⚠ ФАКТЧЕК: следующие утверждения не подтверждены шпаргалкой, проверить вручную перед публикацией:

• "(вся статья)" — Автоматическая проверка фактов вернула повреждённый ответ (невалидный JSON) — эту статью нужно проверить вручную целиком, а не по отдельным пунктам.

Журнал согласий на обработку персональных данных: зачем нужен и как вести

Если вы владелец сайта или бизнеса в России, вы почти наверняка собираете персональные данные клиентов, подписчиков или сотрудников. И для каждого такого сбора нужно согласие. Но просто получить согласие недостаточно — закон требует, чтобы вы могли в любой момент подтвердить, что и когда человек вам его дал. Именно для этого и нужен журнал согласий на обработку персональных данных. Разберёмся, что это за документ, обязательно ли его вести, как правильно оформить и какие ошибки допускать нельзя.

Что такое журнал согласий и зачем он нужен

Журнал учёта согласий на обработку персональных данных — это внутренний документ оператора, в котором фиксируются все факты получения, изменения и отзыва согласий от субъектов персональных данных. Простыми словами: это реестр, где вы записываете, кто, когда, на что согласился и не отозвал ли потом своё согласие.

Прямое требование закона или рекомендация?

152-ФЗ «О персональных данных» не содержит прямого указания «вести журнал согласий вот такой формы». Однако статья 9 закона требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. А статья 21 обязывает оператора уничтожить данные в течение 30 дней после отзыва согласия (продление ещё на 5 рабочих дней при мотивированном уведомлении). Как вы докажете Роскомнадзору, что вовремя уничтожили данные, если не фиксировали дату отзыва? Журнал — это ваш главный инструмент доказательства.

Кроме того, при проверке Роскомнадзор (РКН) запрашивает документы, подтверждающие законность обработки. Без журнала вы рискуете получить штраф по статье 13.11 КоАП — его размер может доходить до значительной суммы, уточняйте актуальный размер на момент обращения уточняйте актуальный размер на момент обращения.

Чем журнал согласий отличается от других документов

Не путайте журнал согласий с:

• Политикой обработки ПДн — это публичный документ, который описывает, как вы обрабатываете данные вообще.
• Уведомлением РКН — его подают один раз до начала обработки (форма по приказу РКН от 28.10.2022 №180, рассмотрение — 30 дней).
• Журналом учёта обращений субъектов — туда записывают запросы людей на доступ к их данным, уточнение или блокировку.

Журнал согласий — это именно реестр самих согласий: кто дал, когда, на каких условиях.

Как правильно вести журнал согласий

Форма ведения: бумажная или электронная

Закон не предписывает конкретную форму. Вы можете вести журнал:

• В бумажном виде — прошитый, пронумерованный, скреплённый печатью (если есть). Подходит для небольших компаний.
• В электронном виде — в Excel, Google Sheets, специализированном ПО или CRM. Главное — обеспечить защиту от несанкционированного доступа и возможность восстановления при сбоях.

Электронный вариант удобнее, если у вас много клиентов. Но помните: при проверке РКН может запросить выгрузку, и она должна быть читаемой и структурированной.

Какие поля обязательно включать

Вот минимальный набор данных, который должен быть в каждой записи журнала:

1. Дата и время получения согласия — точная фиксация момента.
2. ФИО субъекта (или иной идентификатор — номер телефона, email, если ФИО не требуется).
3. Способ получения согласия — заполненная форма на сайте, подпись на бумаге, отметка в чекбоксе, голосовое подтверждение.
4. Цель обработки — на что именно согласился человек (например, «для отправки новостной рассылки», «для оформления заказа»).
5. Перечень данных, на обработку которых дано согласие — ФИО, телефон, email, адрес доставки и т.д.
6. Срок действия согласия — если он установлен (например, «до отзыва» или «на 1 год»).
7. Отметка об отзыве — дата и способ отзыва (если был).
8. Дата уничтожения данных после отзыва — в течение 30 дней.

