Согласие на обработку персональных данных — не формальная подпись внизу анкеты, а документ со строго заданным составом реквизитов. Нет хотя бы одного обязательного пункта — обработка признаётся не имеющей правового основания, а дальше предписание Роскомнадзора, штраф и требование удалить данные. При этом часто согласие вообще не нужно: закон даёт и другие основания обработки, и подпись «на всякий случай» создаёт лишний риск, а не снимает его.
Ниже — что обязано быть в бланке по пунктам, чем согласие отличается от политики обработки, когда его можно не брать, какие ошибки чаще всего находит проверка и как оформить отзыв.
Что вы получаете:
- разбор структуры согласия по обязательным пунктам — можно сверить свой бланк построчно;
- понимание, на каком основании вы обрабатываете данные на самом деле и нужна ли подпись;
- отдельные формы под разные цели: сайт, кадры, рассылка, передача партнёру, биометрия;
- корректно оформленный порядок отзыва и уничтожения данных;
- проверку действующих бланков и переработку тех, что не выдержат проверку.
Кому это нужно
- сайтам и интернет-магазинам — форма заявки, обратный звонок, подписка, метрика и куки;
- работодателям — приём на работу, ДМС, пропускные системы, фото сотрудника на сайте;
- клиникам, салонам, образовательным и спортивным организациям — данные о здоровье относятся к специальной категории и требуют особого оформления;
- компаниям, передающим данные подрядчикам — колл-центр, курьерская служба, облако, CRM;
- тем, к кому пришла проверка или запрос, — бланк проверяется первым.
Нормативная рамка
- Федеральный закон № 152-ФЗ «О персональных данных» — базовый акт;
- статья 6 № 152-ФЗ — условия обработки: согласие субъекта лишь одно из оснований, остальные перечислены в той же части;
- статья 9 № 152-ФЗ — требования к согласию: оно должно быть конкретным, предметным, информированным, сознательным и однозначным; там же — перечень сведений для письменной формы и право отзыва;
- статья 10 № 152-ФЗ — специальные категории данных (здоровье, национальность, убеждения, интимная жизнь): обработка по общему правилу запрещена и допускается при письменном согласии либо в прямо названных случаях;
- статья 10.1 № 152-ФЗ — отдельное согласие на распространение данных, то есть на раскрытие неограниченному кругу лиц;
- статья 11 № 152-ФЗ — биометрические персональные данные;
- статья 18.1 № 152-ФЗ — обязательные меры оператора, включая политику обработки;
- статья 21 № 152-ФЗ — прекращение обработки и уничтожение данных при отзыве согласия;
- статья 13.11 КоАП РФ — административная ответственность оператора.
Обязательные пункты бланка: структура образца
Письменное согласие по статье 9 закона должно включать перечисленный ниже набор сведений. Порядок пунктов свободный, состав — нет.
1. Данные субъекта: фамилия, имя, отчество, адрес, реквизиты документа, удостоверяющего личность (вид, номер, сведения о дате выдачи и выдавшем органе). Для веб-форм полный паспортный блок избыточен и сам по себе становится нарушением принципа минимизации — здесь работает иная форма фиксации согласия, о ней ниже.
2. Данные оператора: наименование (для ИП и физлица — Ф. И. О.) и адрес. Юридический адрес, а не «г. Москва».
3. Цель обработки — конкретная и проверяемая. «Для улучшения качества обслуживания» цели не образует. Пишется то, ради чего данные действительно нужны: рассмотрение обращения, заключение и исполнение договора, доставка заказа, направление рекламной рассылки.
4. Перечень персональных данных — поимённо: фамилия, имя, номер телефона, адрес электронной почты, адрес доставки. Формулировка «иные данные, необходимые оператору» обесценивает бланк.
5. Наименование и адрес лица, осуществляющего обработку по поручению оператора, если такое лицо есть. Пункт пропускают чаще всех: как только вы завели облачную CRM, колл-центр или сервис рассылок, обработчик появился.
6. Перечень действий с данными и описание способов обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение; с использованием средств автоматизации или без них.
7. Срок действия согласия — либо календарный, либо привязанный к событию («до достижения цели обработки», «в течение срока хранения кадровых документов»). Бессрочное согласие вызывает вопросы.
8. Порядок отзыва: способ подачи заявления, адрес, срок реакции оператора. Отозвать согласие субъект вправе в любой момент, и препятствовать этому нельзя.
9. Подпись субъекта. Равнозначна собственноручной — усиленная квалифицированная электронная подпись, а в предусмотренных законом случаях — иные способы, подтверждающие факт получения согласия.
Форма согласия: бумага, галочка на сайте, СМС-код
Письменная форма обязательна не всегда. Закон требует её для отдельных случаев — в частности, для специальных категорий данных, биометрии и ряда прямо названных ситуаций. В остальных случаях подойдёт любая форма, позволяющая подтвердить факт получения согласия, и доказывать этот факт будет оператор.
Практический вывод для сайтов: галочка чекбокса работает, если она не проставлена заранее, если рядом стоит ссылка на текст согласия и политику, если сохраняются лог отправки формы, дата, время и содержимое показанного текста. Предзаполненный чекбокс, «согласие» в подвале страницы мелким шрифтом и объединение согласия с офертой в один документ — то, что снимается проверкой в первую очередь.
