Согласие на обработку персональных данных нужно не для любой операции. Сначала определите основание и цель, затем форму и доказательства волеизъявления. Ниже — реквизиты, образцы обычного согласия и согласия на распространение, а также порядок отзыва.
Когда согласие нужно, а когда нет
Обработка персональных данных допускается в случаях, перечисленных в ч. 1 ст. 6 закона № 152-ФЗ. Согласие субъекта — первое из них (п. 1), но далеко не единственное. Без согласия можно обрабатывать данные, в частности, если это необходимо для выполнения обязанностей, возложенных на оператора законом (п. 2), в связи с участием в судопроизводстве (п. 3), для исполнения договора, стороной которого является субъект, или для заключения договора по его инициативе (п. 5), для осуществления прав и законных интересов оператора или третьих лиц, если не нарушаются права субъекта (п. 7).
| Ситуация | Нужно ли согласие | Основание |
|---|---|---|
| Исполнение договора с клиентом-гражданином | Нет, если данные нужны для исполнения договора | п. 5 ч. 1 ст. 6 закона № 152-ФЗ |
| Заключение договора по инициативе клиента (заявка на услугу) | Нет, в пределах того, что нужно для заключения договора по инициативе клиента; если данные из заявки нужны и для других целей, на них нужно согласие | п. 5 ч. 1 ст. 6 |
| Обязанности по закону: налоговый, кадровый, воинский учёт | Нет | п. 2 ч. 1 ст. 6 |
| Передача данных работника третьим лицам | Да, письменное, кроме случаев, предусмотренных законом | ст. 88 ТК РФ |
| Публикация данных на сайте, в соцсетях, на доске почёта | Да, отдельное согласие на распространение | ст. 10.1 |
| Сведения о здоровье и другие специальные категории | Да, в письменной форме, если нет иного основания из закона | п. 1 ч. 2 ст. 10 |
| Биометрия для установления личности | Да, в письменной форме, кроме исключений из закона | ч. 1 ст. 11 |
| Рассылки, аналитика, маркетинговые цели | Как правило, да — других оснований для этих целей обычно нет | п. 1 ч. 1 ст. 6 |
Важный практический момент: если обработка основана на согласии, человек может его отозвать (ч. 2 ст. 9). Поэтому там, где есть другое законное основание, лучше опираться на него, а согласие брать только для целей, которые иначе не обосновать: рассылок, аналитики, публикации данных, передачи партнёрам.
Обязательные признаки согласия и правило «отдельного документа»
Субъект принимает решение о предоставлении данных и даёт согласие свободно, своей волей и в своём интересе. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 закона № 152-ФЗ). На практике это значит:
- Конкретное и предметное — с понятной целью и перечнем данных, а не «для любых целей, не противоречащих закону».
- Информированное — человек знает, кто оператор, что и зачем будет сделано с его данными, кому они будут переданы.
- Однозначное — выражено активным действием: подписью, отметкой в пустом чекбоксе, ответом «да» на прямой вопрос.
- Отдельное — оформлено отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Это требование введено законом от 24.06.2025 № 156-ФЗ и действует с 1 сентября 2025 года (ч. 2 ст. 7 этого закона); переходных положений о согласиях, полученных раньше, закон не содержит, и прямой обязанности переоформлять их он не устанавливает.
Согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, если федеральный закон не требует иного (ч. 1 ст. 9). Если согласие даёт представитель, оператор обязан проверить его полномочия. Обязанность доказать получение согласия или наличие иного основания лежит на операторе (ч. 3 ст. 9).
Когда нужно письменное согласие и что в нём указать
Письменное согласие требуется в случаях, прямо предусмотренных федеральным законом: например, для обработки специальных категорий данных, в том числе о здоровье (п. 1 ч. 2 ст. 10), биометрических данных для установления личности (ч. 1 ст. 11), для передачи данных работника третьим лицам (ст. 88 ТК РФ). Согласие в форме электронного документа, подписанного электронной подписью, равнозначно бумажному с собственноручной подписью (ч. 4 ст. 9).
Письменное согласие должно включать, в частности (ч. 4 ст. 9 закона № 152-ФЗ):
- ФИО, адрес субъекта, номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган;
- те же сведения о представителе и реквизиты доверенности — если согласие даёт представитель;
- наименование или ФИО и адрес оператора;
- цель обработки;
- перечень персональных данных;
- наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена;
- перечень действий с данными и общее описание способов обработки;
- срок действия согласия и способ его отзыва;
- подпись субъекта.
Для согласия на распространение данных — когда их публикуют для неограниченного круга лиц — действуют отдельные правила: оно оформляется отдельно от иных согласий, а субъект вправе установить запреты и условия на обработку (ст. 10.1). Молчание или бездействие не может считаться таким согласием ни при каких обстоятельствах (ч. 8 ст. 10.1).
