Согласие на обработку персональных данных: зачем нужно, правила оформления и пример

Собираете имена, телефоны или email на сайте или в приложении? Для работы с ними у вас должно быть правовое основание. Если его нет, обработка такой информации — персональных данных — неправомерна и влечет за собой штрафы. С 1 сентября 2025 года требования к согласию на обработку персданных стали строже. Оно должно оформляться отдельно от других документов, которые подписывает субъект персданных. Включать его в договор, оферту, политику или другой документ без возможности выразить отдельное согласие, например, с помощью подписи или отдельного чек-бокса, теперь недопустимо. В статье рассказываем, как составить согласие, чтобы не нарушить закон.

Что такое персональные данные

Персональные данные — это любая информация, по которой можно определить человека или «выделить его из толпы» по косвенным признакам в рамках конкретной цели обработки. Например, для начисления зарплаты бухгалтер использует как минимум ФИО, ИНН, СНИЛС, реквизиты счета, и сумму оклада работника. Чтобы оказать техническую поддержку действующему клиенту, нужны его ФИО, email, номер телефона и номер договора (часто выступает идентификатором). Это простые примеры, где субъект для нас уже определен и известен.

Бывают и менее очевидные ситуации, когда можно не знать человека в лицо, но обрабатывать его персональные данные. Например, обработка сайтом аналитических / маркетинговых cookie-файлов и IP-адреса пользователя также является обработкой персональных данных, так как оператор использует их в совокупности с другими данными для направления ему рекламы. При этом не обязательно знать ФИО, паспортные данные физлица или иметь с ним договорные отношения, достаточно номера телефона и email. При такой обработке необходимо также заручиться правовым основанием.

Отдельно закон выделяет специальные категории данных: о здоровье, расе, национальности, политических, философских и религиозных взглядах, об интимной жизни, а также биометрию — отпечатки пальцев, распознавание лица, голоса, радужной оболочки глаза. Это особые категории данных, для их обработки чаще всего требуется отдельное согласие в письменной форме, за рядом исключений.

Зачем нужно согласие на обработку персональных данных

Согласие необходимо, чтобы законно работать с данными человека, когда любое другое правовое основание не подходит.

По сути, согласие — это письменное или электронное «да» от самого человека: он подтверждает, что компания вправе обращаться с его данными. В законе такого человека называют субъектом персональных данных, а компанию, определяющую цель обработки, состав данных и действия с ними, — оператором персональных данных.

Оператором становится любое юрлицо, физлицо, ИП или самозанятый, как только начинает обрабатывать данные о клиентах, сотрудниках, подписчиках или посетителях сайта.

Когда согласие не нужно

Не всякая работа с персональными данными требует отдельного согласия. Закон разрешает обработку и без него, если у оператора есть другое правовое основание — все они собраны в пунктах 2–11 части 1 статьи 6 закона № 152-ФЗ. Самые частые случаи:

1. Исполнение договора с самим субъектом. Интернет-магазин обрабатывает адрес доставки, банк — данные заемщика, страховая — реквизиты полиса. Всё это идет по договору, отдельное согласие не берут.
2. Обязанности по закону. Сведения при трудоустройстве (паспортные данные, СНИЛС, диплом, военный билет, и т. д.), отчетность в ФНС и СФР, воинский учет, обязательный медосмотр — данные обрабатываются в силу требований закона, а не согласия.
3. Защита жизни и здоровья — например, передача данных врачу или спасателям при ЧС.
4. Законный интерес — например, организация пропускного режима на территорию офиса.

В остальных случаях обработка персональных данных без согласия не допускается.

В какой форме нужно получать согласие

Согласие можно взять по-разному: на бумаге с подписью, в электронном виде, через галочку на сайте. При этом при использовании любой формы согласия должна сохраняться возможность подтвердить факт его получения. Но в некоторых случаях закон строже: требует именно письменную форму с подписью и подробным перечнем сведений.

Закон требует согласия в обязательной письменной форме в таких случаях:

• передача персональных данных работника третьим лицам (при отсутствии иного правового основания);

• обработка биометрии — отпечатки, распознавание лица, голос;

• обработка специальных категорий данных — о здоровье, расе, национальности, политических и религиозных взглядах и т. д.;

• включение данных в общедоступные источники, например, в телефонные справочники;

• принятие решений, порождающих юридические последствия в отношении субъекта персданных, на основании исключительно автоматизированной обработки персональных данных, например, как в случае банковского скоринга.

В таком согласии обязательно есть ФИО и паспортные данные субъекта, наименование и адрес оператора (и лица, осуществляющего обработку персональных данных по поручению, если актуально), цель обработки, перечень данных и действий с ними, срок действия и порядок отзыва, подпись. Оформляют либо на бумаге с личной подписью, либо в электронном виде с электронной подписью.

