Согласие на обработку персональных данных (СПД) — это ключевой документ, регулирующий отношения между субъектом персональных данных (физическим лицом) и оператором (организацией, ИП, госорганом) в соответствии с Федеральным законом № 152-ФЗ «О персональных данных». Грамотно составленное заявление защищает права гражданина и обеспечивает законность деятельности бизнеса или госструктуры.

Что такое СПД и когда оно требуется

Согласно ст. 3 Закона № 152-ФЗ, обработка персональных данных, это любое действие (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение), совершаемое с использованием средств автоматизации или без таковых.

Согласие субъекта ПД необходимо во всех случаях, кроме тех, что прямо указаны в ст. 6 Закона № 152-ФЗ (исполнение закона, договора, защита жизни/здоровья, статистические цели в обезличенном виде и др.).

Основные ситуации, требующие получения письменного согласия:

• Трудоустройство и ведение кадрового делопроизводства (работодатель — оператор).
• Оформление кредитов, банковских счетов, страховых полисов.
• Медицинское обслуживание (ЛПУ, частные клиники).
• Образовательные учреждения (школы, вузы, курсы).
• Маркетинговые рассылки, программы лояльности, CRM-системы.
• Видеонаблюдение на территории организации (если распознаются лица).
• Передача данных третьим лицам (аутсорсинг, колл-центры, логистика).

Обязательные реквизиты согласия (ст. 9 Закона № 152-ФЗ)

Закон устанавливает жесткий перечень сведений, которые обязательно должны содержаться в согласии. Отсутствие хотя бы одного пункта делает документ недействительным.

1. ФИО, адрес места жительства (пребывания), паспортные данные субъекта персональных данных (или данных представителя).
2. Наименование и адрес оператора (юридического лица или ИП), который будет обрабатывать данные.
3. Цель обработки персональных данных (конкретная, а не общая фраза «для нужд организации»).
4. Перечень персональных данных, на обработку которых дается согласие (ФИО, телефон, email, СНИЛС, ИНН, биометрия, фото и т.д.).
5. Перечень действий с данными, которые разрешаются (сбор, запись, хранение, передача третьим лицам, уничтожение и т.д.).
6. Срок действия согласия или условие его прекращения (например, «до достижения цели обработки» или конкретная дата).
7. Подпись субъекта ПД (или представителя) с расшифровкой и датой.
8. Информация о представителе (если согласие дает законный представитель несовершеннолетнего/недееспособного): ФИО, паспорт, документ, подтверждающий полномочия (свидетельство о рождении, решение суда/опеки).

Важно: Если обрабатываются специальные категории данных (раса, национальность, политические взгляды, здоровье, интимная жизнь) или биометрические данные, согласие должно быть только письменным (ст. 11, 11.1 Закона № 152-ФЗ). Для остальных данных допускается иное форма (например, галочка на сайте), но письменный вариант наиболее надежен для оператора.

Типовой образец заявления (Шаблон)

Ниже приведен универсальный образец, который можно адаптировать под конкретные задачи. Текст в квадратных скобках […] подлежит замене на реальные данные.

Особенности заполнения для разных ситуаций

Трудовые отношения (Работодатель — Работник)

• Цель: «Исполнение трудового договора, ведение кадрового делопроизводства, расчет и выплата заработной платы, взаимодействие с контролирующими органами (ФНС, СФР)».
• Данные: Полный пакет: паспорт, СНИЛС, ИНН, военский билет, образование, семья, здоровье (справки), биометрия (СКУД).
• Срок: Обычно «на срок действия трудового договора и 75 лет после его прекращения» (срок хранения кадровых документов).
• Нюанс: Отказ в подписании — основание для отказа в приеме на работу (ч. 4 ст. 64 ТК РФ), но только если обработка необходима для исполнения договора (тогда согласие не нужно по ст. 6 Закона № 152-ФЗ). Лучше оформить согласие на передачу данных в СФР, банки (зарплатные проекты), страховщиков.

