Согласие на обработку персональных данных: зачем нужно, правила оформления и пример
elama.ru ·
Разбираем всё, что должно быть в согласии
Собираете имена, телефоны или email на сайте или в приложении? Для работы с ними у вас должно быть правовое основание. Если его нет, обработка такой информации — персональных данных — неправомерна и влечет за собой штрафы. С 1 сентября 2025 года требования к согласию на обработку персданных стали строже. Оно должно оформляться отдельно от других документов, которые подписывает субъект персданных. Включать его в договор, оферту, политику или другой документ без возможности выразить отдельное согласие, например, с помощью подписи или отдельного чек-бокса, теперь недопустимо. В статье рассказываем, как составить согласие, чтобы не нарушить закон.
Персональные данные — это любая информация, по которой можно определить человека или «выделить его из толпы» по косвенным признакам в рамках конкретной цели обработки. Например, для начисления зарплаты бухгалтер использует как минимум ФИО, ИНН, СНИЛС, реквизиты счета, и сумму оклада работника. Чтобы оказать техническую поддержку действующему клиенту, нужны его ФИО, email, номер телефона и номер договора (часто выступает идентификатором). Это простые примеры, где субъект для нас уже определен и известен.
Бывают и менее очевидные ситуации, когда можно не знать человека в лицо, но обрабатывать его персональные данные. Например, обработка сайтом аналитических / маркетинговых cookie-файлов и IP-адреса пользователя также является обработкой персональных данных, так как оператор использует их в совокупности с другими данными для направления ему рекламы. При этом не обязательно знать ФИО, паспортные данные физлица или иметь с ним договорные отношения, достаточно номера телефона и email. При такой обработке необходимо также заручиться правовым основанием.
Отдельно закон выделяет специальные категории данных: о здоровье, расе, национальности, политических, философских и религиозных взглядах, об интимной жизни, а также биометрию — отпечатки пальцев, распознавание лица, голоса, радужной оболочки глаза. Это особые категории данных, для их обработки чаще всего требуется отдельное согласие в письменной форме, за рядом исключений.
Согласие необходимо, чтобы законно работать с данными человека, когда любое другое правовое основание не подходит.
По сути, согласие — это письменное или электронное «да» от самого человека: он подтверждает, что компания вправе обращаться с его данными. В законе такого человека называют субъектом персональных данных, а компанию, определяющую цель обработки, состав данных и действия с ними, — оператором персональных данных.
Оператором становится любое юрлицо, физлицо, ИП или самозанятый, как только начинает обрабатывать данные о клиентах, сотрудниках, подписчиках или посетителях сайта.
Не всякая работа с персональными данными требует отдельного согласия. Закон разрешает обработку и без него, если у оператора есть другое правовое основание — все они собраны в пунктах 2–11 части 1 статьи 6 закона № 152-ФЗ. Самые частые случаи:
В остальных случаях обработка персональных данных без согласия не допускается.
Согласие можно взять по-разному: на бумаге с подписью, в электронном виде, через галочку на сайте. При этом при использовании любой формы согласия должна сохраняться возможность подтвердить факт его получения. Но в некоторых случаях закон строже: требует именно письменную форму с подписью и подробным перечнем сведений.
Закон требует согласия в обязательной письменной форме в таких случаях:
передача персональных данных работника третьим лицам (при отсутствии иного правового основания);
обработка биометрии — отпечатки, распознавание лица, голос;
обработка специальных категорий данных — о здоровье, расе, национальности, политических и религиозных взглядах и т. д.;
включение данных в общедоступные источники, например, в телефонные справочники;
принятие решений, порождающих юридические последствия в отношении субъекта персданных, на основании исключительно автоматизированной обработки персональных данных, например, как в случае банковского скоринга.
В таком согласии обязательно есть ФИО и паспортные данные субъекта, наименование и адрес оператора (и лица, осуществляющего обработку персональных данных по поручению, если актуально), цель обработки, перечень данных и действий с ними, срок действия и порядок отзыва, подпись. Оформляют либо на бумаге с личной подписью, либо в электронном виде с электронной подписью.
