В эпоху цифровизации персональные данные (ПДн) стали одним из самых ценных активов. Каждый день мы оставляем свои данные на сайтах, в приложениях, при оформлении документов в банках, клиниках и на работе. Понимание механизма согласия на обработку персональных данных и умение защищать свои права — необходимый навык современного гражданина и обязательное требование для любого бизнеса.

Статья 22 Конституции РФ гарантирует каждому право на тайну личной и семейной жизни, а Федеральный закон от № 152-ФЗ «О персональных данных» (далее, 152-ФЗ) устанавливает правовой режим их обработки. С 1 сентября 2025 года вступили в силу существенные изменения в оформлении согласия, а в 2026 году согласие стало ключевым элементом комплаенса по 152-ФЗ для предпринимателей, HR-специалистов и операторов данных.

Что такое согласие на обработку ПДн и когда оно обязательно

Согласно ст. 3 и ст. 9 152-ФЗ, согласие субъекта персональных данных — это любое свободное, конкретное, информированное и недвусмысленное выражение воли субъекта, которым он подтверждает свое согласие на обработку своих персональных данных.

Ключевые признаки валидного согласия (ч. 1 ст. 9 152-ФЗ):

• Свободное: не может быть условием заключения договора, если обработка не необходима для его исполнения (запрет «принудительного согласия»).
• Конкретное: должно относиться к определенным целям обработки, а не быть «общим» на всё сразу.
• Информированное: субъект должен знать, кто оператор, какие данные обрабатываются, цели, сроки и способы обработки.
• Недвусмысленное: выражается действием (подпись, галочка в чек-боксе, нажатие кнопки), однозначно подтверждающим волю.

Когда обработка БЕЗ согласия допускается (п. 2 ч. 1 ст. 6, ст. 10, ст. 11 152-ФЗ):

1. Для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей.
2. При исполнении договора, стороной которого является субъект ПДн (трудовой, гражданско-правовой).
3. Для защиты жизни, здоровья или иных жизненно важных интересов субъекта (если получение согласия невозможно).
4. Для осуществления правопорядчительной деятельности, правосудия.
5. Обработка данных, сделанных общедоступными самим субъектом.
6. Обработка в статистических или научных целях (при обезличивании).

Новые правила оформления согласия с 1 сентября 2025 года

Игнорирование новых требований несет риски штрафов (до 6 млн руб. за повторные нарушения по ст. 13;11 КоАП РФ) и блокировки ресурсов Роскомнадзором. Основные изменения касаются формы и содержания документа.

Обязательные реквизиты согласия (нов. ред. ч. 1 ст. 9 152-ФЗ):

• ФИО, адрес, ИНН/ОГРН оператора (или представителя).
• Цели обработки (не абстрактные «для улучшения сервиса», а конкретные: «для оформления заказа №…», «для рассылки новостей»).
• Перечень обрабатываемых данных (ФИО, телефон, email, паспорт, биометрия и т.д.).
• Способы обработки (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
• Срок действия согласия (календарная дата или событие: «до отзыва», «до исполнения обязательств по договору»). Бессрочное согласие недопустимо.
• Сведения о передаче третьим лицам (в т.ч. переграничной), наименования получателей или категории лиц.
• Право субъекта на отзыв согласия и порядок его реализации.
• Подпись субъекта (рукописная, ЭП, простая ЭП в ИС оператора) с датой.

Особенности электронного согласия (чек-боксы на сайтах/в приложениях):

С 2025 года Роскомнадзор жестко контролирует UX-паттерны (dark patterns):

• Чек-бокс не может быть предустановлен (pre-ticked).
• Текст согласия должен быть читаемым (шрифт не менее 12 пт, контрастный цвет) и доступным до нажатия кнопки «Согласен».
• Запрещено скрывать текст в свернутом виде («прочитать политику») без возможности прочтения полного текста согласия на том же экране.
• Кнопка «Отказаться» / «Настроить» должна быть равноценна по визуальному весу кнопке «Принять все».

