Персональные данные в форме обратной связи: согласие

Кратко

Форма обратной связи собирает персональные данные — как минимум имя и контакт — и на неё распространяется закон о персональных данных так же, как на любой другой сбор данных. Перед отправкой формы нужно получить согласие отдельным действием, а не подразумевать его по факту заполнения полей, и текст согласия обязан называть, кто собирает данные, зачем, какие именно и на какой срок. Тот же принцип действует и для персональных данных, которые компания хранит дальше в CRM, — см. Персональные данные клиентов в CRM: что требует 152-ФЗ.

Актуально на 23 сентября 2026 года.

Когда форма обратной связи требует согласия

Требует всегда, если форма собирает данные, по которым можно определить человека, — имя, телефон, email, а иногда и текст обращения (если в нём человек называет себя или свою ситуацию). Форма без единого текстового поля, кроме технического (например, только выбор темы из списка без контакта для ответа), под закон о персональных данных не подпадает — но тогда она и не работает как канал обратной связи, потому что ответить в ней некому. Вопрос о том, где вообще хранить такую переписку по закону РК, разобран отдельно — см. Закон РК о персональных данных: где хранить переписку.

Что должно быть в согласии по закону

Закон РК от 21 мая 2013 года № 94-V «О персональных данных и их защите» (ст. 8, п. 4) называет, что должно содержать согласие субъекта:

Если какого-то из применимых к вашей форме пунктов в тексте согласия нет, согласие неполное — формально оно не покрывает то, что форма реально делает с данными.

Как оформить согласие в форме: практический минимум

1. Отдельный чекбокс рядом с кнопкой отправки, не отмеченный заранее. Согласие должно быть действием человека, а не состоянием формы по умолчанию.
2. Текст со ссылкой на политику конфиденциальности, а не одна фраза «я согласен на обработку данных» без пояснения, что это значит.
3. Хранить факт согласия — дату, версию текста политики на тот момент — вместе с обращением, а не полагаться на то, что «раз отправил форму, значит согласился».
4. Указывать цель точно: «для обработки этого обращения и ответа по нему», а не расплывчато «для внутренних нужд компании».

Если обращения приходят через встраиваемый виджет на сайте, набор полей формы там обычно фиксирован разработчиком виджета (имя, email, тема, описание и похожие) и отдельного поля под чекбокс согласия конструктор виджета может не давать вовсе. В этом случае текст согласия со ссылкой на политику размещают в приветствии виджета или на самой странице сайта рядом с кнопкой открытия формы — так, чтобы человек увидел его до отправки, а не только после. Сам процесс создания такой формы описан в статье Как сделать форму обратной связи на сайте.

Пример текста согласия

Отправляя форму, я даю [Название компании] согласие на обработку указанных мной персональных данных (имя, телефон, email, текст обращения) для обработки этого обращения и ответа по нему на срок до достижения цели обработки, но не более [N] месяцев. Подробнее — в [Политике конфиденциальности].

Текст короткий, но называет все пять обязательных пунктов: кто, зачем, что именно, на какой срок и где читать подробности.

Частые ошибки

• Один чекбокс на согласие с обработкой и на подписку на рассылку сразу. Это два разных согласия с разной целью и, как правило, разным сроком действия — объединять их в одно некорректно, и субъект не может отозвать одно, не отозвав другое.
• Политика конфиденциальности написана не для этой формы. Общий текст, скопированный с другого сайта или из шаблона, обычно не совпадает с реальным перечнем полей формы и с тем, куда данные уходят дальше.
• Согласие не сохраняется отдельно от самого обращения. Если запись обращения позже удаляют (например, по регламенту хранения переписки), вместе с ней исчезает и единственное доказательство, что согласие вообще было получено.
• Форма собирает больше данных, чем названо в согласии. Например, поле «телефон» добавили в форму позже, а текст согласия не обновили — согласие формально не покрывает то, что реально уходит в базу.

Как проверить, что форма обратной связи законна

1. Откройте форму в браузере: чекбокс согласия не отмечен заранее, ссылка на политику конфиденциальности открывается и ведёт на текст, который описывает именно эту форму.
2. Заполните форму тестовыми данными и проверьте, что запись о согласии (дата, версия текста) сохраняется вместе с обращением, а не фиксируется только сам факт отправки формы.
3. Сверьте перечень полей формы с перечнем данных в тексте согласия — лишнее поле без упоминания в согласии превращает сбор в необоснованный по объёму.
4. Проверьте, куда физически уходят данные формы — на свой сервер или к внешнему провайдеру виджета, возможно за пределами Казахстана. Трансграничная передача требует отдельного упоминания в согласии.

Частые вопросы

Персональные данные в форме обратной связи — это обработка персональных данных по закону?

Да: имя, телефон или email в форме — персональные данные, и на их сбор распространяется закон о персональных данных так же, как на любой другой сбор, независимо от размера компании или формы бизнеса.

Что должна включать обработка персональных данных в форме обратной связи?

Цель сбора, точный перечень собираемых данных, срок действия согласия и, если данные передаются третьим лицам или за рубеж, — отдельное упоминание об этом (закон РК № 94-V, ст. 8, п. 4).

Нужна ли отдельная политика конфиденциальности для формы обратной связи?

Нужна политика, которая описывает именно эту форму — какие поля она собирает и зачем, а не общая политика сайта, скопированная без проверки соответствия реальным полям формы.

Связанные статьи

• Форма обратной связи или чат на сайте: что выбрать
• Настройка виджета
• Обращение субъекта персональных данных: как ответить
• Закон РК о персональных данных: где хранить переписку
• Как написать в техподдержку: образец обращения