В остальных случаях согласие может оформляться с помощью чекбокса. Чекбокс — это галочка в форме на сайте, которую пользователь ставит сам, соглашаясь на обработку данных. Способ подходит для всех ситуаций, когда закон не требует именно бумаги:
подписка на рассылку;
отправка заявки через форму обратной связи;
организация мероприятий и вебинаров.
Согласие, предоставленное пользователем сайта, юридически оформлено правильно, если соблюдены три условия: чекбокс изначально пустой, рядом стоит текст согласия и на странице, на которой осуществляется сбор данных, размещена ссылка на политику обработки персональных данных, а оператор фиксирует лог — дату, IP, статус галочки.
Ниже приведен пример письменного согласия на обработку персональных данных. Документ для использования в конкретной организации следует готовить с учетом целей обработки персональных данных, особенностей деятельности организации и требований законодательств и с участием профильного юриста.
Ниже размещен пример документа в формате Word. Он иллюстрирует типовую структуру согласия на обработку персональных данных и основные разделы, которые обычно включаются в такой документ. Содержание согласия может различаться в зависимости от целей обработки персональных данных, категории субъектов и иных обстоятельств, рекомендуется его готовить с участием юриста.
Пример согласия на обработку персданных
Часть 4 статьи 9 закона № 152-ФЗ перечисляет, что должно быть в согласии в письменной форме. Пропустите хотя бы один пункт — согласие считается не соответствующим требованиям оформления по ч. 2 ст. 13.11 КоАП РФ. Ниже описан каждый обязательный элемент документа.
Письменное согласие обычно содержит фамилию, имя, отчество, серию и номер паспорта, дату выдачи, кем выдан документ и адрес регистрации.
За детей до 14 лет согласие подписывает родитель или законный представитель. С 14 до 18 лет подросток может подписать сам — например, при регистрации в соцсетях.
В письменном согласии указываются полное наименование компании, ИНН, ОГРН, юридический адрес. Для ИП — фамилия, имя и отчество предпринимателя. Если оператор поручает работу с данными кому-то еще — например, облачному сервису для рассылок или колл-центру, — данные этого подрядчика тоже указывают в письменном согласии.
Цель — самое важное во всем документе. Закон требует, чтобы согласие, вне зависимости от его формы, было «конкретным, предметным, информированным, сознательным и однозначным» (ч. 1 ст. 9).
В этом пункте указывается, какие именно данные вы собираете: Ф. И. О., паспортные данные, телефон, email, ИНН, СНИЛС, сведения об образовании — только то, что нужно для конкретной цели. Например, для email-рассылки достаточно адреса почты, паспортные данные требовать не нужно.
Здесь описываются все совершаемые с персональными данными действия: сбор, хранение, использование, передачу, уничтожение и т. д. Закон требует прописать все возможные действия из ст. 3 Закона № 152-ФЗ, но на практике их гораздо больше. Отдельно указывается способ обработки: с использованием средств автоматизации, без них или смешанный.
Срок действия письменного согласия задается одним из трех способов: конкретной датой, «до момента отзыва» или «до достижения цели». Бессрочное согласие без возможности отзыва не работает.
В документе указывается способ, как человек может прислать заявление об отзыве согласия. Получив его, оператор обязан прекратить обработку и уничтожить информацию в течение 30 дней. Исключение — случаи, когда данные нужны для отчетности в ФНС, СФР или при наличии иных правовых оснований: тогда обработка продолжается даже после отзыва согласия.
Бумажный бланк письменного согласия подписывается от руки. Электронный — усиленной квалифицированной электронной подписью (УКЭП). Простая ЭП тоже подойдет, но только если стороны заранее договорились о ее использовании отдельным соглашением — так, например, устроено в системах кадрового электронного документооборота (КЭДО). Без даты и подписи согласие не действует.
Структура письменной формы согласия для каждой цели одна и та же — те же семь обязательных пунктов, что мы разобрали выше. Меняется только наполнение: цель, перечень данных и получатели.