Маркетинг и рассылки (Сайт, CRM, Лояльность)

• Форма: Часто используется «галочка» (чек-бокс) на сайте с ссылкой на Политику конфиденциальности. Но для SMS/Email-рассылок по ФЗ «О рекламе» (ст. 18) требуется предварительное явное согласие (часто делают двойную: на обработку ПД + на получение рассылок).
• Данные: Имя, телефон, email, cookie, IP-адрес, история покупок.
• Передача третьим лицам: Обязательно прописать: «Передача сервисам рассылок (Unisender, Bitrix24, AmoCRM), рекламным платформам (Яндекс.Метрика, VK Реклама)».

Медицинские организации

• Данные: Обязательно включают специальную категорию — данные о здоровье.
• Форма: Только письменная (ст. 11 Закона № 152-ФЗ). Электронная подпись (ЭЦП) допускается.
• Цель: «Оказание медицинской помощи, ведение медицинской документации, взаимодействие с ТФОМС/СМО, проведение экспертизы качества».

Видеонаблюдение (СКУД, камеры)

• Если камеры фиксируют лица, это биометрические персональные данные.
• Согласие обязательно в письменной форме (ст. 11.1 Закона № 152-ФЗ).
• Исключение: охрана периметра, где не идентифицируются конкретные лица (но Роскомнадзор часто требует согласие сотрудников/посетителей при использовании систем распознавания лиц).

Отзыв согласия: процедура и последствия

Согласно ст. 9 Закона № 152-ФЗ, субъект ПД может отозвать согласие в любой момент. Оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (или иного срока, установленного законом/договором) с момента получения заявления об отзыве.

Образец заявления на отзыв согласия:

Исключения: Оператор имеет право продолжить обработку без согласия, если это необходимо для исполнения закона, договора (ст. 6 Закона № 152-ФЗ). Например, работодатель не может удалить данные о зарплате до истечения сроков хранения (75 лет), даже если сотрудник отозвал согласие.

Типичные ошибки, приводящие к штрафам (КоАП ст. 13.11)

1. Отсутствие цели обработки или формулировка «для нужд организации». Цель должна быть конкретной.
2. Ссылка на «все данные» без перечня. Нельзя писать «все мои данные», нужно перечислить категории.
3. Бессрочное согласие без права отзыва или сложная процедура отзыва.
4. Отсутствие информации о передаче третьим лицам (категориям получателей).
5. Обработка специальных категорий (здоровье, биометрия) без письменного согласия.
6. Несоответствие Политики конфиденциальности (на сайте) реальным процессам.
7. Хранение данных дольше установленных сроков после достижения цели или отзыва согласия.

Рекомендации по документации

• Храните оригиналы подписанных согласий (бумажные или в ЭДО с КЭП) в течение всего срока действия и сроков хранения документов.
• Ведите журнал учета полученных согласий (номер, дата, ФИО, цель, срок).
• Публикуйте Политику обработки ПД на сайте (обязательно для операторов, обрабатывающих данные неограниченного круга лиц — ст. 18.1 Закона № 152-ФЗ).
• Назначьте ответственного за обработку ПД (ДПО — специалист по защите персональных данных) и уведомите Роскомнадзор (если не подпадаете под исключения ст. 22 Закона № 152-ФЗ).
• Проводите аудит раз в год: актуальны ли цели, не истекли ли сроки, удалены ли данные уволенных сотрудников/бывших клиентов.

Грамотно оформленное согласие на обработку персональных данных — это не просто формальность для избежания штрафов (до 18 млн руб. за повторные нарушения), но и инструмент управления рисками и построения доверия с клиентами и сотрудниками. Используйте приведенный выше образец как базу, но обязательно адаптируйте его под конкретные бизнес-процессы, категории данных и правовые основания вашей организации. При работе с чувствительными данными (здоровье, биометрия, дети) рекомендуется согласовывать форму документа с юристом, специализирующимся на Законе № 152-ФЗ.