Обработка персональных данных для сайта компании как закрыть требования закона

Обработка персональных данных для сайта компании начинается с первой формы, в которую посетитель вводит имя, телефон или почту: с этого момента компания работает как оператор по 152-ФЗ. Минимальный комплект для сайта — опубликованная политика обработки, согласие на обработку персональных данных у каждой формы, уведомление Роскомнадзора до начала обработки и первичная запись данных в базы на территории России. С 1 сентября 2025 года согласие оформляется отдельно от иных документов, поэтому общая отметка «согласен с условиями и политикой» требование не закрывает. Если данные нужны для исполнения договора с посетителем, согласие не требуется; для рассылки, кадрового резерва или отзыва с фото нужно отдельное согласие, а для публикации данных на сайте — ещё и согласие на распространение.

В материале — состав обязанностей с нормами 152-ФЗ и штрафами по статье 13.11 КоАП, требования к тексту согласия, порядок подачи уведомления через портал Роскомнадзора и правила для хостинга, CRM, конструкторов форм и метрики. Отдельно разобраны данные соискателей из раздела вакансий и то, где персональные данные пересекаются с режимом коммерческой тайны. Сценарная таблица по типам сайтов, чек-лист самопроверки, образцы документов и ответы на частые вопросы — во второй половине статьи.

Какие требования 152-ФЗ распространяются на сайт компании

Оператором по пункту 2 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» считается тот, кто сам определяет цели обработки, состав данных и действия с ними. Для сайта это компания-владелец, даже если форму собрал фрилансер, а заявки хранятся у подрядчика: форма обратного звонка, заявка на расчёт, отклик на вакансию, личный кабинет, подписка. Хостинг-провайдер, разработчик CRM или сервис рассылок обрабатывают данные по поручению оператора (часть 3 статьи 6 152-ФЗ), а отвечает перед посетителем по-прежнему компания.

Сайт без форм тоже не всегда выходит из-под закона. Роскомнадзор относит cookie к персональным данным, если по ним можно идентифицировать пользователя или его действия, например когда подключены метрика и рекламные пиксели. Если счётчики принадлежат иностранным сервисам, ведомство ждёт от оператора упоминания трансграничной передачи в политике обработки.

Обязанности, которые возникают у владельца сайта, и санкции за каждую из них в редакции Федерального закона от 30.11.2024 № 420-ФЗ, действующей с 30 мая 2025 года:

Самые крупные суммы в таблице связаны с инфраструктурой, а не с текстами на сайте: база за рубежом и утечка из формы измеряются миллионами, неопубликованная политика — десятками тысяч рублей. Аудит сайта поэтому разумно начинать с вопроса, куда физически уходят данные из каждой формы и кто получает к ним доступ.

Согласие на обработку персональных данных на сайте: правила с 1 сентября 2025 года

Федеральный закон от 24.06.2025 № 156-ФЗ дополнил часть 1 статьи 9 152-ФЗ предложением: «Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». Норма действует с 1 сентября 2025 года и распространяется на согласия, полученные с этой даты. Для сайта это означает отдельный текст согласия, открывающийся по ссылке или во всплывающем окне, и отдельную отметку, не совмещённую с принятием оферты, пользовательского соглашения или политики.

Политика и согласие выполняют разные функции. Политика — документ оператора о том, как он обращается с данными. Согласие — волеизъявление посетителя, которое по части 1 статьи 9 должно быть конкретным, предметным, информированным, сознательным и однозначным. Отметка «я ознакомлен с политикой» подтверждает ознакомление и согласием не является. Предзаполненная галочка не подтверждает сознательного выражения воли, поэтому поле оставляют пустым до действия пользователя.

