Согласие на обработку персональных данных: полное руководство

С 1 сентября 2025 года правила согласия на обработку персональных данных изменились, и это касается практически каждого сайта и работодателя. Теперь согласие нельзя «зашивать» в договор, анкету или пользовательское соглашение: оно должно быть отдельным документом. Большинство шаблонов, которые компании годами вставляли в оферты и формы регистрации, этому требованию уже не соответствуют. Разберём, каким должно быть согласие сейчас, когда оно вообще нужно, как его отозвать и чем грозит формальное «галочка-согласие».

Сразу уточним важное: согласие это не единственное основание обработки, а лишь одно из них. Для данных сотрудников основанием служит трудовой договор, для клиентов — договор оказания услуг. Поэтому прежде чем готовить согласие, стоит проверить, нужно ли оно вообще именно в вашей ситуации. Подробно основания мы разбирали в материале о категориях субъектов и основаниях обработки.

Если коротко, главное на 2025 год: согласие оформляется отдельно от всего остального, оно должно быть конкретным и понятным, а согласие на обработку и согласие на распространение это два разных документа. Дальше по порядку.

Что изменилось с 1 сентября 2025 года

Федеральный закон №156-ФЗ от 24 июня 2025 года дополнил статью 9 закона 152-ФЗ ключевым требованием: согласие должно быть оформлено отдельно от иных документов и согласий, которые подписывает субъект. На практике это означает прямой запрет на «скрытые согласия», когда галочка «согласен на обработку персональных данных» спрятана в тексте договора, оферты или пользовательского соглашения вместе с десятком других условий.

Согласия, собранные до этой даты, остаются действительными, переоформлять их задним числом не нужно. Но все новые согласия — от клиентов, кандидатов, сотрудников — нужно брать уже по новым правилам, отдельным документом или отдельной самостоятельной формой.

Это изменение бьёт в первую очередь по типовым сайтам. Мы регулярно видим формы, где один обязательный чекбокс закрывает сразу всё: и оформление заказа, и согласие на обработку, и подписку на рассылку. После этих изменений такая конструкция уязвима: согласие, слитое с другими условиями, легко оспаривается как неотдельное. Минимальная переделка — развести действия: оформление заказа идёт по договору, а согласие на обработку и согласие на рассылку оформляются отдельными, самостоятельными элементами.

Каким должно быть согласие

Статья 9 требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Проще говоря, человек должен понимать, кто, какие его данные и для какой цели обрабатывает. Молчание или заранее проставленная галочка согласием не считаются — нужно активное действие субъекта. Факт получения согласия доказывает оператор, поэтому форму обязательно сохранять.

Когда закон требует письменного согласия, статья 9 устанавливает и обязательный состав сведений:

• ФИО, адрес субъекта и реквизиты документа, удостоверяющего личность (или данные представителя);
• наименование и адрес оператора;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых даётся согласие;
• перечень действий с данными и описание способов обработки;
• срок действия согласия и порядок его отзыва;
• подпись субъекта.

Электронный документ, подписанный электронной подписью, по юридической силе приравнивается к письменному. Готовые корректные формы удобно брать из подборки образцов документов по ПДн, а не составлять с нуля.

Когда письменное согласие обязательно

В большинстве бытовых ситуаций согласие можно получить в любой форме, позволяющей подтвердить факт его получения, например через явное действие на веб-форме. Но в ряде случаев закон прямо требует именно письменного (или равнозначного электронного) согласия:

• обработка специальных категорий данных (здоровье, взгляды, судимость) — подробнее в материале о специальных видах персональных данных;
• обработка биометрических персональных данных;
• трансграничная передача в страны без адекватной защиты прав субъектов;
• принятие решений, порождающих юридические последствия, только на основании автоматизированной обработки.

Согласие на обработку и согласие на распространение это разные документы

Частая ошибка — считать, что одно согласие закрывает всё. Если вы планируете не просто обрабатывать данные, а распространять их, то есть раскрывать неограниченному кругу лиц (например, публиковать отзывы с именами или выкладывать списки), нужно отдельное согласие на распространение по статье 10.1. Оно действует с 1 марта 2021 года и оформляется самостоятельно от обычного согласия на обработку.

Как отозвать согласие

Субъект вправе отозвать согласие в любой момент. После отзыва оператор обязан прекратить обработку и уничтожить данные в срок не более 30 дней, если для их обработки нет другого законного основания. Важная оговорка: если данные обрабатываются по иному основанию (например, по договору или в силу закона), отзыв согласия сам по себе не обязывает их немедленно удалить, обработка продолжается на этом другом основании. Порядок отзыва нужно заранее описать в самом согласии.

На практике именно отзыв вскрывает, было ли согласие настоящим основанием или лишним. Если компания взяла у сотрудника согласие «на всё», а потом он его отозвал, возникает тупик: кадровый учёт вести всё равно обязаны, но формальное основание человек убрал. Поэтому мы советуем опираться на согласие только там, где действительно нет другого основания, и не подменять им договор или требования закона.

Ответственность за нарушения

Нарушение требований к согласию наказывается по статье 13.11 КоАП РФ. Сюда попадает и обработка без надлежащего согласия там, где оно обязательно, и несоблюдение нового правила об отдельном оформлении. Распространённый миф о «штрафе 20 миллионов за недействительное согласие» некорректен: самые крупные суммы по этой статье (миллионы рублей) приходятся на утечки данных и нарушение локализации, а не на форму согласия. Тем не менее формальное, слитое с офертой согласие — это реальный риск претензий, особенно после сентябрьских изменений. Полнее о составах и суммах мы писали в обзоре о обязанностях оператора и уведомлении в Роскомнадзор.