В остальных случаях согласие может оформляться с помощью чекбокса. Чекбокс — это галочка в форме на сайте, которую пользователь ставит сам, соглашаясь на обработку данных. Способ подходит для всех ситуаций, когда закон не требует именно бумаги:

• подписка на рассылку;

• отправка заявки через форму обратной связи;

• организация мероприятий и вебинаров.

Согласие, предоставленное пользователем сайта, юридически оформлено правильно, если соблюдены три условия: чекбокс изначально пустой, рядом стоит текст согласия и на странице, на которой осуществляется сбор данных, размещена ссылка на политику обработки персональных данных, а оператор фиксирует лог — дату, IP, статус галочки.

Пример письменного согласия на обработку персональных данных

Ниже приведен пример письменного согласия на обработку персональных данных. Документ для использования в конкретной организации следует готовить с учетом целей обработки персональных данных, особенностей деятельности организации и требований законодательств и с участием профильного юриста.

Пример письменного согласия на обработку персональных данных в формате Word (.docx)

Ниже размещен пример документа в формате Word. Он иллюстрирует типовую структуру согласия на обработку персональных данных и основные разделы, которые обычно включаются в такой документ. Содержание согласия может различаться в зависимости от целей обработки персональных данных, категории субъектов и иных обстоятельств, рекомендуется его готовить с участием юриста.

Пример согласия на обработку персданных

Разбираем шаблон письменного согласия по пунктам: что обязательно должно быть в документе

Часть 4 статьи 9 закона № 152-ФЗ перечисляет, что должно быть в согласии в письменной форме. Пропустите хотя бы один пункт — согласие считается не соответствующим требованиям оформления по ч. 2 ст. 13.11 КоАП РФ. Ниже описан каждый обязательный элемент документа.

1. Ф. И. О. и паспортные данные субъекта

Письменное согласие обычно содержит фамилию, имя, отчество, серию и номер паспорта, дату выдачи, кем выдан документ и адрес регистрации.

За детей до 14 лет согласие подписывает родитель или законный представитель. С 14 до 18 лет подросток может подписать сам — например, при регистрации в соцсетях.

2. Наименование и адрес оператора

В письменном согласии указываются полное наименование компании, ИНН, ОГРН, юридический адрес. Для ИП — фамилия, имя и отчество предпринимателя. Если оператор поручает работу с данными кому-то еще — например, облачному сервису для рассылок или колл-центру, — данные этого подрядчика тоже указывают в письменном согласии.

3. Цель обработки данных

Цель — самое важное во всем документе. Закон требует, чтобы согласие, вне зависимости от его формы, было «конкретным, предметным, информированным, сознательным и однозначным» (ч. 1 ст. 9).

4. Перечень данных для обработки

В этом пункте указывается, какие именно данные вы собираете: Ф. И. О., паспортные данные, телефон, email, ИНН, СНИЛС, сведения об образовании — только то, что нужно для конкретной цели. Например, для email-рассылки достаточно адреса почты, паспортные данные требовать не нужно.

5. Перечень действий с данными

Здесь описываются все совершаемые с персональными данными действия: сбор, хранение, использование, передачу, уничтожение и т. д. Закон требует прописать все возможные действия из ст. 3 Закона № 152-ФЗ, но на практике их гораздо больше. Отдельно указывается способ обработки: с использованием средств автоматизации, без них или смешанный.

6. Срок действия согласия и порядок отзыва

Срок действия письменного согласия задается одним из трех способов: конкретной датой, «до момента отзыва» или «до достижения цели». Бессрочное согласие без возможности отзыва не работает.

В документе указывается способ, как человек может прислать заявление об отзыве согласия. Получив его, оператор обязан прекратить обработку и уничтожить информацию в течение 30 дней. Исключение — случаи, когда данные нужны для отчетности в ФНС, СФР или при наличии иных правовых оснований: тогда обработка продолжается даже после отзыва согласия.

7. Подпись

Бумажный бланк письменного согласия подписывается от руки. Электронный — усиленной квалифицированной электронной подписью (УКЭП). Простая ЭП тоже подойдет, но только если стороны заранее договорились о ее использовании отдельным соглашением — так, например, устроено в системах кадрового электронного документооборота (КЭДО). Без даты и подписи согласие не действует.

Особенности разных ситуаций: примеры согласий для сотрудников и сайта

Структура письменной формы согласия для каждой цели одна и та же — те же семь обязательных пунктов, что мы разобрали выше. Меняется только наполнение: цель, перечень данных и получатели.