Форма согласия по общему правилу любая, позволяющая подтвердить факт его получения. Обязанность доказать, что согласие получено, по части 3 статьи 9 лежит на операторе. Для сайта это значит хранить не только заявку, но и запись о том, какую версию текста согласия посетитель отметил и когда.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Когда согласие у формы не требуется

Согласие — одно из оснований обработки, а не обязательный атрибут любой формы. Пункт 5 части 1 статьи 6 152-ФЗ допускает обработку без согласия, если она нужна для исполнения договора, стороной которого является субъект, или для заключения договора по его инициативе. Оформление заказа в интернет-магазине, запрос счёта, запись на оказание услуги укладываются в это основание. Как только те же данные идут на цели за пределами договора — рассылку, аналитику по клиентской базе, хранение резюме в кадровом резерве, — нужно согласие под каждую такую цель. Для рекламной рассылки дополнительно действует требование о предварительном согласии адресата по статье 18 Федерального закона «О рекламе», это отдельный режим и отдельная отметка.

Что указать в тексте согласия

Часть 4 статьи 9 перечисляет реквизиты письменного согласия. Согласие в форме электронного документа, подписанного электронной подписью, по той же норме равнозначно письменному. Для согласия у веб-формы паспортные данные посетителя не собирают: объём данных по части 5 статьи 5 соответствует цели, и паспорт ради обратного звонка избыточен. Остальные реквизиты из перечня переносятся в текст согласия полностью:

1. фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
2. те же сведения о представителе субъекта, если согласие даёт представитель;
3. наименование или фамилия, имя, отчество и адрес оператора;
4. цель обработки;
5. перечень персональных данных, на обработку которых даётся согласие;
6. наименование или фамилия, имя, отчество и адрес лица, обрабатывающего данные по поручению оператора, если обработка ему поручена;
7. перечень действий с персональными данными и общее описание используемых оператором способов обработки;
8. срок, в течение которого действует согласие, и способ его отзыва;
9. подпись субъекта.

На практике больше всего вопросов вызывают пункты 6 и 8. Если заявки попадают в облачную CRM или сервис рассылок, эти организации называются в согласии поимённо. Срок указывается конкретно, привязкой к цели или периодом, а способ отзыва — адресом или каналом, куда посетитель направит отзыв. При отзыве оператор прекращает обработку и уничтожает данные в срок не более 30 дней по части 5 статьи 21, если нет иного основания для обработки.

Согласие на распространение: отзывы, кейсы, страница команды

Публикация персональных данных на сайте — это распространение, и для него статья 10.1 152-ФЗ требует отдельного согласия, оформленного отдельно от иных согласий. Под норму попадают отзывы клиентов с именем и фотографией, кейсы с упоминанием физических лиц, страница «Команда» с ФИО, должностями и фото работников. В согласии на распространение субъект вправе установить запреты и условия: например, разрешить публикацию имени и запретить публикацию фамилии. Требования к содержанию такого согласия утверждены приказом Роскомнадзора от 24.02.2021 № 18. Молчание или бездействие субъекта согласием на распространение не считается.

Для страницы с сотрудниками это отдельный документ от согласия на обработку, которое работник подписывает при приёме. Согласие на распространение собирают до публикации, а при увольнении проверяют, не истёк ли его срок и не пора ли снять страницу.

Соберите текст согласия под свои цели и сроки

Документ, собранный под одну цель, не переносится на другую форму: для отклика на вакансию и для подписки на новости нужны разные согласия с разными целями, перечнями данных и сроками.

Политика обработки персональных данных: состав и место на сайте

Часть 2 статьи 18.1 152-ФЗ обязывает оператора, который собирает персональные данные через интернет, опубликовать документ, определяющий его политику обработки, и обеспечить к нему доступ средствами сети. Рабочий вариант — ссылка на политику в подвале каждой страницы и рядом с каждой формой. За неопубликованную политику часть 3 статьи 13.11 КоАП устанавливает штраф для юрлица от 30 000 до 60 000 рублей.

Структуру политики Роскомнадзор описал в рекомендациях от 31.07.2017. Документ включает общие положения, основные понятия, права и обязанности оператора и субъектов, цели сбора, правовые основания, объём и категории обрабатываемых данных, категории субъектов, порядок и условия обработки, порядок актуализации, исправления, удаления и уничтожения данных, ответов на запросы субъектов.

