьте, видит ли подписчик их тематику и цели до отправки формы. Согласие сразу на все скрытые от него рассылки трудно назвать конкретным и предметным. После поправки 2025 года подвал надёжнее развести на две галочки. Сейчас одна фраза соединяет согласие на обработку данных и согласие на рекламу, а первое закон требует оформлять отдельно.
Слов о подтверждении письмом в законе о рекламе нет. Есть обязанность доказать согласие адресата (ч. 1 ст. 18), а переход по ссылке из письма подтверждает доступ к указанному почтовому ящику. Он усиливает доказательство, но сам по себе не удостоверяет личность подписчика. Подтверждение в CS-Cart включается у каждого списка полем «Email подтверждения». Магазин выбирает письмо со ссылкой активации, и рассылки этого списка уходят только тем, кто по ней перешёл. Список, который CS-Cart создаёт сам при первой подписке, заводится без подтверждения.
Отписка тоже входит в закон. По требованию адресата рекламу прекращают немедленно (ч. 1 ст. 18 закона о рекламе, ч. 2 ст. 15 152-ФЗ). В письмах CS-Cart для этого есть подстановка ссылки отписки, её стоит держать в каждом шаблоне.
Регистрация, отзыв согласия и удаление данных
Данные остаются в личном кабинете и после заказа. На это хранение тоже распространяются сроки. Согласие можно отозвать (ч. 2 ст. 9). После отзыва оператор прекращает обработку и, если хранить данные для целей обработки больше не нужно, уничтожает их в течение 30 дней (ч. 5 ст. 21). На требование прекратить обработку отводится 10 рабочих дней, продлить можно ещё на пять с мотивированным уведомлением (ч. 5.1 той же статьи). В этой норме тоже есть исключения: например, обработку для исполнения договора можно продолжить.
Отзыв согласия не отменяет другие основания обработки. Если у покупателя есть неисполненный заказ, обработку можно продолжить на другом основании из пунктов 2–11 ч. 1 ст. 6, например для исполнения договора (ч. 2 ст. 9). Хранить данные можно не дольше, чем этого требуют цели обработки, если срок не задан федеральным законом или договором (ч. 7 ст. 5).
В списке клиентов CS-Cart есть действие «Анонимизировать» из того же модуля GDPR. Перед его применением проверьте, какие данные останутся в заказах, интеграциях и резервных копиях. Название действия само по себе не подтверждает исполнение требования об уничтожении. Уничтожением закон называет действия, после которых содержание данных нельзя восстановить, и отличает его от обезличивания (пп. 8 и 9 ст. 3 152-ФЗ). Уничтожение у подрядчика, которому поручена обработка, магазин тоже обязан обеспечить (ч. 5 ст. 21). Если уложиться в 30 дней нельзя, данные блокируют и уничтожают в срок не более шести месяцев (ч. 6 ст. 21). Адрес для таких запросов магазин указывает в политике и в тексте согласия, иначе покупатель пишет куда придётся, а срок идёт с момента получения.
Политика обработки данных: ссылка из каждой формы
Оператор, который собирает данные через интернет, публикует политику на тех страницах сайта, где идёт сбор (ч. 2 ст. 18.1 152-ФЗ). Ссылка в подвале есть на каждой странице, но форма во всплывающем окне подвал закрывает, поэтому ссылку ставят и рядом с галочкой. Перечислить в политике стоит данные, которые собирает сайт, сервисы, через которые они проходят, и сроки хранения. Расхождение с сайтом видно, если сравнить список сервисов в политике с тем, что загружает страница.
Что грозит за форму без согласия
Штрафы за нарушения с персональными данными собраны в ст. 13.11 КоАП. Суммы в таблице указаны для юридических лиц и проверены 30 октября 2026 года. Индивидуальный предприниматель по ч. 1 и 2 отвечает как должностное лицо, это до 100 000 и до 300 000 ₽ (примечание к ст. 2.4 КоАП).
Верхняя граница 700 000 ₽ относится к ч. 2, то есть к письменному согласию из ч. 4 ст. 9 152-ФЗ. Какую часть применят к конкретной форме, решают Роскомнадзор и суд. Для рекламы по сетям электросвязи без предварительного согласия есть специальный состав по ч. 4.1 ст. 14.3 КоАП. Штраф для юрлица составляет от 300 000 до 1 000 000 ₽; такие дела рассматривает ФАС.
За впервые совершённое нарушение, выявленное в ходе государственного контроля (надзора) или муниципального контроля, штраф заменяют предупреждением, если нет имущественного ущерба, угрозы чрезвычайных ситуаций, вреда и угрозы вреда жизни и здоровью людей, безопасности государства и другим объектам из ч. 2 ст. 3.4 КоАП (ч. 1 ст. 4.1.1). Статьи 13.11 в списке исключений из этого правила нет. Но одного факта первого нарушения недостаточно: должны выполняться все перечисленные условия. Если нарушение нашла прокуратура, прямого ответа в ст. 4.1.1 нет: норма называет государственный контроль (надзор) и муниципальный контроль, а прокурорский надзор не упоминает.
