Согласие на обработку персональных данных: когда оно обязательно и как оформить

Согласие часто воспринимают как универсальное разрешение «на всякий случай»: его включают в договор, анкету, форму заказа и пытаются одним текстом закрыть обслуживание, рекламу, публикацию фотографий и передачу данных партнёрам. Это неверная логика. Согласие — только одно из правовых оснований обработки. Сначала оператор определяет конкретную цель и проверяет, есть ли для неё основание в законе или договоре. И только если подходящего основания нет либо закон прямо требует согласия, получает его у человека.

Ошибки работают в обе стороны. Лишнее согласие создаёт зависимость обязательного процесса от отзыва и скрывает неверно выбранное основание. Отсутствующее согласие делает незаконными маркетинг, публикацию или другую дополнительную обработку. Разберём систему целиком по 152-ФЗ с учётом правила, действующего с 1 сентября 2025 года: согласие оформляют отдельно от договора, анкеты и другой информации, которую подтверждает или подписывает субъект.

Сначала цель и основание, потом форма

Для каждого процесса полезно ответить на четыре вопроса: зачем нужны данные; какие именно данные минимально необходимы; какое основание разрешает обработку; когда цель будет достигнута и данные нужно удалить. Наличие подписи под согласием не исправляет расплывчатую цель, избыточный состав данных или бессрочное хранение. Принципы статьи 5 152-ФЗ соблюдаются при любом основании.

Часть 1 статьи 9 требует, чтобы согласие было свободным, конкретным, предметным, информированным, сознательным и однозначным. Оператор, а не субъект, обязан доказать получение действительного согласия либо наличие другого основания. Галочка, подпись или код из СМС имеют смысл только вместе с понятным текстом, идентификацией человека, зафиксированной версией формы и временем волеизъявления.

Когда отдельное согласие не требуется

Статья 6 152-ФЗ содержит самостоятельные основания обработки. Если одно из них полностью покрывает цель, просить согласие не нужно. Наиболее частые случаи:

• Заключение договора по инициативе человека. Можно обработать данные заявки, заказа или резюме, необходимые для подготовки договора, стороной, выгодоприобретателем или поручителем по которому станет субъект.
• Исполнение договора с субъектом. Интернет-магазину не нужно согласие, чтобы принять адрес доставки и телефон покупателя для исполнения заказа; исполнителю — чтобы вести расчёты и связаться по поводу услуги; банку — чтобы выполнять договор в допустимом законом объёме.
• Исполнение обязанности по закону. Работодатель обрабатывает сведения для кадрового, налогового и страхового учёта; продавец хранит обязательные бухгалтерские и налоговые документы; организация отвечает на законный запрос государственного органа.
• Участие в судопроизводстве и исполнение судебного акта. Данные обрабатывают в объёме, необходимом для дела и защиты прав.
• Защита жизни и здоровья. Если получить согласие невозможно, данные допускается обработать для защиты жизненно важных интересов субъекта.
• Права и законные интересы оператора или третьих лиц. Это не универсальная оговорка: нужен документированный баланс интересов, необходимость обработки и отсутствие несоразмерного вмешательства в права человека.
• Обязательное опубликование или раскрытие по федеральному закону. Согласие не подменяет установленную законом обязанность.

Ключевое ограничение договорного основания: данные должны быть объективно нужны для заключения или исполнения именно этого договора. ФИО, контакты и адрес для доставки обычно покрываются договором; рекламная рассылка, продажа профиля клиента партнёру, публикация отзыва с фотографией или хранение данных после окончания всех договорных и законных сроков — нет.

Договор без согласия: где проходит граница

С 1 сентября 2025 года нельзя вставлять согласие пунктом в договор или считать подпись под договором одновременно подписью под согласием. Но это не означает, что к каждому договору теперь нужен второй лист. Если обработка идёт по пункту 5 части 1 статьи 6, согласия нет вообще: в договоре описывают необходимые условия исполнения, а правовое основание фиксируют в реестре процессов и политике. Если дополнительное согласие действительно нужно, его оформляют отдельно.

