Согласие на обработку персональных данных — это главный документ, который легализует работу с данными ваших клиентов, сотрудников и посетителей сайта. Без него любая обработка (сбор, хранение, передача) считается незаконной, и за это предусмотрена административная, а в некоторых случаях и уголовная ответственность. При этом сам бланк согласия — не простая формальность: закон предъявляет к нему конкретные требования, и ошибка в оформлении может стоить вам свободы действий с данными или привести к штрафу.
В этой статье разберём, что должно быть в согласии, как его правильно оформить для разных ситуаций (сайт, сотрудники, дети, биометрия, передача данных за границу), и приведём образцы, которые можно адаптировать под свой бизнес. Материал ориентирован на владельцев сайтов и бизнеса, поэтому постараемся объяснить всё простым языком, без юридических дебрей.
Что такое согласие на обработку персональных данных и когда оно нужно
Согласие на обработку персональных данных — это конкретное, информированное и однозначное волеизъявление человека, которое он даёт оператору (то есть вам) на обработку своих данных. Это определение вытекает из ст. 9 152-ФЗ «О персональных данных» — главного закона в этой сфере.
Закон требует согласие практически на любую обработку, кроме нескольких узких исключений (например, когда данные нужны для исполнения договора с самим человеком, для защиты его жизни или для исполнения обязательных требований законодательства — скажем, при приёме на работу). Но на практике безопаснее получать согласие всегда, даже если формально можно обойтись без него. Это убережёт вас от споров с Роскомнадзором и претензий со стороны клиентов.
Согласие должно быть:
- Конкретным — человек понимает, какие именно данные и для чего вы собираете.
- Предметным — указаны конкретные цели обработки.
- Информированным — человеку объяснили, что вы будете делать с данными.
- Сознательным и однозначным — человек явно выразил свою волю, а не просто «промолчал» или не снял галочку.
Важный нюанс: молчание или бездействие человека не считается согласием. Если на сайте стоит заранее проставленная галочка «Я согласен», а человек просто нажал «Отправить» — юридически это не согласие. Нужно активное действие: человек сам должен поставить галочку или нажать кнопку.
Обязательные реквизиты согласия по ст. 9 152-ФЗ
Если вы оформляете согласие в письменной форме (а для многих случаев она обязательна), закон требует включить в документ конкретный перечень сведений. Разберём его по пунктам, чтобы ничего не упустить.
Данные субъекта персональных данных
В согласии должны быть указаны:
- ФИО человека, который даёт согласие.
- Его адрес (постоянной регистрации или фактического проживания).
- Номер основного документа, удостоверяющего личность (обычно паспорт).
- Сведения о дате выдачи документа и органе, который его выдал.
Без этих реквизитов согласие будет считаться недействительным. Если вы собираете данные через сайт (например, через форму обратной связи), то согласие можно получить в электронной форме, но тогда нужно обеспечить возможность идентификации человека — например, через подтверждение по SMS или email.
Данные оператора
Указываются:
- Наименование вашей организации (или ФИО, если вы ИП).
- Адрес (юридический и фактический).
- ИНН (для организаций и ИП).
- Если обработку данных вы поручаете третьему лицу (подрядчику, сервису аналитики) — данные этого лица тоже нужно указать.
Цели обработки персональных данных
Здесь нужно чётко написать, зачем вы собираете данные. Например:
- для заключения и исполнения договора;
- для обратной связи с клиентом;
- для рассмотрения заявки;
- для доставки товара;
- для направления рекламных материалов (это отдельная цель, и её нужно выделять особо).
Цель не может быть «размытой» — например, «для улучшения сервиса» или «в маркетинговых целях» без конкретики. Чем точнее сформулирована цель, тем меньше рисков, что Роскомнадзор сочтёт согласие недействительным.
Перечень персональных данных
Указывается, какие именно данные вы собираете: ФИО, телефон, email, адрес доставки, дата рождения, паспортные данные и т.д. Нельзя писать «все данные, которые пользователь оставит на сайте» — перечень должен быть конкретным.
