Обработка персональных данных (ПДн) — это одна из самых регулируемых сфер в российском праве․ Нарушение правил получения согласия влечет за собой серьезные штрафы, блокировки ресурсов и репутационные риски․ В этой статье мы подробно разберем, когда согласие обязательно, когда можно обойтись без него и как правильно его оформить с учетом актуальных изменений законодательства и практики Роскомнадзора на 2026 год․

Нормативная база: статья 9 и статья 6 ФЗ-152

Главным документом, регулирующим отношения в этой сфере, является Федеральный закон от N 152-ФЗ «О персональных данных»․

• Часть 1 статьи 9 устанавливает общее правило: обработка персональных данных допускается только при согласии субъекта персональных данных․
• Часть 2 статьи 6 и статья 11 содержат исчерпывающий перечень случаев, когда обработка допускается без согласия․

Важное изменение (156-ФЗ, поправка к ч․ 1 ст․ 9): Согласие на обработку персональных данных обязательно оформляется отдельно от договора, оферты, заявления на прием на работу и других документов․ «Скрытое» согласие в мелком шрифте в конце договора является нарушением закона;

Случаи, когда согласие НЕ требуется (Исключения)

Прежде чем просить подписать согласие, проверьте, не попадает ли ваша ситуация под исключения ст․ 6 и 11 ФЗ-152․ Обработка без согласия законна, если она необходима для:

1. Исполнения закона: осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п․ 2 ч․ 1 ст․ 6)․ Пример: передача данных в налоговую, ПФР, суды, полицию․
2. Исполнения договора: выполнения договора, стороной которого является субъект ПДн (п․ 3 ч․ 1 ст․ 6)․ Пример: доставка товара по адресу покупателя, расчет зарплаты сотруднику․
3. Жизненно важных интересов: защиты жизни, здоровья или иных жизненно важных интересов субъекта (невозможно получить согласие) (п․ 4 ч․ 1 ст․ 6); Пример: вызов скорой помощи, госпитализация без сознания․
4. Правовых прав: осуществления прав и законных интересов оператора или третьих лиц в целях правосудия, исполнения судебных актов, деятельности нотариусов/судебных приставов (п․ 5, 6 ч․ 1 ст․ 6)․
5. Журналистских/научных целей: обработки в журналистских, медиа, научных, литературных или иных творческих целях (при условии неразглашения ПДн) (п․ 7 ч․ 1 ст․ 6)․
6. Статистических/научных целей: обработки обезличенных данных (п․ 8 ч․ 1 ст․ 6)․
7. Опубликованных субъектом данных: если субъект сам сделал свои данные общедоступными (п․ 2 ст․ 11)․ Важно: это не отменяет требований по защите прав субъекта․
8. Трудовых отношений: обработка данных сотрудников для исполнения трудового договора и трудового законодательства (ст․ 86 ТК РФ, п․ 3 ч․ 1 ст; 6 ФЗ-152)․

Когда согласие ОБЯЗАТЕЛЬНО (Основные сценарии бизнеса)

Если ваша цель не входит в список исключений выше, согласие нужно получать всегда․ Наиболее частые кейсы для коммерческих организаций:

Маркетинг и реклама (Рассылки, таргетинг, звонки)

Любая рассылка новостей, промо-кодов, предложений услуг, звонки по «холодной» базе, показ таргетированной рекламы в соцсетях/Яндексе на основе данных клиентов, требуют прямого, конкретного и осознанного согласия на получение рекламных коммуникаций․

Передача данных третьим лицам (Партнеры, подрядчики, маркетплейсы)

Если вы передаете данные клиентов курьерской службе (только для доставки, это исполнение договора, согласие не нужно), но также передаете их партнеру для совместных акций, страховой компании, банку для оформления рассрочки — нужно отдельное согласие на передачу третьим лицам с указанием их наименований или категорий․

Использование биометрии и специальных категорий данных

Обработка биометрических данных (лицо, отпечатки пальцев, голос), данных о расовой/национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни (ст․ 10, 11 ФЗ-152) требует письменного согласия (в бумажном виде или ЭЦП/ЭП)․ Простая галочка на сайте здесь не подойдет․

Автоматизированное принятие решений (Профилирование, AI/Нейросети)

Если вы используете алгоритмы для автоматического принятия решений, порождающих правовые последствия (одобрение/отказ в кредите, подбор тарифа, автоматический отбор резюме), субъект должен быть уведомлен и дать согласие на такую обработку․ Использование нейросетей не создает отдельного режима: если вы загружаете ПДн клиентов в ИИ-сервис для обучения или анализа — это обработка, требующая основания (согласия или иного основания ст․ 6)․

Работа с самозанятыми и фрилансерами

При заключении ГПХ-договоров с самозанятыми согласие нужно запрашивать не всегда․ Если вы передаете в налоговую только ФИО и ИНН для формирования чека — это исполнение закона․ Но если вы собираете портфолио, фото, отзывы, публикуете их на сайте или передаете заказчику — нужно отдельное согласие на публикацию и передачу․

Видеонаблюдение и контроль доступа

Установка камер на территории офиса/склада/магазина․ Если распознавание лиц не используется, достаточно информационных табличек («Ведется видеонаблюдение») и локального акта․ Если используется распознавание лиц (биометрия) — требуется письменное согласие сотрудников/посетителей․

Требования к форме и содержанию согласия (Ст․ 9 ФЗ-152)

Согласие должно быть свободным, конкретным, информированным и беззаветным․ Роскомнадзор обращает внимание на следующие обязательные реквизиты:

• ФИО/Наименование оператора (кто обрабатывает)․
• Цели обработки (конкретные: «рассылка новостей», «оформление заказа», «проведение опроса», а не абстрактные «для улучшения сервиса»)․
• Перечень данных (ФИО, телефон, email, адрес, паспорт, только то, что реально нужно)․
• Способы обработки (сбор, запись, хранение, передача третьим лицам, удаление и т․д․)․
• Срок действия согласия или условие его прекращения (например, «до отзыва» или «3 года после последнего заказа»)․ Бессрочное согласие допускается, но субъект может отозвать его в любой момент․
• Подпись субъекта (рукописная, ЭЦП, код из СМС/пуш-уведомления, галочка в ЛК — в зависимости от рисков и категории данных)․
• Информация о праве отзыва и порядке его осуществления․

Отдельное оформление (Критически важно!)