Какие виды согласий бывают

1. Обычное согласие в подтверждаемой форме

По общему правилу согласие можно дать в любой форме, позволяющей доказать его получение, если специальная норма не требует письменной формы. Это может быть отдельный бумажный документ, электронная форма с активной галочкой, действие в личном кабинете, код подтверждения или другой способ. Заранее проставленная галочка, молчание, продолжение просмотра сайта без ясного действия или запись в базе без первичного доказательства не подтверждают однозначного волеизъявления.

2. Согласие в письменной форме

Когда федеральный закон требует письменного согласия, применяются часть 4 статьи 9 и её обязательные реквизиты. Бумажной форме равнозначен электронный документ, подписанный электронной подписью в соответствии с законом. Простая веб-галочка без предусмотренного механизма электронной подписи не заменяет письменное согласие.

Письменная форма, в частности, требуется для обработки специальных категорий данных по согласию, биометрических данных, используемых для установления личности, и решений, основанных исключительно на автоматизированной обработке и порождающих юридические последствия либо затрагивающих права субъекта. Во всех этих нормах есть специальные законные исключения, поэтому оператор сначала проверяет их применимость.

3. Согласие на специальные категории данных

К специальным категориям статья 10 относит сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни. Их обработка в общем случае запрещена. Одно из исключений — письменное согласие; другие исключения касаются, например, данных, сделанных общедоступными самим субъектом, трудового и социального законодательства, защиты жизни, медицинских целей при соблюдении профессиональной тайны и правосудия. Поэтому клинике для лечения не всегда нужно согласие именно по статье 10, но публикация истории пациента или использование её в рекламе этим исключением не покрываются.

4. Согласие на биометрические персональные данные

Биометрией по статье 11 являются физиологические и биологические особенности, которые оператор использует для установления личности: например, шаблон лица или отпечатка для идентификации. Обычно требуется письменное согласие. Само наличие фотографии ещё не всегда означает биометрию — важна цель идентификации. Закон содержит закрытые специальные исключения. Если обязательность биометрии не установлена федеральным законом, оператор не вправе отказать в обслуживании из-за отказа человека предоставить биометрию или согласиться на её обработку.

5. Отдельное согласие на распространение

Размещение ФИО, фото, должности, отзыва или списка участников на общедоступном сайте и в открытой социальной сети — раскрытие неопределённому кругу лиц. Для него статья 10.1 требует согласие на обработку персональных данных, разрешённых для распространения, отдельное от всех иных согласий. Человек должен иметь возможность выбрать данные по категориям и установить запреты и условия; молчание не считается согласием. Содержание определяет приказ Роскомнадзора №18. Подробный разбор — в статье о согласии на распространение.

6. Предварительное согласие на прямой маркетинг и рекламу

Статья 15 152-ФЗ требует предварительного согласия на обработку данных для продвижения товаров и услуг посредством прямых контактов с помощью средств связи. Для рекламных звонков, сообщений и рассылок дополнительно действует статья 18 Закона №38-ФЗ о рекламе. Оператор и рекламораспространитель должны доказать согласие и немедленно прекратить соответствующую обработку или рассылку по требованию адресата. Согласие на обслуживание заказа не означает согласия на рекламу.

7. Согласие на исключительно автоматизированное решение

Если решение принимается только алгоритмом и создаёт юридические последствия либо иным образом затрагивает права человека — например, автоматически отказывает в услуге, — статья 16 требует письменного согласия или прямого основания в федеральном законе. Оператор должен разъяснить порядок решения, возможные последствия, дать возможность заявить возражение и рассмотреть его с участием человека.

8. Согласия для специальных отношений

Трудовое, медицинское, банковское, страховое, образовательное, законодательство о связи и другие отрасли устанавливают дополнительные случаи и формы. Не следует переносить шаблон клиента на работника или пациента. Например, основная кадровая обработка покрывается законом и трудовыми отношениями, а передача данных для добровольной программы, публикация на сайте или хранение резюме в кадровом резерве могут требовать самостоятельного основания. Практика работодателя разобрана отдельно в статье о согласиях работников.