Типовая политика, скачанная с чужого сайта, ломается на целях и составе данных. В ней перечислены цели, которых у компании нет, и отсутствуют те, что есть: кадровый резерв из раздела вакансий, метрика, чат-бот, запись на вебинар. Сверка идёт по фактической обработке: список всех форм сайта, список сервисов, куда уходят данные, список cookie и счётчиков. Каждая строка этих списков находит отражение в политике. Запрос субъекта о его данных рассматривают в течение 10 рабочих дней с возможностью продлить срок на 5 рабочих дней с мотивированным уведомлением, поэтому в политике указывают адрес, по которому такой запрос принимается.

Внутренние документы, без которых политика не работает

Часть 1 статьи 18.1 перечисляет меры, которые оператор принимает сам: назначение ответственного за организацию обработки персональных данных, издание политики и локальных актов по вопросам обработки, внутренний контроль, оценку вреда, который может быть причинён субъектам, и ознакомление работников с требованиями закона и локальными актами. Порядок оценки вреда утверждён приказом Роскомнадзора от 27.10.2022 № 178. Ответственный назначается приказом, его полномочия описаны в статье 22.1 152-ФЗ, а сведения о нём указываются в уведомлении Роскомнадзора.

Мария Ж, руководитель HR-отдела: «Хранение персональных данных — вопрос, за который отвечает конкретный человек и по которому бывают проверки. Поэтому ответственного назначают приказом с первого дня обработки, а не после запроса инспектора. Проверьте, чья фамилия стоит в приказе и в уведомлении Роскомнадзора и совпадает ли она.»

Уведомление Роскомнадзора об обработке персональных данных

Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки. После изменений 2022 года исключения из этой обязанности сузились до узкого перечня, например обработки без средств автоматизации, поэтому компания с формой на сайте и кадровым учётом в 1С уведомление подаёт. До 30 мая 2025 года отсутствие уведомления почти не имело денежных последствий, с этой даты часть 10 статьи 13.11 КоАП предусматривает штраф для юрлица от 100 000 до 300 000 рублей.

Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. В ней указывают наименование и адрес оператора, цели обработки, категории данных и субъектов, правовые основания, перечень действий и способы обработки, меры защиты, сведения об ответственном, дату начала обработки и условия её прекращения. Заполняется электронная форма уведомления на Портале персональных данных Роскомнадзора: там же видны поля, которые обязательно заполнить, и после регистрации оператор появляется в реестре.

Как подать уведомление в Роскомнадзор: пошаговая инструкция

1. Шаг 1. Составьте перечень процессов обработки: формы сайта, cookie и метрика, клиентская база, кадровый учёт, соискатели. По каждому процессу выпишите цель, категории субъектов, состав данных и правовое основание.
2. Шаг 2. Уточните, где хранятся базы и кому передаются данные: хостинг, CRM, сервис рассылок, иностранные счётчики. Если есть трансграничная передача, подготовьте отдельное уведомление по статье 12 152-ФЗ: оно подаётся до начала такой передачи.
3. Шаг 3. Заполните электронную форму уведомления на Портале персональных данных, указав сведения об ответственном из приказа о его назначении и меры защиты, которые фактически приняты.
4. Шаг 4. Направьте уведомление: в электронном виде с усиленной квалифицированной электронной подписью руководителя либо распечатанным и подписанным в территориальный орган Роскомнадзора.
5. Шаг 5. Проверьте, что компания появилась в реестре операторов, и сверьте внесённые сведения с политикой, опубликованной на сайте.
6. Шаг 6. При изменении сведений, например при новой цели или новом сервисе, подайте уведомление об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений; при прекращении обработки — в течение 10 рабочих дней.

Уведомление, политика и тексты согласий описывают одну и ту же обработку. Расхождение между ними — первое, что видно при сверке, поэтому все три документа обновляют одновременно.