Перечень действий с персональными данными
Здесь перечисляется, что именно вы будете делать с данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обычно пишут обобщённо: «совершение любых действий, предусмотренных ст. 3 152-ФЗ» — но лучше перечислить конкретные операции, чтобы не было вопросов.
Срок действия согласия и порядок отзыва
Согласие даётся на конкретный срок — например, на 5 лет или на время действия договора. Также нужно указать, как человек может отозвать согласие: обычно это делается письменным заявлением на адрес оператора. После отзыва вы обязаны уничтожить данные в течение 30 дней (ст. 21 152-ФЗ), если нет других законных оснований для их хранения.
Подпись субъекта
Согласие должно быть подписано человеком. Для электронного согласия на сайте подпись заменяется проставлением галочки и подтверждением через SMS/email — но такая форма подходит не для всех случаев (например, для биометрии и специальных категорий данных нужно именно письменное согласие).
Образец согласия на обработку персональных данных
Ниже приведён универсальный образец, который подходит для большинства случаев — например, для клиентов интернет-магазина или пользователей сайта. Адаптируйте его под себя: замените данные оператора, цели и перечень данных.
СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Я, _________________________________________________________________, (фамилия, имя, отчество) адрес регистрации: ____________________________________________________, документ, удостоверяющий личность: ____________________________________, (наименование документа) серия ________ номер ____________, выдан ______________________________ (кем и когда выдан) проживающий(ая) по адресу: ___________________________________________,
свободно, своей волей и в своём интересе даю согласие
______________________________________________________________________, (наименование оператора, ИНН, адрес) (далее — Оператор) на обработку моих персональных данных, а именно:
Перечень персональных данных:
- фамилия, имя, отчество;
- контактный телефон;
- адрес электронной почты;
- адрес доставки;
- дата рождения.
Цели обработки персональных данных:
- заключение и исполнение договора;
- обратная связь со мной по вопросам, связанным с заказом;
- доставка товара;
- направление информации о новых товарах и акциях (отдельно, при согласии).
Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение персональных данных, а также передача третьим лицам (курьерским службам, операторам связи) в целях исполнения договора.
Настоящее согласие действует с момента его подписания и до момента его отзыва. Согласие может быть отозвано мной в любой момент путём направления письменного заявления Оператору.
Я подтверждаю, что ознакомлен(а) с правами субъекта персональных данных, предусмотренными 152-ФЗ «О персональных данных».
«» __________ 20 г.
__________________ /_____________________/ (подпись) (расшифровка)
Это базовый образец. Для разных ситуаций он будет меняться — ниже разберём особенности.
Согласие на обработку персональных данных на сайте
Для сайта согласие оформляется в электронной форме. Здесь есть два ключевых момента: как получить согласие и как его зафиксировать.
Как получить согласие на сайте
Самый распространённый способ — чекбокс (галочка) в формах: при оформлении заказа, подписке на рассылку, отправке формы обратной связи. Важные правила:
- Галочка должна быть не проставлена по умолчанию — человек сам должен её отметить.
- Рядом с галочкой должна быть ссылка на текст согласия (или на политику обработки персональных данных, где согласие описано).
- Текст должен быть читаемым и понятным, без мелкого шрифта и «юридической воды».
Для более серьёзных случаев (например, передача данных третьим лицам или обработка специальных категорий) лучше использовать «двойное подтверждение»: человек ставит галочку, а затем подтверждает действие через SMS-код или email-ссылку. Это докажет, что согласие дал именно он.
Что должно быть в согласии на сайте
Для сайта согласие обычно включает:
- ФИО, телефон, email (в зависимости от формы).
- Цель: обработка заявки, обратная связь, исполнение договора.
- Перечень действий: сбор, хранение, использование и т.д.
- Срок действия и порядок отзыва.
