Оформление согласия на обработку персональных данных (ПДн) — одна из ключевых обязанностей оператора в соответствии с Федеральным законом № 152-ФЗ «О персональных данных». С 1 сентября 2025 года вступили в силу существенные изменения, устанавливающие новые жесткие требования к форме и содержанию этого документа. Нарушение правил ведет к серьезным административным штрафам (ст. 13.11 КоАП РФ) и рискам блокировки ресурсов Роскомнадзором.

В данной статье подробно разбираем актуальные требования законодательства, структуру правильного согласия, распространенные ошибки и предоставляем универсальные образцы для различных ситуаций.

Ключевые изменения с : что нужно знать

Федеральный закон от № 272-ФЗ внес поправки в ст. 9 Закона № 152-ФЗ. Основные нововведения:

• Обязательная письменная форма. Согласие должно быть оформлено в виде отдельного документа (на бумажном носителе или в форме электронного документа с использованием ЭЦП/ЭОС). Нельзя «зашивать» согласие в текст договора, оферты, трудового договора или заявления на прием на работу.
• Запрет на объединение. Недопустимо получение одного согласия на обработку ПДн для разных целей, если эти цели не связаны между собой напрямую (например, одно согласие на кадровик, маркетинг и видеонаблюдение — недопустимо).
• Детализация целей. Цели обработки должны быть сформулированы конкретно и однозначно (не «для нужд организации», а «для оформления трудового договора», «для расчета заработной платы», «для рассылки новостей по email»).
• Перечень действий. В согласии должен быть перечислен конкретный перечень действий с ПДн, на которые дается согласие (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
• Срок действия и порядок отзыва. Обязательно указание срока действия согласия (или условия его прекращения) и процедуры отзыва субъектом ПДн.
• Передача третьим лицам. Если планируется передача данных контрагентам (бухучет, медосмотры, доставка, CRM-системы), их необходимо перечислить (или определить категории получателей) прямо в тексте согласия.
• Трансграничная передача. Если данные передаются за рубеж (облачные сервисы, зарубежные подрядчики), требуется отдельное выделенное условие со страной назначения и основанием передачи.

Обязательная структура согласия (чек-лист по ст. 9 152-ФЗ)

Любой образец согласия должен содержать следующие реквизиты:

1. Сведения об операторе: Полное наименование (ИП/ООО), ИНН, ОГРН(ИП), юридический адрес, контактные данные (телефон, email для связи по вопросам ПДн).
2. Сведения о субъекте ПДн: ФИО, дата рождения, паспортные данные (серия, номер, кем выдан, когда), адрес регистрации/проживания, контакты (телефон, email).
3. Цели обработки: Конкретный перечень (п. 3 ст. 9 152-ФЗ).
4. Категории обрабатываемых ПДн: Какие именно данные обрабатываются (ФИО, контакты, паспорт, СНИЛС, ИНН, банковские реквизиты, биометрия, фото, данные о здоровье и т.д.). Важно: для специальных категорий (раса, здоровье, интимная жизнь) и биометрии требуется отдельное письменное согласие.
5. Перечень действий с ПДн: Полный или частичный список из ст. 3 152-ФЗ, релевантный для данной цели.
6. Срок действия согласия: Конкретная дата или событие (например, «до прекращения трудовых отношений и погашения всех обязательств», «3 года с момента последнего заказа»). Бессрочное согласие не рекомендуется.
7. Порядок отзыва: Текст: «Согласие может быть отозвано субъектом ПДн или его представителем путем направления письменного уведомления Оператору по адресу: [адрес/email]. Отзыв влечет прекращение обработки и уничтожение данных в срок не позднее 30 дней (если иное не установлено законом)».
8. Сведения о передаче третьим лицам: Наименования/категории получателей и цели передачи.
9. Сведения о трансграничной передаче (если есть): Страна, основание, меры защиты.
10. Подпись субъекта ПДн: Личная подпись (на бумаге) или усиленная/неквалифицированная ЭЦП (в электронном виде) с расшифровкой (ФИО, дата).
11. Дата составления.

Типовые ошибки, за которые штрафуют

• Согласие «в придачу» к договору. Даже если в договоре есть пункт «Я согласен на обработку», это не снимает обязанности оформить отдельный документ.
• Общие фразы-«резиновые» цели. «Для улучшения качества сервиса», «для целей, предусмотренных законом», «для легитимных интересов оператора» — такие формулировки признаются несоответствующими закону.
• Отсутствие перечня действий. Фраза «соглашаюсь на обработку» без перечисления операций (сбор, хранение, передача и т.д.) недействительна.
• Игнорирование передачи третьим лицам. Передача данных в 1С, почтовые службы, СЭД, колл-центры без упоминания в согласии — нарушение.
• Отсутствие процедуры отзыва. Субъект должен знать, как и куда написать, чтобы забрать свои данные.
• Электронное согласие без идентификации. Простая галочка на сайте («Я соглашаюсь») без авторизации пользователя (Госуслуги, СМС-код, ЭЦП) не считается достоверным подтверждением воли субъекта для значимых операций.

Образец 1: Согласие сотрудника (кадровое назначение)

Используется при приеме на работу, оформлении командировок, больничных, доступа к СКУД и т.д. Рекомендуется оформлять отдельными согласиями для разных блоков задач (кадровый учет, охрана труда, корпоративная почта/доступы).