Образец согласия на обработку персональных данных
Это заготовка письменного согласия: заполните её для конкретной цели и проверьте обязательные реквизиты части 4 статьи 9.
Я, [ФИО, адрес, данные удостоверяющего личность документа: номер, дата выдачи, орган], действуя [от своего имени / как представитель: ФИО, адрес, данные документа и основание полномочий], даю [наименование или ФИО оператора, адрес] согласие на следующих условиях.
Цель: [конкретная цель]. Данные: [закрытый перечень необходимых сведений]. Действия: [необходимые операции]. Способы: [автоматизированные / неавтоматизированные]. Обработчик по поручению, если привлекается: [наименование или ФИО, адрес]. Срок: [определённый срок или условие]. Отзыв: [адрес и порядок направления]. После отзыва обработка продолжается только при самостоятельном основании, предусмотренном законом. [Дата, подпись, расшифровка].
Не добавляйте паспортные и другие сведения там, где они избыточны для конкретного процесса. Форму сайта и обязательное письменное согласие проверяют отдельно. Необходимость письменной формы устанавливают по закону, а её состав — по части 4 статьи 9.
Политика — самостоятельный документ: подробнее о политике конфиденциальности сайта. Для рекламы проверяют отдельные основания, описанные в статье о согласии на рекламную рассылку.
Согласие на распространение: отдельный образец для публикации
Для открытого сайта, социальной сети или доски с доступом неопределённого круга лиц проверьте статью 10.1 закона № 152-ФЗ. Такое согласие оформляют отдельно от остальных согласий. Нужно дать человеку возможность определить перечень публикуемых сведений и условия. Отправка фотографии, молчание или обычное согласие на обслуживание сами по себе не подтверждают разрешение распространения.
Укажите ФИО и контакт субъекта; наименование, адрес и предусмотренные реквизиты оператора; конкретную цель публикации; ресурсы с адресами; категории и точный перечень разрешённых данных; устанавливаемые субъектом условия и запреты либо их отсутствие; срок действия. Добавьте необходимые по действующим требованиям сведения и способ подтверждения волеизъявления. Заполненные поля должны отражать реальное решение человека, а не заранее выбранное разрешение на все возможные сведения.
Условный пример. Компания публикует отзыв клиента на своём сайте. В согласии можно определить имя и текст отзыва, конкретный сайт и срок, не распространяя разрешение на телефон, паспорт и сведения о здоровье. Если затем материал хотят использовать в другом открытом канале, сначала проверяют охват согласия и иные затрагиваемые права. Сам факт получения отзыва в чате не даёт права публиковать всю переписку.
Оператор в установленный статьёй 10.1 срок публикует информацию об условиях обработки и ограничениях. Требование прекратить распространение имеет специальные правила: действие согласия прекращается с поступлением предусмотренного законом требования, а ситуации части 14 предусматривают отдельный срок прекращения передачи. Не подменяйте их общим советом «ждать тридцать дней после отзыва».
Для детских данных дополнительно проверяют представительство — подробнее в статье о согласии за ребёнка. Документы и фактический порядок публикаций можно проверить с юристом по персональным данным.
Отзыв согласия: что обязан сделать оператор
Субъект может отозвать согласие в любой момент. После отзыва оператор вправе продолжить обработку только при наличии других оснований — из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 закона (ч. 2 ст. 9). Если таких оснований нет и данные больше не нужны, оператор обязан прекратить обработку и уничтожить данные в срок не более 30 дней с даты поступления отзыва, если иное не предусмотрено договором с субъектом или соглашением с ним (ч. 5 ст. 21). Если человек требует прекратить обработку, оператор делает это в течение 10 рабочих дней, срок может быть продлён ещё на пять рабочих дней с мотивированным уведомлением (ч. 5.1 ст. 21).
Чтобы выполнять эти сроки, отзыв должен попадать к ответственному сотруднику, а не теряться в общей почте: назначьте адрес для отзывов, укажите его в тексте согласия и заведите журнал обращений.
Типичные ошибки при оформлении согласия
- Согласие спрятано в договоре, оферте или пользовательском соглашении — с 1 сентября 2025 года так нельзя.
- Одно согласие «на всё»: обслуживание, рассылки, передачу партнёрам и публикацию отзывов.
- Чекбокс отмечен заранее, или согласие считается данным самим фактом отправки формы.
- Нет срока действия и способа отзыва.
- Собирается больше данных, чем нужно для цели, — например, паспорт для обратного звонка.
- Не хранятся доказательства: кто, когда, на какой версии текста дал согласие.
- Согласие берут там, где есть другое основание, и после отзыва компания не может исполнять договор.
Как оформить согласия в компании: порядок действий
- Составьте карту обработки. Какие данные, у кого, для каких целей вы собираете — по клиентам, работникам, соискателям, посетителям сайта.
- Определите основание для каждой цели. Договор, закон, законный интерес или согласие.
- Подготовьте согласия только там, где они нужны. Отдельный документ или чекбокс на каждую цель, письменная форма — где этого требует закон.