Хостинг, CRM, конструкторы форм и метрика: локализация и поручение обработки

Часть 5 статьи 18 152-ФЗ требует, чтобы при сборе персональных данных граждан России, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение шли с использованием баз данных на территории России. Для сайта это проверяется по маршруту заявки: если форма собрана в иностранном конструкторе и первая запись создаётся на его серверах за рубежом, нарушение есть, даже если потом заявка копируется в российскую CRM. Штраф по части 8 статьи 13.11 КоАП для юрлица — от 1 000 000 до 6 000 000 рублей, за повторное нарушение по части 9 — от 6 000 000 до 18 000 000 рублей.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Каждый внешний сервис, получающий данные из форм, обрабатывает их по поручению оператора. Часть 3 статьи 6 требует оформить поручение договором, где указаны перечень действий, цели обработки, обязанность соблюдать конфиденциальность и требования к защите по статье 19. Сервис называют и в согласии, и в политике. Иностранные счётчики и пиксели, которые передают cookie за рубеж, — это трансграничная передача: она отражается в политике и требует отдельного уведомления Роскомнадзора по статье 12.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Вопрос, который я советую задавать поставщику любого облачного сервиса прямо: перечислите всех, кто получит доступ к данным. Нужна не фраза о том, что данные хранятся защищённо, а список лиц. Обычно в нём не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр, если сервис выдаёт подписи.»

Важный нюанс из практики: в опросе участников профессионального вебинара о выборе кадровой системы самым популярным критерием оказалось хранение персональных данных только на своих серверах, выше гибкости системы, стоимости и интерфейса. В практике Добыто тот же вопрос мы закладываем в перечень, который клиент сверяет до подключения: где физически хранятся данные, кто получает к ним доступ, есть ли разграничение доступа по ролям и журнал обращений, в каком виде отдаются документы при расторжении договора.

Данные соискателей и работников, которые приходят через сайт

Раздел вакансий с формой отклика превращает сайт в канал сбора данных соискателей. Резюме собирается под цель «рассмотрение кандидата на конкретную вакансию». Если после отказа резюме остаётся в кадровом резерве, это новая цель, для неё нужно согласие с конкретным сроком хранения. Без такого согласия резюме по достижении цели уничтожают в срок не более 30 дней по части 4 статьи 21.

Проверка кандидата и отдельное согласие

Проверка кандидата службой безопасности — самостоятельная обработка с собственной целью и собственным составом данных: документы, судимости, исполнительные производства, кредитная история, банкротство, прежние работодатели. Согласие на отклик через сайт её не покрывает. Кандидат подписывает отдельное согласие на проверку до начала проверки, и этап получения согласия стоит в процедуре вторым, сразу после приёма анкеты.

Важный нюанс из практики: соискатель ещё не работник, у него нет выданной работодателем подписи, а документ подписать нужно. Сервис государственных подписей решает эту задачу без выдачи ключей: неквалифицированная подпись доступна при наличии учётной записи на портале госуслуг, работник или соискатель получает документ в мобильном приложении и подписывает его или отказывается. Ограничения тоже есть: нужен смартфон, а квалифицированная подпись в приложении требует биометрического загранпаспорта.

Работники: кадровые документы в облаке и КЭДО

Кадровые документы содержат сведения о семье, здоровье, доходах. Когда компания переводит их в облачную систему КЭДО, провайдер становится третьим лицом, и работнику объясняют, кому передаются его данные. Переход на КЭДО по статье 22.2 ТК РФ дополнительно требует письменного согласия работника на взаимодействие в электронном виде: это отдельный документ от согласия на обработку персональных данных, и одно не заменяет другое.

Мария Ж, специалист по цифровой подписи и КЭДО: «Выбор облачного решения для кадровых документов — это не только технический выбор. Это ещё и обязанность собрать согласия на передачу данных третьим лицам и объяснить людям, кому именно вы их передаёте. Прежде чем подписывать договор, сверьте список лиц с доступом с тем, что написано в согласиях работников.»

В Добыто согласия работников подписываются в том же сервисе, что и остальные кадровые документы: ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а подписанный документ хранится в электронном архиве вместе с файлом подписи.

Образцы согласий и правил обработки персональных данных

Комплект закрывает кадровую часть обработки; начните с согласия на обработку персональных данных и сверьте его цели с формами на своём сайте.

