Оставлять чекбокс предзаполненным — ставить галочку автоматически — нежелательно. Пользователь может ее не заметить, а потом пожаловаться на спам.
Предзаполненный чекбокс не нарушает закон напрямую, но может привести к расследованию со стороны ФАС и штрафам. Дело в том, что контролирующие органы рассуждают примерно так: пользователь должен дать осознанное информированное согласие. Дать согласие — это действие. Значит, пользователь должен что-то сделать, чтобы его дать: например, поставить галочку. Поэтому правильнее оставить чекбокс пустым.
Согласие по умолчанию. В форме заказа нет отдельного чекбокса для согласия на рассылку. Но в пользовательском соглашении есть пункт о том, что клиент соглашается на получение рассылок. Когда пользователь заказывает услугу или товар на сайте, он автоматически (или также при помощи чекбокса) принимает пользовательское соглашение — и становится подписчиком.
В этом случае человек не дает осознанного согласия на подписку. В случае проверки со стороны ФАС, нужно будет доказать, что у пользователя была альтернатива, и он осознанно согласился получать рекламные письма. Если альтернативы не было (а сделать заказ или зарегистрироваться, не принимая пользовательское соглашение, нельзя), ФАС и суд воспримут это как отсутствие согласия.