Шаблон письменного согласия для сотрудника

Часть данных при трудоустройстве работодатель обрабатывает без согласия. По статье 65 ТК РФ, это базовые документы, которые работник предъявляет при устройстве:

• паспорт,

• трудовая книжка,

• СНИЛС,

• диплом,

• военный билет,

• справка о судимости (в ряде случаев и только ограниченному кругу лиц),

• медкнижка (в ряде случаев и только ограниченному кругу лиц),

• банковские реквизиты для зарплаты и ИНН для налоговой отчетности.

А вот на всё «сверху» письменное согласие уже нужно. Например, для печати визитных карточек сотрудникам их данные обычно передаются в типографию. Значит, для этой цели необходимо взять письменное согласие на обработку таких данных как ФИО, должность, место работы, номер телефона и email-адрес с указанием в качестве третьего лица наименование типографии, в которую планируется передать эти данные (помним про то, что согласие должно быть информированным).

Важно учитывать, что организовать процесс можно по-разному. И не всегда для этого нужно собирать согласие. Например, сотрудники сами могут обратиться в типографию с просьбой распечатать визитную карточку, а вы — компенсировать стоимость ее изготовления. Таким образом нет процесса передачи данных от вас, а значит, и нет необходимости брать отдельное согласие.

Шаблон для пользователя сайта

На сайте всё проще: если вы с его помощью ведете обработку данных клиентов, партнеров, простых посетителей и случаи обязательного письменного согласия в этом случае к вам не применимы (о них рассказали в начале статьи), то перечислять в тексте подробно все семь пунктов письменного согласия не нужно. Достаточно короткого текста: если из него понятно, кто, зачем и что делает с данными пользователя. Ниже приведен пример реализации на сайте.

Как правильно хранить согласие

В бумажном виде

Хранят письменные согласия в закрытом шкафу или сейфе — доступ только у сотрудника,ответственного за сбор письменных согласий.

Срок хранения — три года после достижения цели обработки данных, отзыва или истечения указанного срока действия согласия (в соответствии с Приказом Росархива № 236)

В электронном виде

Согласие через чекбокс в папку не положить, но нужно зафиксировать сам факт его получения: например, дату, IP-адрес пользователя, ID пользователя, состояние флажка true (означает, что чекбокс был нажат) и текст, под которым он поставил галочку. Всё это подтверждает, что человек согласился именно с этим текстом, а не с каким-то другим.

Если через несколько лет эти записи удалят, доказать факт согласия будет нечем — а работа без согласия это уже нарушение. Поэтому эти записи хранят вместе с данными пользователя все время, пока согласие действует.

Штрафы за работу с персональными данными без согласия

За обработку данных без письменного согласия штрафуют по части 2 статьи 13.11 КоАП. За обработку без согласия и любого иного правового основания также может наступить ответственность по части 1 статьи 13.11 КоАП. После поправок, вступивших в силу 30 мая 2025 года, суммы такие:

• физлица и самозанятые: от 10 000 до 15 000 руб.;

• должностные лица: от 50 000 до 100 000 руб.;

• юрлица: от 150 000 до 300 000 руб.

Повторное нарушение обходится в разы дороже: для должностных лиц — от 100 000 до 200 000 руб., для компаний — от 300 000 до 500 000 руб. А за утечку персональных данных с 2025 года ввели отдельные оборотные штрафы. Они считаются от годовой выручки и могут доходить до сотен миллионов рублей.

Часто задаваемые вопросы

Можно ли использовать один бланк для всех целей?

Да, но! С 1 сентября 2025 года согласие необходимо брать отдельно под каждую цель — по одной подписи или по отдельному чекбоксу для каждой. Например, если компания организует печать визитных карточек сотрудникам и параллельно оформляет для них заявку на выпуск банковской карты для зарплатного проекта, подписывается два отдельных согласия.

Помните, что согласие — это волеизъявление. Текст нескольких согласий может располагаться на одном отдельном бланке, но не в тексте другого документа без возможности активно выразить согласие. Напротив каждой цели у субъекта должно быть право поставить подпись / чек-бокс

Достаточно ли просто поставить галочку на сайте?

Одной галочки мало — нужно еще три условия:

1. Чекбокс изначально пустой, галочку ставит сам пользователь.
2. Рядом с ним есть текст согласия и ссылка на Политику обработки данных.
3. У оператора сохраняется запись о том, кто и когда согласие дал — например, дата, IP-адрес, ID пользователя, состояние флажка true и текст под галочкой.

Что делать, если человек отозвал свое согласие?

В течение 30 дней после отзыва оператор должен прекратить обработку и удалить данные. После этого человека можно уведомить об исполнении его требования.

Дальнейшая обработка персональных данных возможна только при наличии другого правового основания — того же, что мы разобрали в разделе «Когда согласие не нужно»: исполнение договора, отчетность в ФНС и СФР, обязанности по закону. Если и этих оснований нет, а оператор все равно продолжает — это нарушение.