Коммерческая тайна и персональные данные: где режимы пересекаются

Конфиденциальность персональных данных возникает в силу статьи 7 152-ФЗ и не зависит от того, введён ли в компании режим коммерческой тайны. Режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» устанавливает сам обладатель информации. По статье 10 98-ФЗ режим считается введённым после пяти мер: определён перечень информации, составляющей коммерческую тайну; ограничен доступ установлением порядка обращения с ней и контролем за его соблюдением; ведётся учёт лиц, получивших доступ; отношения с работниками и контрагентами урегулированы трудовыми и гражданско-правовыми договорами; на носители нанесён гриф «Коммерческая тайна» с указанием обладателя.

Клиентская база с заявками с сайта может входить в перечень коммерческой тайны. Тогда на одни и те же данные действуют оба режима: 152-ФЗ защищает интересы посетителя, 98-ФЗ — интересы компании, и работник, который выгрузил базу, отвечает и за разглашение тайны, и за нарушение порядка обработки. Работника знакомят с перечнем информации под подпись: без этого претензии к нему по 98-ФЗ не работают.

Статья 5 98-ФЗ перечисляет сведения, которые тайной быть не могут. Среди них — численность и состав работников, система оплаты труда, условия труда и наличие свободных рабочих мест. Сведения о вакансиях, опубликованные на сайте, под режим коммерческой тайны не подпадают.

Что проверить на сайте: сценарии, ошибки и чек-лист

Набор обязательных действий зависит от того, какие данные сайт собирает и куда их передаёт. Один и тот же комплект документов для визитки и для интернет-магазина с разделом вакансий либо избыточен, либо неполон.

Сайт-визитка без форм не освобождает компанию от статуса оператора: кадровый учёт и клиентская база существуют вне сайта, и уведомление Роскомнадзора подаётся по ним.

Ошибки, которые стоят дороже всего

• Одна отметка на всё. Согласие на обработку, согласие на рассылку и принятие оферты объединены в один чекбокс, чтобы не усложнять форму. С 1 сентября 2025 года это нарушение требования об отдельном оформлении: по части 2 статьи 13.11 КоАП — от 300 000 до 700 000 рублей, повторно — от 1 000 000 до 1 500 000 рублей.
• Бесплатный иностранный конструктор форм. Его выбирают из-за готовой интеграции и нулевой цены. Первая запись заявки идёт на зарубежный сервер: от 1 000 000 до 6 000 000 рублей по части 8 статьи 13.11, повторно — до 18 000 000 рублей.
• Уведомление «потом». Подачу откладывают, пока сайт не запущен полностью. Отсутствие уведомления с 30 мая 2025 года — от 100 000 до 300 000 рублей по части 10 статьи 13.11.
• Нет подтверждения согласия. Заявки хранятся, а запись о том, какую версию согласия и когда отметил посетитель, — нет. Обязанность доказать получение согласия лежит на операторе, и без записи обработка выглядит как обработка без согласия.

Мария Ж, судебный эксперт в сфере трудового права: «При проверке, при споре или при смене поставщика сервиса вам понадобится не картинка на экране, а файлы. Поэтому поставщику задают вопрос не о том, хранит ли система документы, а о том, выгружает ли она комплект целиком: сам документ, файл подписи и доверенность, если подписано по ней.»

Чек-лист проверки сайта

• Составлен перечень всех форм сайта с целью, составом данных и основанием по каждой.
• У каждой формы, где нужно согласие, есть отдельный текст согласия и пустая по умолчанию отметка, не совмещённая с офертой и политикой.
• В согласии названы оператор, цель, перечень данных, лица, обрабатывающие данные по поручению, действия, срок и способ отзыва.
• Хранится запись о версии согласия и дате его получения.
• Политика опубликована, доступна из подвала и от каждой формы и совпадает с фактической обработкой.
• Первая запись данных из форм создаётся в базе на территории России.
• С хостингом, CRM и сервисом рассылок заключены договоры поручения по части 3 статьи 6.
• Иностранные счётчики либо отключены, либо отражены в политике и в уведомлении о трансграничной передаче.
• Для отзывов, кейсов и страницы команды собраны согласия на распространение.
• Назначен ответственный за организацию обработки, проведена оценка вреда, работники ознакомлены с локальными актами.
• Компания есть в реестре операторов, сведения в уведомлении совпадают с политикой.
• Утверждён порядок действий при утечке с учётом сроков 24 и 72 часа.