Права субъекта персональных данных: как защитить себя

Ст. 18 152-ФЗ предоставляет субъекту мощный арсенал прав. Знание их — ваш главный щит.

Основные права:

1. Право на доступ (п. 1 ст. 18): Получить информацию об обработке своих данных (цели, сроки, категории получателей, источник получения, логика автоматизированных решений). Оператор обязан предоставить ответ в течение 30 дней (п. 2 ч. 2 ст. 21 152-ФЗ).
2. Право на уточнение/блокирование/уничтожение (п. 4 ст. 18): Требовать исправления неверных данных, блокирования обработанных с нарушением закона или уничтожения данных, если цель достигнута/утрачена.
3. Право на отзыв согласия (ч. 2 ст. 9 152-ФЗ): Субъект может отозвать согласие в любой момент. Оператор обязан прекратить обработку и уничтожить данные в течение 7 рабочих дней (если иное не установлено законом/договором). Отзыв не имеет rétроактивной силы (прошлую обработку отменить нельзя).
4. Право на обжалование (п. 5 ст. 18): Жалоба в Роскомнадзор или в суд.

Алгоритм действий при нарушении прав:

1. Претензия оператору: Напишите официальное заявление (почта РФ с уведомлением, лично под роспись, через ЭДО/сайт оператора). Требуйте: предоставить информацию об обработке, удалить данные, прекратить рассылки. Сохраните копию и доказательство отправки.
2. Жалоба в Роскомнадзор: Если оператор игнорирует претензию (30 дней) или отказывает незаконно. Подается через Госуслуги, сайт РКН или почту. Приложите копии претензии и ответа (если есть). РКН проводит проверку, выносит предписание, штрафует.
3. Обращение в суд: Защита нарушенных прав (ст. 152 ГК РФ, ст. 18 152-ФЗ). Можно требовать:
   • Признание прав нарушенными.
   • Уничтожение данных / запрет обработки.
   • Возмещение морального вреда (суды взыскивают от 1 до 50 тыс. руб., в сложных случаях — больше).
   • Возмещение судебных издержек.

Специфические ситуации: работа, банки, медицина, дети

Трудовые отношения (HR-специалисты, обратите внимание):

• Для оформления трудового договора согласие на обработку основных данных (паспорт, СНИЛС, образование) не требуется (исполнение договора, ст. 10 152-ФЗ, ст. 86 ТК РФ).
• Согласие ОБЯЗАТЕЛЬНО для: биометрии (фото для пропусков, отпечатки пальцев), медосмотров (спец. оценка условий труда), рассылки корпоративных новостей, передачи данных страховщикам/негосударственным пенсионным фондам.
• Перевод кадровых документов в электронный вид не заменяет получение согласия там, где оно требуется законом.

Банковская сфера и КФХ (Кредитные истории):

Банки часто запрашивают данные третьих лиц ( поручителей, контактных лиц). Передача данных банку по договору займа не требует согласия заемщика о передаче своих данных банку (исполнение договора). Но если банк просит заемщика предоставить данные третьего лица (телефон супруга) — заемщик становится оператором в отношении данных супруга и должен получить его согласие.

Данные несовершеннолетних (ст. 10.1 152-ФЗ):

Обработка данных детей до 14 лет — только с согласия родителей/опекунов. Данные 14–18 лет — с согласия ребенка И родителей (если законом не установлено иное). С 2025 года требования к верификации возраста и получению родительского согласия в онлайн-сервисах ужесточены.

Биометрические данные (ФЗ-572 от , действует с 2025 г.):

• Обработка биометрии (лицо, голос, отпечатки) требует отдельного, письменного согласия (электронной формы с усил. ЭП или на бумаге).
• Запрещена обязательная биометрия для получения госуслуг (кроме получения паспорта/загранпаспорта в МФЦ).
• Право на отзыв согласия на биометрию реализуется через Госуслуги или МФЦ — оператор обязан удалить биометрию в течение 3 дней.