Образец 2: Согласие клиента / покупателя (сайт, офлайн, CRM)

Для интернет-магазинов, сервисов, розницы. Важно разделять согласие на исполнение договора (доставка, оплата) и маркетинг (рассылки).

Образец 3: Согласие при сдаче лома (специфика ФЗ-89 и 152-ФЗ)

Актуально для пунктов приема ВТ/ЧМ. Требуется идентификация гражданина (паспорт) и фиксация согласия на передачу данных в ГИС «Вторичные ресурсы» (если применимо) и налоговый учет.

Электронное согласие: как сделать правильно

Для сайтов и приложений простое нажатие кнопки «Я согласен» (uncheckbox) не соответствует требованиям ст. 9 152-ФЗ к письменной форме, если не обеспечена надежная идентификация пользователя.

Допустимые способы получения электронного согласия:

• Усиленная квалифицированная ЭЦП (КЭП) — золотой стандарт. Подходит для Госуслуг, ЭДО, банковских приложений.
• Неквалифицированная ЭЦП (простая ЭП) — по соглашению сторон (ст. 6 63-ФЗ). Используется в корпоративных СЭД, личных кабинетах клиентов после авторизации по СМС/пуш/биометрии. Ключ: должен быть выдан Оператором и однозначно привязан к конкретному физлицу (проверка паспорта при регистрации).
• Авторизация через ЕСИА (Госуслуги) — считается достоверным подтверждением воли.
• СМС-код / Пуш-код в приложении — допустимо, если процесс регистрации включал верификацию паспорта (KYC) или если это действие в рамках уже заключенного договора (подтверждение заказа, вход в ЛК).

Важно: В логах системы должно фиксироваться: кто (ID пользователя), что именно подписал (хэш текста согласия), когда (timestamp), каким способом (ЭЦП/СМС/ЕСИА), IP-адрес.

Особенности обработки специальных категорий и биометрии

Если вы обрабатываете данные о здоровье (медосмотры, ДМС), расовой/национальной принадлежности, политических взглядах, интимной жизни или биометрические данные (фото для распознавания, отпечатки пальцев, голос):

• Требуется отдельное письменное согласие (нельзя объединить с основным).
• В нем должно быть прямо указано: «Даю согласие на обработку моих специальных категорий персональных данных (данных о здоровье / биометрических данных)».
• Для биометрии (ст. 11 152-ФЗ) обязательно уведомление субъекта о цели, сроке хранения биометрии и порядке ее уничтожения.

Хранение и учет согласий

Оператор обязан обеспечить возможность подтверждения факта получения согласия (ч. 2 ст. 9 152-ФЗ). Рекомендуемая процедура:

1. Нумерация и регистрация каждого согласия в журнале (электронном или бумажном).
2. Хранение оригиналов (бумажных) или электронных версий с ЭЦП в защищенном хранилище (СЭД, архив) в течение всего срока действия согласия + сроки хранения по закону (для кадров — 75 лет, для налога/буха — 5 лет, для розницы, 3-5 лет).
3. Связывание согласия с конкретными бизнес-процессами в Карте обработки ПДн и Локальном акте (Политике конфиденциальности).

Политика конфиденциальности vs Согласие: в чем разница?

Чек-лист проверки вашего образца перед внедрением

• [ ] Оформлен как отдельный документ (не часть договора)?
• [ ] Указаны полные реквизиты Оператора (ИНН, ОГРН, адрес, контакты ДПО)?
• [ ] Есть поля для заполнения всех паспортных данных субъекта?
• [ ] Цели сформулированы конкретно (без «и т.д.», «и иных целей»)?
• [ ] Перечислены категории ПДн (включая СНИЛС, ИНН, банковские реквизиты, если нужны)?
• [ ] Перечислены действия (сбор, хранение, передача, удаление и т.д.)?
• [ ] Указан конкретный срок действия или условие окончания?
• [ ] Описана понятная процедура отзыва (куда писать, в какой срок удалят)?
• [ ] Перечислены все получатели данных (ТК, банки, госорганы, подрядчики IT)?
• [ ] Есть блок про трансграничную передачу (даже если «не производится»)?
• [ ] Предусмотрена строка для личной подписи с расшифровкой и даты?
• [ ] Для спецкатегорий/биометрии — отдельный документ?
• [ ] Соответствует ли текст Политике конфиденциальности на сайте?

С 1 сентября 2025 года подход «сделали один шаблон на все случаи и кладем в папку к договору» стал не просто устаревшим, а прямо незаконным. Операторам необходимо:

1. Провести аудит всех текущих форм согласий.
2. Разработать отдельные шаблоны для каждой уникальной цели обработки (Кадры, Клиенты/Договоры, Маркетинг, Видеонаблюдение/СКУД, Сдача лома/спец. отрасли).
3. Внедрить процесс подписания до начала обработки данных (не после).
4. Обеспечить учет и хранение оригиналов согласий.
5. Обновить Политику конфиденциальности на сайте в соответствии с новыми формами согласий;

Использование приведенных выше образцов как базы (с обязательной адаптацией под конкретные бизнес-процессы, программное обеспечение и перечень контрагентов) позволит минимизировать риски штрафов и претензий со стороны Роскомнадзора и судебных исков со стороны субъектов ПДн.

Данная статья носит информационный характер и не является правовой консультацией. Для подготовки окончательных документов, учитывающих специфику вашей организации, рекомендуется обратиться к юристу по защите персональных данных или ДПО (Специалисту по защите ПДн).