- Отдельное согласие на обработку cookie и передачу данных аналитическим сервисам (Яндекс.Метрика, Google Analytics и т.п.).
Cookie и согласие
В октябре 2024 года Таганский суд Москвы признал cookie персональными данными. Это значит, что сбор и обработка cookie без согласия — нарушение. С мая 2025 года штрафы за нарушения в этой сфере выросли — до 6 млн ₽ за отдельные виды нарушений [ПРОВЕРИТЬ: актуальный размер штрафа за обработку cookie без согласия на момент публикации].
Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет, практика ещё формируется. Но если вы передаёте данные cookie рекламным партнёрам (например, для таргетированной рекламы), лучше использовать активное согласие (галочка), а не молчаливое продолжение использования сайта. Для аналитики (Яндекс.Метрика) обычно достаточно уведомления в политике конфиденциальности, но безопаснее тоже получить явное согласие.
Согласие на обработку персональных данных сотрудника
При приёме на работу согласие на обработку персональных данных — обязательный документ. Работодатель обрабатывает данные сотрудника (паспорт, ИНН, СНИЛС, образование, семейное положение и т.д.) на основании трудового договора, но для некоторых целей (например, передача данных в страховую компанию, размещение фото на доске почёта) нужно отдельное согласие.
Особенности согласия сотрудника
- Согласие должно быть получено до начала обработки данных.
- В согласии нужно указать все цели обработки: кадровый учёт, начисление зарплаты, предоставление льгот, передача в ПФР, ФНС и т.д.
- Если вы передаёте данные сотрудника третьим лицам (например, в банк для зарплатного проекта) — это нужно отдельно указать.
- Согласие действует в течение всего срока трудовых отношений и может быть отозвано, но после отзыва вы всё равно обязаны хранить часть данных (например, для налоговой отчётности) на основании закона.
Срок хранения документов сотрудника
Документы по личному составу (включая согласия) хранятся:
- 50 лет, если оформлены после 1 января 2003 года;
- 75 лет — если оформлены раньше (ст. 22.1 125-ФЗ «Об архивном деле»).
Само согласие на обработку персональных данных как документ хранится 3 года с момента истечения или отзыва (перечень, приказ Росархива № 236). Но если согласие входит в состав личного дела сотрудника, оно будет храниться вместе с остальными документами по личному составу.
Согласие на обработку персональных данных ребёнка
Для обработки данных несовершеннолетних действуют особые правила. 152-ФЗ прямо не фиксирует возраст, с которого ребёнок может дать согласие самостоятельно, поэтому применяются общие нормы Гражданского кодекса (ст. 26 ГК РФ):
- До 14 лет — согласие даёт родитель или законный представитель.
- С 14 до 18 лет — подросток может дать согласие сам, но обычно требуется ещё и письменное согласие родителя (кроме эмансипированных — тех, кто признан полностью дееспособным до 18 лет).
Есть также письмо Роскомнадзора от 11.03.2022 № 08-15154, которое разъясняет особенности обработки биометрических и специальных категорий данных несовершеннолетних — там требования строже.
Согласие законного представителя
Если согласие даёт представитель (родитель, опекун), в документе дополнительно указываются (ст. 9 152-ФЗ):
- ФИО представителя;
- его адрес;
- номер основного документа, удостоверяющего личность;
- сведения о дате выдачи документа и выдавшем его органе;
- реквизиты доверенности или иного документа, подтверждающего полномочия представителя.
Согласие представителя должно быть конкретным, предметным, информированным, сознательным и однозначным — так же, как и обычное согласие.
Согласие на обработку специальных категорий персональных данных
Специальные категории (ст. 10 152-ФЗ) — это данные о:
- расовой и национальной принадлежности;
- политических взглядах;
- религиозных и философских убеждениях;
- состоянии здоровья;
- интимной жизни;
- судимости.
Для обработки таких данных нужно отдельное явное согласие — оно не может быть «встроено» в общее согласие. Обычно это письменное согласие с подробным описанием целей и перечня данных.
