Форма обратной связи на сайте: что требует закон

Форма обратной связи, где посетитель оставляет имя и телефон или email, для закона ничем не отличается от формы заказа - разница только в названии кнопки. Обязательны три вещи: чекбокс согласия на обработку данных, рабочая ссылка на политику конфиденциальности и передача данных по https. Без чекбокса организации грозит штраф от 150 000 до 300 000 рублей по ч. 1 ст. 13.11 КоАП РФ, без доступной политики - от 30 000 до 60 000 рублей по ч. 3 ст. 13.11 КоАП РФ.

Денис держит небольшой автосервис и пару лет назад попросил подрядчика добавить на сайт простую форму «Есть вопрос - напишите нам»: имя, телефон, поле для сообщения. Записи на ремонт через сайт нет, корзины нет - Денис решил, что раз это не заявка на услугу, а просто форма для связи, закон её не касается. Разберём, что на самом деле требуется от такой формы и когда её действительно можно оставить как есть.

Что закон видит в форме, а не в её названии

Название формы на закон не влияет - значение имеет только то, что она собирает.

Форму можно назвать как угодно: «обратная связь», «есть вопрос», «напишите нам», «быстрая консультация». Для 152-ФЗ это не имеет значения. Закон смотрит на поля: как только форма просит имя, телефон или email, она начинает собирать персональные данные - сведения, по которым можно отличить одного человека от другого (п. 1 ст. 3 152-ФЗ, ред. от 26.07.2026). Табличка «форма обратной связи» рядом с полем «телефон» не превращает эти данные во что-то другое.

Обратная сторона того же правила - реже встречается, но существует. Форма из одного поля «напишите нам, что думаете» без имени и контакта персональные данные не собирает вовсе, и требования согласия к ней не применяются. Правда, ответить отправителю тогда тоже нельзя: без контакта сообщение уходит в пустоту, поэтому такие формы на практике редкость.

Промежуточный случай встречается чаще: форма просит только имя и текст сообщения, без телефона и почты. Имя само по себе тоже персональные данные, если рядом есть способ связать его с конкретным человеком - хотя бы контекст переписки на сайте. На практике такая форма почти всегда сопровождается полем для ответа: без контакта диалог не строится, а значит поле для связи почти наверняка добавится следующим шагом.

Денис был уверен, что «заявка» и «обратная связь» - разные по смыслу истории, и вторая безопаснее первой. Оказалось, что поле «телефон» в его форме работает ровно так же, как в форме заказа у соседнего интернет-магазина.

Что это значит для владельца: смотреть нужно не на надпись на кнопке, а на список полей формы - если там есть телефон, email или имя, дальше действуют те же правила, что и для формы заказа.

Нужна ли галочка согласия именно вашей форме

Раз поле с контактом решает дело, разберём саму галочку.

Для формы обратной связи, где человек сам добровольно оставляет контакт, чтобы получить ответ, согласие - обычное правовое основание для обработки: отдельного договора здесь ещё нет, обязанность из закона тоже не применяется. Согласие даётся свободно, своей волей и в своём интересе (ч. 1 ст. 9 152-ФЗ), и именно оно превращает сбор контакта из голого факта в законную обработку.

Форма Дениса собирает имя и телефон, но чекбокса под ней нет вовсе - подрядчик, судя по всему, решил, что раз это «просто обратная связь», согласие необязательно. С точки зрения закона это обычная форма без правового основания для обработки контактов, которые она собирает.

Что это значит для владельца: если форма добровольная и не выполняет уже заключённый договор, чекбокс согласия - не формальность для галочки, а единственное законное основание собирать то, что в ней написано.

Как оформить чекбокс, чтобы он реально работал

Мало поставить чекбокс - важно, как именно он сделан.

Согласие должно быть информированным и однозначным: человек видит текст согласия целиком до отправки формы, а не находит его постфактум в переписке, и сам отмечает галочку - она не должна стоять отмеченной по умолчанию (ч. 1 ст. 9 152-ФЗ). Это касается любой формы, независимо от количества полей в ней.

Та же часть закона требует другого: согласие оформляется отдельно от документов, которые человек подтверждает тем же действием на форме (ч. 1 ст. 9 152-ФЗ). Нельзя одной галочкой закрывать сразу согласие на обработку данных, подписку на рассылку и правила сайта - это три разных документа с разным назначением, и склеивать их в одну отметку рискованно именно для формы обратной связи.

Подробный разбор формулировки текста согласия и частых ошибок с одной галочкой на всё - в статье про согласие на обработку персональных данных. Для формы обратной связи правило то же самое: своя галочка, свой текст, ссылка на реальный документ.

Что это значит для владельца: чекбокс, который стоит отмеченным заранее или ведёт в никуда, юридически работает не лучше, чем его полное отсутствие.

Https - тоже требование закона, а не только техническая деталь

Помимо самой галочки, у закона есть требование к тому, как данные вообще уходят с формы.

Оператор обязан применять правовые, организационные и технические меры по обеспечению безопасности персональных данных (ч. 1 ст. 18.1 152-ФЗ). Форма, которая отправляет имя и телефон по обычному http, передаёт их открытым текстом - тот, кто перехватит трафик между посетителем и сервером, прочитает содержимое формы без всякого взлома. Это прямо расходится с обязанностью защищать данные при передаче.

Денис проверил свой сайт руками: адрес формы открывается с https, зелёный замок в браузере на месте. Здесь у него, как выяснилось, было в порядке - в отличие от чекбокса.