- Настройте сбор доказательств. Подписанные экземпляры, журнал отметок на сайте, записи звонков.
- Назначьте порядок работы с отзывами. Адрес, ответственный, сроки 10 рабочих и 30 дней.
- Проверьте смежные документы. Политику обработки, уведомление в Роскомнадзор — как его подать, описано в статье об уведомлении в Роскомнадзор.
- Определите сроки хранения и уничтожения. И для самих данных, и для подписанных согласий.
Если в компании много потоков данных — сайт, CRM, кадры, партнёры, — разумно провести аудит и привести документы в порядок вместе с юристом по персональным данным. Общая картина обязанностей и штрафов для бизнеса — в статье «Персональные данные для бизнеса».
Проверим согласия и документы по персональным данным. Оставьте заявку на странице юриста по персональным данным или напишите нам в Telegram @lawyerchepik.
Если произошла утечка персональных данных у подрядчика, нужно разграничить роли оператора и обработчика, установить обстоятельства инцидента и проверить обязанности по уведомлению Роскомнадзора.
Частые вопросы
Можно ли включить согласие на обработку данных в договор или оферту?
Нет. Согласие должно быть оформлено отдельно от иной информации и документов, которые субъект подтверждает или подписывает (ч. 1 ст. 9 закона № 152-ФЗ в редакции закона от 24.06.2025 № 156-ФЗ, действующей с 1 сентября 2025 года). Пункт «подписывая договор, клиент соглашается на обработку данных» больше не работает. При этом для исполнения самого договора согласие часто и не нужно — есть основание из п. 5 ч. 1 ст. 6 закона.
Можно ли получить согласие по телефону или галочкой на сайте?
Да, если для конкретного случая закон не требует письменной формы: согласие может быть дано в любой форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9 закона № 152-ФЗ). Доказать получение согласия обязан оператор (ч. 3 ст. 9), поэтому записи звонков, журнал отметок с датой, временем и версией текста согласия нужно хранить. Галочка не должна стоять заранее, а текст согласия должен открываться отдельно от политики и пользовательского соглашения.
Нужно ли брать согласие у работников?
Для обработки данных в рамках трудовых отношений и обязанностей работодателя по закону согласие обычно не требуется — основание даёт п. 2 ч. 1 ст. 6 закона № 152-ФЗ. Письменное согласие нужно, например, для передачи данных работника третьим лицам, кроме случаев, предусмотренных законом, и для сообщения их в коммерческих целях (ст. 88 ТК РФ), а также для публикации данных работника на сайте — это согласие на распространение (ст. 10.1 закона).
Сколько хранить подписанное согласие?
Типовой срок хранения согласия на обработку персональных данных — 3 года после истечения срока его действия или отзыва, если иное не предусмотрено федеральным законом или договором (п. 441 Перечня типовых управленческих архивных документов, утв. приказом Росархива от 20.12.2019 № 236). Подробно о сроках — в статье о сроках хранения персональных данных.
Какой штраф за обработку данных без согласия?
Обработка без письменного согласия в случаях, когда оно обязательно, или с нарушением требований к составу сведений в письменном согласии — штраф для организаций от 300 000 до 700 000 ₽, для должностных лиц — от 100 000 до 300 000 ₽ (ч. 2 ст. 13.11 КоАП РФ). Повторное нарушение — для организаций от 1 до 1,5 млн ₽, для ИП — от 500 000 до 1 млн ₽ (ч. 2.1 ст. 13.11 КоАП РФ).
Обычное согласие разрешает публиковать отзыв с именем?
Не автоматически. Для распространения неопределённому кругу лиц проверяют статью 10.1 и отдельное согласие с перечнем данных, ресурсами, сроком и условиями. Получение отзыва в переписке не означает разрешения публиковать телефон и весь диалог.
Итог
Согласие на обработку персональных данных нужно не всегда: если данные обрабатываются для исполнения договора или выполнения требований закона, достаточно этого основания. Там, где согласие необходимо, оно должно быть конкретным, информированным и однозначным, а с 1 сентября 2025 года — оформленным отдельно от других документов. В случаях, указанных в законе, нужна письменная форма со всеми реквизитами ч. 4 ст. 9 закона № 152-ФЗ. Храните доказательства согласий и выстройте порядок работы с отзывами: оператор обязан прекратить обработку и уничтожить данные в установленные сроки.
Нормы сверены на 24 октября 2026 года по закону № 152-ФЗ «О персональных данных», КоАП РФ, Трудовому кодексу РФ и Перечню типовых управленческих архивных документов в действующих редакциях.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Кодекс РФ об административных правонарушениях (ст. 13.11)
- Трудовой кодекс РФ (глава 14, ст. 88)
- Приказ Росархива от 20.12.2019 № 236 (Перечень типовых управленческих архивных документов)
- Роскомнадзор — портал персональных данных