Пример записи в журнале

Дата получения	ФИО субъекта	Способ получения	Цель обработки	Перечень данных	Срок действия	Отзыв (дата)	Уничтожение (дата)
10.03.2025	Иванов Иван Иванович	Чекбокс на сайте	Оформление заказа	ФИО, телефон, email, адрес	До отзыва	—	—
15.03.2025	Петрова Анна Сергеевна	Заполнение формы	Рассылка новостей	Email	1 год	20.03.2025	25.03.2025

Особенности для разных видов согласий

Согласие на обработку (общий случай) — статья 9 152-ФЗ

Это базовое согласие, которое вы получаете для большинства операций: обработка заказа, регистрация на сайте, подписка на рассылку. Оно должно быть конкретным и информированным. В журнале фиксируйте его как обычную запись.

Согласие на специальные категории — статья 10 152-ФЗ

Если вы обрабатываете данные о здоровье, национальности, судимости, политических взглядах — нужно отдельное явное согласие. В журнале обязательно отмечайте, что это согласие именно на специальные категории, и храните его отдельно или с пометкой.

Согласие на распространение данных — статья 10.1 152-ФЗ

Эта норма добавлена 519-ФЗ от 30.12.2020 и действует с 1 марта 2021. Если вы планируете публиковать данные человека (например, фото сотрудника на сайте компании, отзыв клиента с именем), нужно отдельное согласие на распространение. Оно оформляется отдельно от согласия на обработку, с правом человека указать условия или запреты.

В журнале для таких согласий заведите отдельный раздел или чётко маркируйте записи. Например: «Согласие на распространение: фото, ФИО, должность — на сайте компании, без ограничения срока».

Согласие на биометрию — статья 11 152-ФЗ

Биометрические персональные данные (отпечатки пальцев, изображение лица, голос) обрабатываются только с письменным согласием субъекта. Исключения — реадмиссия по межгосударственным договорам, отправление правосудия, обязательная государственная регистрация.

Важный нюанс: оператор не вправе отказать в услуге при отказе субъекта дать биометрию или согласие, если по закону это согласие не обязательно. Часть 2 статьи 11 менялась 519-ФЗ от 28.12.2024, действует с 01.09.2025.

В журнале для биометрии делайте отдельную запись с пометкой «письменное согласие» и храните скан или оригинал документа.

Согласие несовершеннолетних

152-ФЗ прямо не фиксирует возрастной порог. По общим нормам (статья 26 ГК РФ):

• До 14 лет — согласие даёт родитель или законный представитель.
• С 14 до 18 лет — сам подросток, но обычно с письменным согласием родителя (кроме эмансипированных).

Есть письмо Роскомнадзора от 11.03.2022 № 08-15154 про биометрию и спецкатегории несовершеннолетних — там требования строже.

В журнале для несовершеннолетних указывайте, кто дал согласие (ФИО родителя, реквизиты документа), и прикладывайте подтверждение полномочий.

Согласие законного представителя

По статье 9 152-ФЗ согласие законного представителя может даваться в любой форме, подтверждающей факт получения, если иное не установлено федеральным законом. Для письменного согласия закон отдельно требует включать: ФИО представителя, адрес, номер основного документа, удостоверяющего личность, сведения о дате выдачи документа и выдавшем его органе, а также реквизиты доверенности или иного документа, подтверждающего полномочия представителя.

В журнале для таких записей обязательно фиксируйте все эти реквизиты.

Сроки хранения журнала и согласий

Сколько хранить сам журнал

Журнал как документ, подтверждающий законность обработки, должен храниться 3 года с момента истечения срока действия последнего согласия или его отзыва. Это следует из перечня, утверждённого приказом Росархива № 236.

Сколько хранить согласия как документы

Сами согласия (бумажные или электронные копии) хранятся:

• 3 года — если это обычные согласия на обработку (после отзыва или истечения срока).
• 50 лет — если это документы по личному составу (архив), оформленные после 1.01.2003.
• 75 лет — если документы по личному составу оформлены до 1.01.2003 (статья 22.1 125-ФЗ «Об архивном деле»).

То есть согласия сотрудников на обработку их данных как работников хранятся дольше, чем согласия клиентов.

Что делать после истечения срока хранения

После того как срок хранения истёк, данные должны быть уничтожены. Составьте акт об уничтожении и зафиксируйте это в журнале. Если вы этого не сделаете, при проверке РКН может посчитать, что вы обрабатываете данные без законных оснований.

Типичные ошибки при ведении журнала

Ошибка 1: Не вести журнал вообще

Самая распространённая ошибка. Многие предприниматели считают, что достаточно разместить форму согласия на сайте, а учёт не нужен. При проверке РКН вы не сможете доказать, что конкретный человек дал согласие именно на ваших условиях.

