29 января 2026 г.

Согласие на обработку персональных данных: что должен знать каждый

С 1 сентября 2025 года согласие на обработку персональных данных обязательно оформляется отдельным документом (не как часть договора, пользовательского соглашения, анкеты и т. п.). В нём должны быть чётко указаны все существенные условия.

Примерная структура согласия может включать следующие элементы:

«Я, [ФИО субъекта персональных данных], даю согласие [наименование или ФИО и адрес оператора] на обработку моих персональных данных: [перечень данных] в целях [указать цель, например, исполнения договора, рассылки, регистрации на сайте и т. д.]. Согласие включает следующие действия с данными: сбор, хранение, систематизацию, использование, передачу (если применимо) и иные операции, предусмотренные законодательством РФ. Срок действия согласия — с [дата] по [дата] (или «бессрочно», если срок не ограничен). Отзыв согласия возможен по [указать способ, например, письменному заявлению на адрес оператора или через личный кабинет на сайте].

Подпись: [дата]».

Обязательные сведения, которые должны содержаться в согласии согласно ст. 9 ФЗ «О персональных данных» (№ 152-ФЗ):

ФИО, адрес и данные документа, удостоверяющего личность субъекта персональных данных;
ФИО, адрес и данные документа, удостоверяющего личность представителя субъекта (если согласие даёт представитель), а также реквизиты документа, подтверждающего его полномочия;
наименование или ФИО и адрес оператора, получающего согласие;
цель обработки персональных данных;
перечень персональных данных, на обработку которых даётся согласие;
наименование или ФИО и адрес лица, осуществляющего обработку персональных данных по поручению оператора (если обработка будет поручена такому лицу);
перечень действий с персональными данными, на совершение которых даётся согласие (сбор, запись, систематизация, хранение, обновление, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение и др.);
срок, в течение которого действует согласие, а также способ его отзыва;
подпись субъекта персональных данных.

Важно учитывать:

нельзя объединять в одном документе несколько видов согласий для разных целей обработки данных;
для специальных категорий данных (здоровье, биометрия, религиозные взгляды и т. п.) требуется отдельное письменное согласие.

Отдельное согласие необходимо, если данные передаются третьим лицам. Если речь идёт о согласии на распространение персональных данных (то есть на их раскрытие неопределённому кругу лиц), то оно оформляется отдельно и должно соответствовать требованиям, установленным Роскомнадзором (Приказ от 24.02.2021 № 18).

Согласие должно быть конкретным, информированным, сознательным, предметным и однозначным.

Если требуется более детальное согласие (например, с указанием дополнительных действий с данными или уточнением способов обработки), шаблон можно расширить. Для специфических случаев (например, при работе с биометрией или передачей данных за рубеж) могут потребоваться дополнительные реквизиты.

Важно:

согласие должно быть дано добровольно, без принуждения;
нельзя использовать фразы типа «Нажимая кнопку, вы принимаете условия и даёте согласие на обработку данных» — это нарушает требования закона с 1 сентября 2025 года, которые направлены на обеспечение прозрачности и информированности субъекта данных;
для электронных форм согласия необходимо фиксировать факт согласия (дата, время, IP-адрес, текст в момент принятия).

Унифицированного бланка согласия не существует — каждый оператор разрабатывает форму самостоятельно, учитывая специфику своей деятельности.

Если человек категорически отказывается давать согласие на обработку персональных данных, оператор (организация или лицо, обрабатывающее данные) должен учитывать следующие аспекты:

Право субъекта данных на отказ. Согласно законодательству (ст. 9 ФЗ «О персональных данных» №152-ФЗ), предоставление персональных данных — право, а не обязанность субъекта. Он может отказаться от обработки данных ещё на первом этапе взаимодействия с оператором. При этом принуждать человека к предоставлению согласия незаконно.
Если согласие не получено, оператор не может обрабатывать персональные данные субъекта — вносить их в базы, хранить, передавать и т. д. Это может привести к невозможности предоставления услуг или выполнения определённых действий, которые требуют работы с данными. Например, при трудоустройстве отказ предоставить паспорт, СНИЛС и ИНН делает невозможным заключение трудового договора, подачу уведомлений в СФР и налоговый орган.
В ситуациях, когда отказ от предоставления данных влечёт конкретные негативные последствия для субъекта (например, невозможность получить услугу, компенсацию, исполнить права), оператор обязан в простой и понятной форме разъяснить эти последствия. Разъяснение должно быть сделано в письменной форме, с подписью сотрудника и субъекта данных. Важно, чтобы оно не носило характер угрозы или понуждения.

Случаи, когда согласие не требуется. Обработка данных без согласия возможна в строго определённых законом случаях (ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 ФЗ №152-ФЗ). К ним относятся, например:

участие в судебном или исполнительном производстве;
исполнение договора, стороной, выгодоприобретателем или поручителем, по которому выступает субъект данных;
ситуации, требующие немедленных действий для сохранения жизни и здоровья человека;
обработка обезличенных данных для статистических исследований;
деятельность государственных органов в рамках их компетенции и другие случаи.

Если отказ не влечёт для субъекта негативных последствий, разъяснение не требуется. В случае отказа оператор должен прекратить любые действия с данными, если нет иных законных оснований для их обработки и зафиксировать факт отказа в документах, чтобы избежать споров в будущем.

Обработка данных без согласия, если это обязательно по закону, может повлечь административную ответственность (штрафы для граждан, должностных лиц и юридических лиц).

В Федеральном законе №152-ФЗ «О персональных данных» (152-ФЗ) и практике его применения есть положения, которые регулируют возможность объединения нескольких целей обработки в одном согласии.

Ключевой момент заключается в форме согласия и контексте обработки данных. Согласно закону, возможность объединить несколько целей в одном согласии зависит от того, в какой форме оформляется согласие.

Если требуется письменная форма согласия (например, при обработке биометрических данных, передаче данных сторонним организациям или в HR-процессах), в таком согласии может быть указана только одна цель обработки персональных данных. Это позиция Роскомнадзора, закреплённая в ч. 4 ст. 9 152-ФЗ.

Иная форма согласия (электронная, подтверждение чекбоксом, через интерфейс приложения и т. д.), которая не требует письменной формы, позволяет объединять несколько целей в одном документе. При этом важно соблюдать принципы конкретности, понятности и логической связности целей. Каждая цель должна быть чётко сформулирована, субъект данных должен ясно понимать, что именно будет происходить с его данными, зачем это нужно и как может быть реализовано.

Пример допустимого объединения целей: при подборе кандидатов на вакантные должности согласие может охватывать обработку данных из резюме, проверку кандидата и включение его в кадровый резерв. Все эти действия подчинены единой цели — подбору персонала — и потому могут быть объединены в одном документе при условии прозрачной формулировки.

Важно учитывать исключения и ограничения:

Обработка персональных данных в маркетинговых целях (рекламные рассылки, участие в акциях, ретаргетинг и т. д.) требует отдельного согласия субъекта данных. Нельзя включать такие цели в общее согласие на услуги или объединять с другими целями.
Согласие на распространение данных. Если данные разрешены для распространения (то есть предоставления неограниченному кругу лиц), такое согласие оформляется отдельно от иных согласий на обработку персональных данных.
Специальные категории данных. Для обработки специальных категорий персональных данных (сведения о здоровье, биометрические данные, религиозные взгляды и т. п.) требуется письменное согласие, и здесь также действует правило одной цели на документ.

Таким образом, возможность давать согласие на несколько целей одновременно зависит от формы согласия и специфики обрабатываемых данных. Для корректного оформления необходимо учитывать требования закона и позицию регулятора.

Важно соблюдать баланс между соблюдением прав субъекта данных и требованиями законодательства. Если ситуация сложная или есть сомнения в правомерности действий, рекомендуется проконсультироваться с юристом.

2559 просмотров

Версия для печати