Часть данных при трудоустройстве работодатель обрабатывает без согласия. По статье 65 ТК РФ, это базовые документы, которые работник предъявляет при устройстве:
паспорт,
трудовая книжка,
СНИЛС,
диплом,
военный билет,
справка о судимости (в ряде случаев и только ограниченному кругу лиц),
медкнижка (в ряде случаев и только ограниченному кругу лиц),
банковские реквизиты для зарплаты и ИНН для налоговой отчетности.
А вот на всё «сверху» письменное согласие уже нужно. Например, для печати визитных карточек сотрудникам их данные обычно передаются в типографию. Значит, для этой цели необходимо взять письменное согласие на обработку таких данных как ФИО, должность, место работы, номер телефона и email-адрес с указанием в качестве третьего лица наименование типографии, в которую планируется передать эти данные (помним про то, что согласие должно быть информированным).
Важно учитывать, что организовать процесс можно по-разному. И не всегда для этого нужно собирать согласие. Например, сотрудники сами могут обратиться в типографию с просьбой распечатать визитную карточку, а вы — компенсировать стоимость ее изготовления. Таким образом нет процесса передачи данных от вас, а значит, и нет необходимости брать отдельное согласие.
На сайте всё проще: если вы с его помощью ведете обработку данных клиентов, партнеров, простых посетителей и случаи обязательного письменного согласия в этом случае к вам не применимы (о них рассказали в начале статьи), то перечислять в тексте подробно все семь пунктов письменного согласия не нужно. Достаточно короткого текста: если из него понятно, кто, зачем и что делает с данными пользователя. Ниже приведен пример реализации на сайте.
Хранят письменные согласия в закрытом шкафу или сейфе — доступ только у сотрудника,ответственного за сбор письменных согласий.
Срок хранения — три года после достижения цели обработки данных, отзыва или истечения указанного срока действия согласия (в соответствии с Приказом Росархива № 236)
Согласие через чекбокс в папку не положить, но нужно зафиксировать сам факт его получения: например, дату, IP-адрес пользователя, ID пользователя, состояние флажка true (означает, что чекбокс был нажат) и текст, под которым он поставил галочку. Всё это подтверждает, что человек согласился именно с этим текстом, а не с каким-то другим.
Если через несколько лет эти записи удалят, доказать факт согласия будет нечем — а работа без согласия это уже нарушение. Поэтому эти записи хранят вместе с данными пользователя все время, пока согласие действует.
За обработку данных без письменного согласия штрафуют по части 2 статьи 13.11 КоАП. За обработку без согласия и любого иного правового основания также может наступить ответственность по части 1 статьи 13.11 КоАП. После поправок, вступивших в силу 30 мая 2025 года, суммы такие:
физлица и самозанятые: от 10 000 до 15 000 руб.;
должностные лица: от 50 000 до 100 000 руб.;
юрлица: от 150 000 до 300 000 руб.
Повторное нарушение обходится в разы дороже: для должностных лиц — от 100 000 до 200 000 руб., для компаний — от 300 000 до 500 000 руб. А за утечку персональных данных с 2025 года ввели отдельные оборотные штрафы. Они считаются от годовой выручки и могут доходить до сотен миллионов рублей.
Да, но! С 1 сентября 2025 года согласие необходимо брать отдельно под каждую цель — по одной подписи или по отдельному чекбоксу для каждой. Например, если компания организует печать визитных карточек сотрудникам и параллельно оформляет для них заявку на выпуск банковской карты для зарплатного проекта, подписывается два отдельных согласия.
Помните, что согласие — это волеизъявление. Текст нескольких согласий может располагаться на одном отдельном бланке, но не в тексте другого документа без возможности активно выразить согласие. Напротив каждой цели у субъекта должно быть право поставить подпись / чек-бокс
Одной галочки мало — нужно еще три условия:
В течение 30 дней после отзыва оператор должен прекратить обработку и удалить данные. После этого человека можно уведомить об исполнении его требования.
Дальнейшая обработка персональных данных возможна только при наличии другого правового основания — того же, что мы разобрали в разделе «Когда согласие не нужно»: исполнение договора, отчетность в ФНС и СФР, обязанности по закону. Если и этих оснований нет, а оператор все равно продолжает — это нарушение.