Что это значит для владельца: https на странице с формой - не про доверие браузера, а про прямую обязанность закона защищать то, что человек вводит в поля.

Ссылка на политику должна реально открываться

Третье требование касается не самой формы, а документа, на который она ссылается.

Оператор, который собирает данные через сайт, обязан опубликовать политику обработки персональных данных и обеспечить к ней свободный доступ (ч. 2 ст. 18.1 152-ФЗ). Формулировка «обеспечить доступ» означает: ссылка должна вести на отдельную страницу со своим адресом, а не на всплывающее окно без адреса и не на страницу, которая отвечает ошибкой. Подробный разбор ловушки со всплывающим окном - в статье про политику конфиденциальности в Тильде.

Что это значит для владельца: недостаточно, чтобы политика существовала где-то на сайте - ссылка на неё из формы обратной связи должна реально открываться и вести на нужный документ.

Сколько стоит каждое нарушение по отдельности

Чекбокс и ссылка на политику - разные требования закона, и штрафуют за них по-разному.

Суммы - потолок штрафа по каждой норме, а не гарантированный размер: конкретную цифру в пределах диапазона назначает не сайт и не сканер, а тот, кто рассматривает дело.

Что это значит для владельца: форма с обеими проблемами рискует не одним нарушением на выбор, а двумя независимыми составами сразу - решать их нужно по отдельности, а не искать одно общее исправление.

Что будет, если руки до формы так и не дошли

Дальше - о том, как это выглядит на практике, а не только в тексте закона.

Отсутствие или недоступность политики - отдельное нарушение по ч. 3 ст. 13.11 КоАП РФ: штраф для ИП - от 10 000 до 20 000 рублей, для организации - от 30 000 до 60 000 рублей. Это нарушение существует независимо от чекбокса: даже с идеальной галочкой под формой битая ссылка на политику остаётся отдельным риском. Повод для проверки Роскомнадзором чаще всего простой - жалоба человека, который заметил, что форма собрала его данные без объяснений.

У Дениса ни одной жалобы не было - вопрос всплыл случайно, когда он сам решил свериться с требованиями перед тем, как подключить к той же форме ещё и онлайн-запись на ремонт.

Что это значит для владельца: пока форма маленькая и обращений мало, отсутствие чекбокса или битая ссылка не бросаются в глаза - но санкция от количества обращений не зависит.

С чего начать

Денису для его формы хватило одного вечера: добавить отдельный чекбокс с текстом согласия, снять с него отметку по умолчанию и проверить, что ссылка под ним ведёт на реальную страницу политики, а не на пустое место.

Если на сайте есть любая форма с полем контакта, проверьте её бесплатно: сканер найдёт, стоит ли рядом с формой чекбокс согласия, открывается ли ссылка на политику конфиденциальности и уходят ли данные по https. У каждой находки - своя норма и, где предусмотрен штраф, его потолок. Проверка занимает около минуты и не требует регистрации. Форму обычно замечают в последнюю очередь - после каталога, после цен, после текстов про услуги, а именно она чаще всего решает, останется жалоба без ответа или дойдёт до Роскомнадзора.

Частые вопросы

Нужен ли чекбокс, если форма не для заказа, а просто чтобы написать вопрос?

Да, если в форме есть поле для имени, телефона или email. Закон не различает формы по названию кнопки - только по тому, какие данные они собирают.

Достаточно ли фразы «отправляя форму, вы соглашаетесь с обработкой данных» без отдельной галочки?

Нет. Согласие должно быть однозначным действием самого человека, а не автоматическим следствием нажатия кнопки отправки (ч. 1 ст. 9 152-ФЗ).

Что если в форме только email, без имени и телефона?

Email тоже персональные данные, если по нему можно связаться с конкретным человеком. Требования к согласию и защите такие же, как для формы с телефоном.

Нужен ли https, если форма отправляет данные не в базу, а на почту менеджера?

Да. Обязанность защищать данные при передаче не зависит от того, куда они уходят дальше - важен сам канал передачи от браузера посетителя до сервера.

Можно ли использовать одну галочку сразу для формы обратной связи и формы заказа?

Технически можно, если это одна и та же форма на одной странице. Если это разные формы на разных страницах сайта, у каждой должно быть своё согласие, а не общий текст на весь сайт - иначе сложно доказать, что человек, отправивший заявку на заказ, вообще видел галочку под совсем другой формой.

Форму делал подрядчик два года назад - кто отвечает, если там нет чекбокса?

Ответственность несёт оператор персональных данных - владелец сайта, а не подрядчик, который когда-то верстал форму. Договор с подрядчиком может распределить убытки между собой и владельцем, но перед Роскомнадзором отвечает тот, кто собирает данные.

Штрафуют ли за форму обратной связи отдельно от штрафа за отсутствие политики?

Да, это разные составы. Отсутствие чекбокса - нарушение по ч. 1 ст. 13.11 КоАП РФ, недоступная политика - по ч. 3 той же статьи. Форма может нарушать оба требования сразу или только одно из них.

Источники

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ст. 3, ст. 9, ст. 18.1 - КонсультантПлюс
• Кодекс РФ об административных правонарушениях, ст. 13.11 - КонсультантПлюс

Нормы сверены по действующим редакциям: 152-ФЗ - ред. от 26.07.2026, КоАП РФ - ред. от 04.07.2026.