Стоимость КЭДО для хранения согласий и кадровых документов с персональными данными

Стоимость зависит от численности сотрудников, нужных видов электронной подписи и требований к хранению: общий облачный контур или выделенный сервер.

Итоговая сумма считается от числа сотрудников и выбранного тарифа; при переходе на тариф выше разница пересчитывается пропорционально оставшемуся периоду. Состав функций и условия каждого варианта перечислены на странице тарифов Добыто КЭДО.

Выводы

Сайт компании закрывает требования 152-ФЗ, когда документы описывают реальный маршрут данных: какая форма что собирает, на каком основании, в какой базе делается первая запись и кто ещё получает доступ. Согласие теперь живёт отдельно от оферты и политики, уведомление Роскомнадзора подаётся до запуска обработки, а самые крупные санкции приходятся на локализацию и утечки, а не на тексты. Кадровый контур — резюме, проверка кандидатов, страница команды, кадровые документы — требует своих согласий с собственными целями и сроками.

Кадровую часть этой работы мы в Добыто переводим в электронный вид: согласия работников, ознакомление с локальными актами и подписанные документы хранятся в одном архиве вместе с файлами подписи и выгружаются комплектом для проверки.

Частые вопросы об обработке персональных данных на сайте

Что делать с согласиями, собранными на сайте до 1 сентября 2025 года?

Требование об оформлении согласия отдельно от иных документов, введённое 156-ФЗ, применяется к согласиям, полученным с 1 сентября 2025 года. Согласия, собранные раньше по действовавшим тогда правилам, сохраняют силу для заявленных в них целей. Если компания добавляет новую цель, новый сервис или расширяет состав данных, согласие собирают заново уже по новым правилам.

Сколько хранить данные из формы заявки?

Столько, сколько нужно для цели, ради которой они собраны. По части 4 статьи 21 152-ФЗ после достижения цели оператор прекращает обработку и уничтожает данные в срок не более 30 дней, если иное не предусмотрено договором с субъектом, согласием или федеральным законом. Срок хранения, указанный в согласии, должен совпадать со сроком в политике.

Можно ли получить согласие на обработку через электронную подпись?

Да. По части 4 статьи 9 152-ФЗ согласие в форме электронного документа, подписанного электронной подписью в соответствии с 63-ФЗ, равнозначно письменному согласию на бумаге. Это важно там, где закон требует именно письменного согласия, например для проверки кандидата или обработки специальных категорий данных: отметки в веб-форме для таких случаев недостаточно.

Что делать, если из формы на сайте утекли заявки?

По части 3.1 статьи 21 152-ФЗ в течение 24 часов с момента выявления оператор уведомляет Роскомнадзор об инциденте: предполагаемые причины, предполагаемый вред правам субъектов, принятые меры и контактное лицо. В течение 72 часов направляется уведомление о результатах внутреннего расследования и о лицах, чьи действия стали причиной инцидента, если они выявлены. За неуведомление юрлицо платит от 1 000 000 до 3 000 000 рублей по части 11 статьи 13.11 КоАП отдельно от штрафа за саму утечку.

Нужно ли согласие, если посетитель оставляет только e-mail для подписки?

Адрес электронной почты, по которому можно определить человека, — персональные данные. Подписка на новости не связана с исполнением договора, поэтому основанием служит согласие с целью «направление информационной рассылки», сроком и способом отзыва. Если рассылка рекламная, дополнительно нужно предварительное согласие адресата по статье 18 Федерального закона «О рекламе», и оформляется оно отдельно от согласия на обработку персональных данных.

Можно ли отказать посетителю в обслуживании, если он не дал согласие на рассылку?

Нет, если рассылка не нужна для исполнения договора. Согласие по статье 9 152-ФЗ должно быть свободным, а обязательная отметка на рассылку при оформлении заказа делает его вынужденным. Форму строят так, чтобы заказ или заявка отправлялись без отметки о рассылке, а согласие на неё оставалось добровольным.