Ошибка 2: Путать согласие на обработку и на распространение

Если вы опубликовали фото клиента на сайте, имея только общее согласие на обработку, — это нарушение. Согласие на распространение должно быть отдельным. В журнале такие записи должны быть чётко разделены.

Ошибка 3: Не фиксировать отзыв согласия

Человек отозвал согласие — вы обязаны уничтожить его данные в течение 30 дней. Если вы не зафиксировали дату отзыва, вы не сможете доказать, что уложились в срок. А если данные остались в системе — это незаконная обработка.

Ошибка 4: Хранить согласия дольше, чем нужно

Если вы храните согласия клиентов годами после того, как они отозвали согласие или истёк срок, — это нарушение. Данные должны быть уничтожены, а в журнале должна быть отметка об уничтожении.

Ошибка 5: Не учитывать cookie

С октября 2024 года Таганский суд Москвы признал cookie персональными данными. С мая 2025 (420-ФЗ) выросли штрафы — до 6 млн ₽ за нарушения. Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет, практика ещё формируется. Для чувствительных случаев (передача данных рекламным партнёрам) советуем активное согласие (галочка), не молчаливое.

В журнале согласий можно фиксировать и cookie-согласия, если вы их собираете. Но пока это не обязательное требование — ориентируйтесь на практику вашего бизнеса.

Как автоматизировать ведение журнала

Вариант 1: Excel или Google Sheets

Самый простой способ для небольшого бизнеса. Создайте таблицу с колонками, как в примере выше. Минус — нужно вручную вносить данные и следить за сроками.

Вариант 2: CRM или специализированное ПО

Многие CRM (например, AmoCRM, Bitrix24) позволяют фиксировать согласия и хранить историю. Настройте автоматическое создание записи при заполнении формы на сайте.

Вариант 3: Собственная разработка

Если у вас интернет-магазин или сервис с тысячами клиентов, имеет смысл интегрировать журнал в вашу систему. Главное — обеспечить защиту данных и возможность выгрузки для проверки.

Чего избегать при автоматизации

• Не храните журнал на общедоступных ресурсах (Google Docs без ограничения доступа).
• Не используйте ненадёжные облачные сервисы без шифрования.
• Не забывайте про резервное копирование.

Что будет, если не вести журнал

Риски при проверке РКН

Роскомнадзор может запросить документы, подтверждающие законность обработки. Если вы не предоставите журнал согласий, это может быть расценено как нарушение порядка обработки персональных данных. Штраф по статье 13.11 КоАП может доходить до значительной суммы, уточняйте актуальный размер на момент обращения уточняйте актуальный размер на момент обращения.

Риски при судебных спорах

Если клиент подаст в суд за незаконную обработку данных, журнал согласий — ваше главное доказательство. Без него вы не сможете подтвердить, что человек добровольно дал согласие.

Риски утечки данных

При утечке персональных данных вы обязаны уведомить РКН: 24 часа на первичное уведомление, 72 часа на детальное (с результатами внутреннего расследования). Порядок — приказ РКН от 14.11.2022 № 187. Если у вас нет журнала, вы не сможете оперативно определить, какие данные и каких людей были скомпрометированы.

Штрафы за утечку (420-ФЗ от 30.11.2024, вступил в силу 30.05.2025): за сам факт утечки — до 15 млн ₽ (фиксированная сумма). Оборотный штраф (статья 13.11.1 КоАП, повторное нарушение/крупный масштаб) — 0,1-3% годовой выручки, но не менее 25 млн и не более 500 млн ₽.

Резюме

Журнал согласий на обработку персональных данных — это не просто формальность, а рабочий инструмент, который защищает ваш бизнес от штрафов и судебных исков. Он помогает:

• Доказать законность обработки при проверке РКН.
• Вовремя уничтожать данные после отзыва согласия.
• Избежать путаницы между разными видами согласий (обработка, распространение, биометрия).
• Быстро реагировать на утечки данных.

Вести его можно в бумажном или электронном виде — главное, чтобы он был аккуратным, полным и доступным для проверки. Не откладывайте создание журнала на потом: чем раньше вы начнёте, тем меньше рисков для вашего бизнеса.