Что должно быть в письменном согласии

Часть 4 статьи 9 требует указать:

• ФИО и адрес субъекта, реквизиты удостоверяющего личность документа, дату выдачи и выдавший орган;
• при подписании представителем — его данные и документ о полномочиях;
• наименование или ФИО и адрес оператора;
• конкретную цель обработки;
• перечень персональных данных;
• наименование или ФИО и адрес обработчика, если обработка поручается конкретному лицу;
• перечень действий и общее описание способов обработки;
• срок действия и способ отзыва, если закон не установил иное;
• подпись субъекта.

Обычное согласие, для которого письменная форма законом не обязательна, не обязано механически повторять паспортный состав части 4. Но оно всё равно должно быть конкретным и доказуемым. На практике полезно фиксировать оператора, цель, данные, операции, получателей или категории получателей, срок, способ отзыва, текст и версию формы.

Можно ли объединить несколько целей в одном согласии

152-ФЗ не устанавливает общего правила «одна цель — один лист». Несколько целей могут находиться в одном отдельном документе согласия, если они конкретно перечислены, логически связаны, имеют совместимые состав данных, получателей, сроки и режим обработки, а человек действительно может понять и свободно принять весь набор. Например, технически близкие уведомления о ходе одного мероприятия и выдача сертификата могут быть описаны раздельными пунктами одной формы, если отказ от необязательного пункта не блокирует основную услугу.

Однако одно общее «согласен на любые цели» недействительно. Чем самостоятельнее цели, тем сильнее аргументы за отдельные волеизъявления. Удобный тест: может ли человек разумно согласиться на одну цель и отказаться от другой? Если да, объединённая обязательная галочка лишает выбор свободы и однозначности.

Когда цели нужно или безопаснее разделить

• Распространение данных. Закон прямо требует отдельного от иных согласий документа по статье 10.1.
• Обязательная услуга и необязательный маркетинг. Нельзя ставить исполнение оплаченного договора в зависимость от рекламной рассылки. Для маркетинга делают отдельную необязательную галочку или форму.
• Разные самостоятельные получатели. Передача данных партнёру для его бизнеса должна быть отделена от обработки самим оператором для договора.
• Разные сроки. Обслуживание заканчивается после договора, рекламная база может использоваться до более раннего отзыва, публикация действует на своих условиях. Один общий срок скрывает различия.
• Разные последствия отказа. Биометрический пропуск и обычная карта должны оставаться реальной альтернативой, если закон не делает биометрию обязательной.
• Разные специальные режимы. Письменное согласие на биометрию, согласие на автоматизированное решение и согласие на распространение проверяются по разным нормам; безопаснее оформлять их отдельно.
• Цели несовместимы или появились позднее. Данные заказа нельзя молча переиспользовать для скоринга, обучения рекламной модели или публикации. Для новой цели нужно новое основание и, когда им является согласие, новое волеизъявление.

Даже внутри одного документа интерфейс может дать отдельные переключатели по независимым целям и сохранить выбор по каждой. Но согласие на распространение всё равно оформляется отдельно в силу прямого требования закона. А с 1 сентября 2025 года любой документ согласия должен быть отделён от договора, заявления, правил акции и другой подтверждаемой субъектом информации.

Передача третьим лицам и поручение обработки

Любое участие внешнего сервиса не означает автоматически, что нужно согласие. Следует определить роль лица. Если курьер, облачный провайдер или CRM обрабатывает данные по поручению оператора, цели и операции ограничиваются поручением по части 3 статьи 6. Возможность поручения должна иметь правовое основание: согласие субъекта либо специальное законное исключение. Если передачу и поручение объективно покрывает исполнение договора с субъектом или федеральный закон, получать формальное согласие только из-за подрядчика не всегда требуется; конкретную схему надо оценивать по договору и отраслевым нормам.

Если получатель сам определяет новую цель — например, использует клиентскую базу для собственных предложений, — он уже не просто технический обработчик. Для такой самостоятельной передачи нужно отдельное основание, чаще всего ясно выраженное согласие с указанием цели и получателя. Формула «любым третьим лицам в любых целях» не отвечает требованиям конкретности и информированности.