Исключения, когда согласие не нужно: обработка в целях правосудия, при обязательной государственной регистрации, для защиты жизни человека (когда он не может дать согласие сам) и в некоторых других случаях.
Согласие на обработку биометрических персональных данных
Биометрия (ст. 11 152-ФЗ) — это данные, которые характеризуют физиологические и биологические особенности человека: отпечатки пальцев, изображение лица, голос, радужная оболочка глаза и т.д. Обработка биометрии допускается только с письменным согласием субъекта, кроме узких исключений (реадмиссия, правосудие, обязательная государственная дактилоскопическая регистрация).
Важно: оператор не вправе отказать человеку в услуге, если он отказался дать биометрию или согласие на её обработку, когда по закону это согласие не обязательно. Например, вы не можете отказать клиенту в выдаче пропуска только потому, что он не хочет сдавать отпечаток пальца, если для пропуска достаточно обычной карты.
С 1 сентября 2025 года действует обновлённая редакция ч. 2 ст. 11 152-ФЗ (изменения внесены 519-ФЗ от 28.12.2024) — уточняйте актуальные требования к биометрическому согласию на момент оформления.
Согласие на распространение персональных данных
С 1 марта 2021 года действует ст. 10.1 152-ФЗ (введена 519-ФЗ от 30.12.2020), которая регулирует обработку данных, «разрешённых для распространения». Это отдельный вид согласия — оно оформляется отдельно от согласия на обработку.
Такое согласие нужно, если вы планируете публиковать данные человека в открытом доступе: на сайте, в соцсетях, в рекламных материалах. Например, если вы хотите разместить отзыв клиента с его именем и фото на своём сайте — нужно именно согласие на распространение.
Особенности согласия на распространение
- Оно оформляется отдельным документом.
- Человек может указать условия и запреты: например, запретить передачу данных третьим лицам или ограничить срок публикации.
- В согласии нужно указать, какие именно данные разрешено распространять и каким способом (на сайте, в соцсетях, в СМИ).
- Человек может в любой момент отозвать согласие на распространение — тогда вы обязаны прекратить публикацию.
Согласие на передачу персональных данных третьим лицам и за границу
Передача третьим лицам
Если вы передаёте данные подрядчикам (курьерская служба, сервис email-рассылок, облачный хостинг), это нужно отразить в согласии. Закон не требует отдельного согласия на передачу, если она необходима для исполнения договора с человеком (например, передача адреса доставки курьеру). Но если передача не связана с договором (например, продажа базы клиентов маркетинговому агентству) — нужно явное согласие.
Трансграничная передача
Передача данных за границу — отдельная сложная тема. Роскомнадзор утвердил перечень стран с «адекватной защитой персональных данных» (приказ РКН № 128 от 05.08.2022, действует с 1 марта 2023 года). В этот перечень входят в основном страны СНГ, Азии и Африки: Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Южная Корея и т.д.
Важно: стран Западной Европы и США в этом перечне нет. Это значит, что передача данных в большинство западных сервисов (Google, американские и европейские облака) формально требует отдельного согласия и уведомления Роскомнадзора. Если вы используете зарубежные сервисы аналитики или облачные хранилища, проверьте, в какой юрисдикции находятся серверы, и при необходимости получите отдельное согласие на трансграничную передачу.
Срок действия согласия и порядок отзыва
Сколько действует согласие
Срок действия согласия вы определяете сами — он указывается в документе. Обычно это:
- срок действия договора с клиентом;
- конкретный период (например, 5 лет);
- до момента отзыва.
Если срок не указан, согласие действует бессрочно — но это рискованно, лучше всегда указывать конкретный срок.
Как отозвать согласие
Человек может отозвать согласие в любой момент, направив письменное заявление оператору. После получения заявления вы обязаны:
- прекратить обработку данных;
- уничтожить данные в течение 30 дней (ст. 21 152-ФЗ);
- при необходимости продлить срок ещё на 5 рабочих дней, если направите человеку мотивированное уведомление о причинах продления.