Cookie и счётчики — следующий шаг после форм
Галочки в формах касаются того, что посетитель вводит сам. Счётчики, пиксели, карты и видео собирают данные молча, с первой страницы. Штатный модуль CS-Cart по умолчанию работает в режиме «Неявное», и окно только сообщает, что сайт использует cookie. Режим «Явное» даёт выбрать сервисы. Наш модуль «Согласие на файлы cookie» от 9 900 ₽ делит cookie на четыре категории и работает в двух режимах. В строгом счётчики и пиксели запускаются только после согласия, в мягком работают до отказа. Если счётчику нужно согласие, подходит только строгий режим, потому что в мягком данные уходят раньше, чем посетитель что-то выбрал. Каждое решение посетителя модуль пишет в журнал вместе с редакцией политики. Цена зависит от редакции CS-Cart; установка оплачивается отдельно. Как баннер cookie влияет на статистику Метрики и какой режим выбрать, разобрали в статье «Баннер cookie и Яндекс Метрика».
Когда наша проверка не нужна
Если на сайте одна форма заявки на конструкторе и нет личного кабинета и рассылок, начните с самопроверки. По числу форм нельзя определить, есть ли на сайте нарушения. Чек-лист «Сайт и 152-ФЗ» на 40 пунктов лежит на странице услуги, на него уходит 2–3 часа.
Если юрист уже подготовил тексты согласия и политики, а магазин на CS-Cart, остаётся настройка: включить формы на вкладке «GDPR», вставить тексты в языковые переменные, у списков рассылки выбрать письмо подтверждения. С этим справится администратор магазина.
Наш отчёт технический: в нём видно, где сайт собирает данные без согласия и что поменять в коде и настройках, у каждой находки стоит норма. Юридическую оценку и ответ Роскомнадзору готовит юрист, отчёт ему в этом помогает.
Частые вопросы
Нужно ли согласие на обработку персональных данных при оформлении заказа?
Для доставки и оплаты заказа есть другое основание, договор с покупателем (п. 5 ч. 1 ст. 6 152-ФЗ). Для рекламных писем и звонков нужно предварительное согласие (ч. 1 ст. 15 152-ФЗ, ч. 1 ст. 18 закона о рекламе). Основание для аналитики и других целей вне заказа выбирают с юристом; выбор зависит от состава данных и способа их использования.
Как отозвать согласие и что магазин делает после отзыва?
Согласие можно отозвать в любой момент (ч. 2 ст. 9 152-ФЗ). Магазин прекращает обработку и в течение 30 дней уничтожает данные, если хранить их для целей обработки больше не нужно (ч. 5 ст. 21). Продолжить обработку можно только на другом основании, например пока исполняется договор.
Сколько действует согласие и сколько хранить запись о нём?
Срок действия называет сам текст согласия, для письменной формы закон прямо требует его указать (п. 8 ч. 4 ст. 9). Запись сохраняют для подтверждения основания обработки (ч. 3 ст. 9). Сколько хранить её после окончания обработки, 152-ФЗ прямо не говорит. Общее правило ч. 7 ст. 5: хранить данные не дольше, чем этого требуют цели обработки.
Нужно ли сайту письменное согласие?
Письменное согласие нужно там, где его прямо требует федеральный закон (ч. 4 ст. 9). В 152-ФЗ это, например, обработка специальных категорий данных и биометрии на основании согласия (ст. 10 и 11); в этих статьях есть и исключения, допускающие обработку без него. Имя, телефон, почта и адрес в форме заказа к таким категориям не относятся, для них хватает формы, которая позволяет подтвердить факт согласия (ч. 1 ст. 9).
Нужно ли согласие на распространение, если на сайте публикуются отзывы с именами?
Если по отзыву и подписи можно определить человека, публикация на витрине будет распространением данных (п. 5 ст. 3 152-ФЗ). Хватает ли для этого одного имени или ника, закон прямо не говорит: персональными данными он называет информацию об определённом или определяемом человеке (п. 1 ст. 3). Согласие оформляют отдельно (ч. 1 и 8 ст. 10.1), по требованиям Роскомнадзора (приказ от 24.02.2021 № 18), указывая реквизиты оператора, адрес страницы, цель, перечень данных и срок. Молчание согласием не считается; доказывать разрешение на публикацию придётся магазину (ч. 3 ст. 9 152-ФЗ).
Проверим формы и журнал согласий изнутри магазина
Проверка сайта на 152-ФЗ стоит 18 000 ₽ с НДС 5 % и занимает до 6 рабочих дней. Смотрим сайт снаружи и из панели управления: переключатели согласий, тексты за галочками, журнал, подписку, политику и подключённые сервисы. Вы получаете список находок с нормой у каждой, что исправить в каждой форме и смету, а результат разбираем на часовом созвоне с вами или вашим юристом.
Основные нормы 152-ФЗ, 156-ФЗ, закона о рекламе, Закона о защите прав потребителей и КоАП повторно проверены 30 октября 2026 года по текстам на consultant.ru. В тот же день сверены код CS-Cart 4.21.1 и цены на страницах услуги и модуля. Находки магазинов относятся к сентябрю 2026 года.
Материал подготовлен как технический обзор с правовыми пояснениями на 30 октября 2026 года. Юридические выводы для конкретного магазина делает его юрист. Основание обработки для каждой формы, тексты согласий и политики, ответ Роскомнадзору или ФАС готовит юрист магазина. Настройки CS-Cart и модули Cart-Power дают механизм: показать галочку, записать согласие, не запускать счётчики до выбора посетителя. Соответствие закону зависит от текстов, настроек и того, что магазин делает с данными.
Получите консультацию специалиста по вашему проекту
Получите консультацию специалиста по вашему проекту
Другие статьи этой категории