Как собирать согласие на сайте и в приложении

• Не ставить галочки заранее и не считать молчание согласием.
• Рядом с действием дать ссылку на конкретную версию отдельного текста согласия, а не только на политику конфиденциальности.
• Разделить обязательные действия по договору и необязательные цели; для рекламы использовать отдельную незаполненную галочку.
• Зафиксировать пользователя или контакт, дату и точное время, источник, действие, версию текста, техническое подтверждение и последующий отзыв.
• Не подменять согласие фразой «нажимая кнопку, принимаю всё», если одна кнопка одновременно заключает договор и якобы разрешает независимые виды обработки.
• Для письменной формы использовать юридически допустимую электронную подпись, а не только запись о клике.

Политика обработки персональных данных и согласие выполняют разные функции. Политика публично описывает правила оператора; согласие фиксирует индивидуальное волеизъявление человека. Ознакомление с политикой не равно согласию, а согласие не отменяет обязанность опубликовать политику.

Срок действия, отзыв и уничтожение

Согласие можно отозвать. Но отзыв не всегда означает немедленное удаление всего массива. Если после отзыва остаётся основание из пунктов 2–11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11 — например, обязанность хранить бухгалтерские документы или необходимость завершить договор, — оператор продолжает только ту обработку, которую покрывает это основание. Маркетинг, публикацию и другие операции, державшиеся исключительно на согласии, прекращают.

По общему правилу части 5 статьи 21, если сохранение данных больше не требуется для целей обработки и нет иного основания, данные уничтожают в срок не более 30 дней после отзыва. Для прямого маркетинга статья 15 требует прекратить обработку немедленно по требованию субъекта. Согласие на распространение прекращается по специальным правилам статьи 10.1. Факт отзыва, блокирования и уничтожения нужно уметь подтвердить.

Типичные ошибки

• Берут согласие там, где работает закон или договор. Это маскирует основание и создаёт противоречие при отзыве.
• Встраивают согласие в договор. После 1 сентября 2025 года оно должно быть отдельным от подписываемых документов.
• Одна обязательная галочка на заказ, рекламу и партнёров. Волеизъявление не является свободным и предметным.
• Публикуют данные по обычному согласию. Для неопределённого круга лиц нужна отдельная форма по статье 10.1.
• Не могут доказать электронное согласие. В CRM стоит признак «да», но нет версии текста, времени, источника и действия пользователя.
• Используют чрезмерно широкие формулировки. «Любые данные, любые действия, любые третьи лица, любые цели» противоречат конкретности.
• Не исполняют отзыв во всех системах. Адрес удалён из основной CRM, но остался у рассыльщика, в выгрузках и у обработчика.
• Считают согласие бессрочным. Срок должен быть связан с целью; «до отзыва» не разрешает хранить данные после её достижения.

Практический алгоритм оператора

1. Составить реестр целей обработки по категориям субъектов.
2. Для каждой цели выбрать конкретное основание статьи 6 и специальных норм.
3. Убрать согласия из процессов, полностью покрытых договором или законом.
4. Разделить обязательные и добровольные цели, специальные режимы и получателей.
5. Определить требуемую форму: подтверждаемая, письменная или специальная по статье 10.1.
6. Настроить доказательство выдачи, версий, согласия и отзыва.
7. Связать формы со сроками, системами, обработчиками и процедурой уничтожения.
8. Регулярно проверять, совпадает ли фактическая обработка с текстом согласия.

Главное

Правильная схема начинается не с шаблона согласия, а с цели и основания. Данные, необходимые для заключения и исполнения договора или выполнения закона, обрабатывают без отдельного согласия. Оно обязательно, когда другого основания нет или специальная норма прямо его требует: для маркетинга, многих операций со специальными категориями и биометрией, исключительно автоматизированных значимых решений, а для открытой публикации — в особой отдельной форме. Несколько тесно связанных целей можно описать в одном самостоятельном согласии, но независимые добровольные цели требуют реального раздельного выбора; распространение всегда отделяется законом. ГрамотаИБ помогает разложить процессы по основаниям, подготовить формы для разных категорий субъектов и связать их со сроками и системами — начать можно в сервисе.