Если данные уже переданы третьим лицам, вы должны уведомить их об отзыве согласия, чтобы они тоже прекратили обработку.
Ответственность за нарушения при обработке персональных данных
Штрафы за нарушения 152-ФЗ существенно выросли в 2024–2025 годах. Основная статья — 13.11 КоАП РФ, которая содержит множество частей с разными составами нарушений. Точные суммы зависят от конкретного нарушения, поэтому в каждом случае уточняйте актуальный размер на момент обращения.
Штрафы за утечку данных
С 30 мая 2025 года действуют новые штрафы за утечки персональных данных (420-ФЗ от 30.11.2024):
- за сам факт утечки — до 15 млн ₽ (фиксированная сумма);
- оборотный штраф (ст. 13.11.1 КоАП, повторное нарушение или крупный масштаб) — 0,1–3% годовой выручки, но не менее 25 млн и не более 500 млн ₽.
Уголовная ответственность
С 11 декабря 2024 года действует новая ст. 272.1 УК РФ — за незаконное использование, передачу, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём. Наказание по ч. 1:
- штраф до 300 000 ₽;
- принудительные работы;
- лишение свободы до 4 лет.
Также действует ст. 137 УК РФ (незаконный сбор или распространение сведений о частной жизни) и ст. 274 УК РФ (для сотрудников, нарушивших правила эксплуатации систем хранения или обработки данных, если это привело к уничтожению, блокированию или копированию данных).
Уведомление Роскомнадзора об утечке
При утечке данных вы обязаны уведомить Роскомнадзор:
- в течение 24 часов — первичное уведомление;
- в течение 72 часов — детальное уведомление с результатами внутреннего расследования.
Порядок уведомления установлен приказом РКН от 14.11.2022 № 187.
Частые ошибки при оформлении согласия
Даже если у вас есть согласие, оно может быть признано недействительным. Вот типичные ошибки:
- Галочка по умолчанию. Если на сайте галочка уже стоит, а человек просто нажал «Отправить» — это не согласие.
- Размытые цели. «Для улучшения сервиса» — не цель. Нужно конкретно: «для обработки заявки», «для доставки товара».
- Нет перечня данных. Нельзя писать «все данные, которые пользователь оставит на сайте».
- Нет срока действия. Согласие без срока — риск, лучше всегда указывать конкретный период.
- Нет порядка отзыва. Человек должен знать, как отозвать согласие.
- Одно согласие на всё. Для специальных категорий, биометрии и распространения нужны отдельные согласия.
- Нет данных оператора. Если в согласии не указаны ваши реквизиты — оно недействительно.
- Согласие на передачу за границу без указания страны. Если вы передаёте данные в сервисы, которые находятся за пределами РФ, это нужно явно указать.
Резюме
Согласие на обработку персональных данных — это не просто формальность, а ключевой документ, который защищает ваш бизнес от претензий Роскомнадзора и клиентов. Правильно оформленное согласие должно быть конкретным, информированным и однозначным, содержать все обязательные реквизиты по ст. 9 152-ФЗ и учитывать особенности вашей ситуации: сайт, сотрудники, дети, биометрия, передача данных третьим лицам или за границу.
Помните: молчание и бездействие не считаются согласием. Для cookie и аналитики на сайте лучше использовать активное согласие (галочка), а для специальных категорий, биометрии и распространения данных — отдельные письменные согласия. Срок действия согласия указывайте всегда, а порядок отзыва сделайте простым и понятным. И главное — после отзыва согласия уничтожайте данные в течение 30 дней, как требует ст. 21 152-ФЗ.
Если вы сомневаетесь, правильно ли оформлено ваше согласие на обработку персональных данных, — проверьте его на соответствие актуальным требованиям закона. Ошибка в этом документе может стоить вам не только штрафа, но и репутации.