Согласно поправкам (156-ФЗ), согласие не может быть частью договора, оферты, заявления на прием на работу․ Оно должно быть представлено в виде отдельного документа (бумажного или электронного), который субъект рассматривает и подписывает/подтверждает осознанно․

Электронное согласие (Сайты, приложения, боты)

• Используйте непротиворечивые чек-боксы (не предзаполненные!)․
• Текст согласия должен быть доступен по ссылке рядом с чек-боксом․
• Фиксируйте факт согласия: IP-адрес, время, User-Agent, хэш документа согласия, версия текста․
• Для биометрии/спец․ категорий — только усиленная идентификация (Госуслуги, ЭЦП, биометрия в банке)․

Актуальные тренды и позиция Роскомнадзора (2024–2026 гг․)

Отказ от «массовых согласий» — отраслевые стандарты

Роскомнадзор активно продвигает инициативу по внедрению отраслевых стандартов обработки ПДн․ Идея: вместо того чтобы каждый бизнес придумывает свои тексты согласий и политики, отрасли (банки, ритейл, медицина, HR) разрабатывают единые стандарты․ Их соблюдение даст презумпцию добросовестности и упростит проверки․ Следите за приказами Роскомнадзора по утверждению таких стандартов для вашей сферы․

Уведомление Роскомнадзора

Помните: если вы обрабатываете ПДн, вы, скорее всего, обязаны уведомить Роскомнадзор о намерении обработки (реестр операторов)․ Исключения: обработка только по трудовому договору, данные получены из публичных источников субъектом и т․д․ (ст․ 22 ФЗ-152)․ Отсутствие уведомления в реестре — частая статья протокола․

Локализация данных (Ст․ 18 ФЗ-152)

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ обязательно должны осуществляться с использованием баз данных, находящихся на территории РФ․ Передача за рубеж (в т․ч․ в облачные ИИ-сервисы за границей) требует выполнения строгих условий (адекватная защита, согласие субъекта, договор с получателем)․

Банковские приложения и пуш-уведомления

Практика показывает: банки периодически запрашивают повторное согласие в приложениях․ Это связано с изменением целей обработки, подключением новых сервисов (страхование, инвестиции, маркетплейсы) или истечением срока действия старого согласия․ Пользователь имеет право отказать, банк обязан прекратить обработку для этих целей (но продолжает для исполнения договора счета/кредита)․

Риски некорректного оформления

Некорректное согласие — одна из главных причин штрафов (ст․ 13․11 КоАП РФ):

• Для юрлиц: от 60 000 до 18 000 000 руб․ (за повторные нарушения — до 500 000 руб․ или до 3% выручки)․
• Блокировка сайта/приложения по решению прокуратуры/суда за системные нарушения․
• Иски субъектов о компенсации морального вреда (суды все чаще взыскивают 10–50 тыс․ руб․ с человека за утечку/спам)․
• Репутационные потери и попадание в «черные списки» партнеров․

Чек-лист: Алгоритм действий оператора

1. Инвентаризация: Какие ПДн собираете? От кого? Для чего? Куда передаете? Где храните?
2. Классификация: Обычные / Специальные / Биометрические / Общедоступные․
3. Поиск основания: Для каждой цели обработки найдите основание: ст․ 6 (без согласия) или ст․ 9 (с согласием)․
4. Разработка форм: Создайте отдельные тексты согласий для каждой уникальной цели (маркетинг, передача партнерам, биометрия, сайт, офлайн)․
5. Техническая реализация: Внедрите сбор согласий на сайте/в приложении/на бумаге с логированием (кто, когда, какую версию подписал)․
6. Политика конфиденциальности: Опубликуйте на сайте актуальную Политику (ст․ 18․1 ФЗ-152) со ссылками на тексты согласий․
7. Уведомление РКН: Подайте уведомление в реестр операторов (если не подпадаете под исключения)․
8. Процесс отзыва: Настройте простой способ отзыва согласия (кнопка в ЛК, email DPO, форма на сайте) и процесс удаления/анонимизации данных при отзыве․
9. Аудит раз в год: Проверяйте актуальность текстов, сроки хранения, наличие уведомления в реестре․

Резюме

Согласие нужно получать всегда, когда нет прямого основания из статьи 6 или 11 ФЗ-152․ Главные ошибки бизнеса: «спрятанное» согласие в договоре, отсутствие версии согласия для аудита, сбор избыточных данных («на всякий случай»), игнорирование требования локализации при работе с облачными ИИ-сервисами․

Грамотная работа с персональными данными — это не только про избежание штрафов, но и про доверие клиентов и партнеров․ Внедряйте принцип Privacy by Design (приватность по умолчанию) на этапе проектирования продуктов, а не постфактум․

Данная статья носит информационный характер и не является юридической консультацией․ Для решения конкретных вопросов обратитесь к квалифицированному юристу по защите персональных данных․