Практические рекомендации: чек-листы

Для субъектов ПДн (граждан):

• Читайте перед кликом. Не ставьте галочки «Я согласен на всё» в длинных политиках. Ищите отдельный чек-бокс «Согласие на обработку ПДн» с ссылкой на текст согласия.
• Используйте право на доступ. Раз в год направляйте запрос крупным операторам (банки, маркетплейсы, соцсети): «Предоставьте информацию о обрабатываемых обо мне данных».
• Отзывайте согласие. Перестали пользоваться сервисом? Напишите заявление на отзыв согласия и удаление данных (Art. 17 GDPR / ст. 9 152-ФЗ).
• Настройте приватность. В соцсетях и сервисах Google/Яндекс ограничьте видимость профиля, отключите персонализированную рекламу.
• Фиксируйте нарушения. Скриншоты предустановленных галочек, отсутствия текста согласия, спама после отзыва — доказательства для РКН и суда.

Для операторов (бизнес, ИП, НКО):

• Аудит согласий. Проверьте все формы сбора данных (сайт, приложение, бумажные анкеты, CRM, колл-центр) на соответствие требованиям с .
• Разделите цели. Не объединяйте «исполнение договора», «маркетинг» и «аналитика» в одно согласие. Сделайте гранулярные чек-боксы (обязательный для договора — отдельно, маркетинг — опционально).
• Автоматизируйте отзыв. В личном кабинете пользователя должна быть кнопка «Отозвать согласие / Удалить данные», работающая без звонков в поддержку.
• Вести Журнал учебы обращений субъектов. Обязателен по ст. 22 152-ФЗ. Фиксируйте дату поступления, суть, сроки и результаты исполнения.
• Локализация БД. Помните о требовании ст. 18 152-ФЗ (ч. 5): хранение БД с ПДн граждан РФ только на территории РФ (исключения — ст. 11, 11.1 152-ФЗ).
• Договоры с подрядчиками (передача третьим лицам). При передаче данных подрядчикам (колл-центр, доставка, IT-аутсорс) заключайте договоры о передаче ПДн (п. 2 ч. 2 ст. 9 152-ФЗ) с требованиями защиты и запретом суб-передачи без согласия.
• Обучение персонала. Менеджеры по продажам, HR, поддержка должны знать: что такое ПДн, когда спрашивать согласие, как реагировать на запрос «удалите мои данные».

Ответственность за нарушения в 2025–2026 гг. (ст. 13.11 КоАП РФ)

* Размеры штрафов актуальны на 2026 год. За повторные нарушения в течение года — дисквалификация должностных лиц до 3 лет.

Согласие на обработку персональных данных — это не просто формальная галочка, а юридический инструмент баланса интересов оператора и субъекта. Для граждан это гарантия контроля над цифровым следом; для бизнеса — условие легальной работы и репутационной безопасности.

Ключевые принципы 2026 года: прозрачность, гранулярность целей, простота отзыва, ответственность оператора. Нарушение этих принципов ведет к финансовым потерям, блокировкам и потере доверия клиентов.

Защитите свои права: читайте согласия, требуйте исполнения прав доступа и удаления, обращайтесь в Роскомнадзор и суд. Стройте комплаенс: аудируйте процессы, внедряйте Privacy by Design, обучайте сотрудников. В мире данных уважение к приватности — это новое конкурентное преимущество.

Данная статья носит информационно-образовательный характер и не является правовой консультацией. Для решения конкретных споров обратитесь к квалифицированному юристу по защите персональных данных. Нормативная база: Конституция РФ, 152-ФЗ, КоАП РФ, ГК РФ, Постановления Пленума ВС РФ, акты Роскомнадзора (в ред. на 2026 г.).