Отдельная конструкция — согласие на распространение по статье 10.1: оно оформляется только отдельно от прочих согласий и содержит перечень данных, которые разрешено раскрывать неограниченному кругу лиц, с указанием условий и запретов. Молчание или бездействие субъекта согласием не является. Фото сотрудника на сайте, отзывы с именем клиента, публикация списка участников — это оно, а не обычный бланк. Разработку форм под конкретные сценарии мы делаем в рамках услуги разработка форм согласия на обработку ПДн.
Когда согласие не нужно вообще
Статья 6 закона перечисляет самостоятельные основания обработки. Если сработало одно из них, отдельное согласие не требуется, а иногда и вредит — взяв подпись, вы даёте субъекту право отозвать её и требовать удаления данных, которые обязаны хранить.
- Исполнение договора, стороной которого является субъект, а также заключение договора по его инициативе. Заказ в интернет-магазине, доставка, оказание услуги — согласие на это не нужно.
- Исполнение возложенных на оператора законом обязанностей. Кадровый учёт, воинский учёт, отчётность в СФР и налоговую, бухгалтерия, охрана труда.
- Осуществление прав и законных интересов оператора или третьих лиц — при условии, что не нарушаются права субъекта. Основание рабочее, но его границы оценочные: на нём нельзя строить рекламные рассылки.
- Осуществление правосудия и исполнение судебного акта, претензионная работа.
- Статистические и исследовательские цели — с обязательным обезличиванием.
- Данные, сделанные субъектом общедоступными, — но факт общедоступности доказывает оператор, и «нашли в интернете» доказательством не является.
Что почти всегда требует именно согласия: рекламные и маркетинговые рассылки, звонки с предложениями, передача данных партнёру в его собственных целях, публикация данных, обработка биометрии, аналитика и профилирование сверх нужд договора.
Согласие и политика обработки: разные документы
Их путают постоянно, а требования к ним разные.
Политика обработки персональных данных — односторонний внутренний документ оператора. Она утверждается приказом и, если сбор ведётся через интернет, публикуется в свободном доступе на сайте. Политика описывает всю систему обработки: цели, категории субъектов и данных, основания, сроки, меры защиты, права субъектов.
Согласие — волеизъявление конкретного человека по конкретной цели. Оно адресное, срочное и отзываемое.
Ссылка «нажимая кнопку, вы соглашаетесь с политикой» согласия не образует: политика — не тот документ, с которым соглашаются. Рабочая формула на сайте — отдельная ссылка на текст согласия и отдельная на политику, с отдельным подтверждением. Тексты для сайта готовим вместе: политика конфиденциальности для сайта по 152-ФЗ и пакет документов по защите персональных данных.
Типовые ошибки, которые находит Роскомнадзор
- Одно согласие на все цели сразу — от исполнения договора до рекламы и передачи партнёрам. Нарушен принцип конкретности; при отзыве рушится вся обработка.
- Отсутствие обработчика в бланке при фактической передаче данных в облако, колл-центр или сервис рассылок.
- Избыточный перечень данных: паспортные данные там, где хватает имени и телефона.
- Согласие вшито в оферту или в трудовой договор — субъект лишён возможности согласиться с одним и отказаться от другого.
- Отказ в услуге при несогласии на рекламу. Обусловливать услугу согласием на обработку, для неё не нужную, нельзя.
- Нет механизма отзыва либо отзыв принимают только по бумажному заявлению с нотариальным заверением.
- Данные детей собираются без согласия законного представителя.
- Согласие есть, а обработка шире того, что в нём написано — самый частый разрыв: бланк писали один раз, а процессы с тех пор изменились.
Отзыв согласия: что обязан сделать оператор
Субъект вправе отозвать согласие в любой момент и без объяснения причин. С этого момента оператор прекращает обработку, а данные подлежат уничтожению в срок не более тридцати дней (статья 21) — если нет другого основания продолжать обработку. Такое основание нередко есть: бухгалтерские и кадровые документы хранятся по требованиям закона независимо от отзыва, и об этом субъекту нужно письменно сообщить.
Уничтожение подтверждается актом по приказу Роскомнадзора от 28.10.2022 № 179, а при автоматизированной обработке — ещё и выгрузкой из журнала регистрации событий. Порядок и сроки разбираем отдельно: удаление персональных данных и акт об уничтожении.
Что входит в работу
- Аудит оснований обработки: какие процессы у вас есть, какие данные собираются и на каком основании; где согласие нужно, где оно лишнее, где вместо него требуется договор поручения.
- Разработка форм согласия под каждую цель: сайт, кадры, маркетинг, передача партнёрам, специальные категории, биометрия, дети.
- Отдельное согласие на распространение по статье 10.1 — для публикации фото, отзывов, списков.
- Внедрение на сайте: размещение текстов, логика чекбоксов, фиксация факта согласия и хранение доказательств.
- Смежные документы: политика обработки, приказы, договор поручения обработки (DPA), уведомление в Роскомнадзор.
- Сопровождение при проверке и запросах субъектов — см. юрист по персональным данным: приведение в соответствие 152-ФЗ.
Сроки и стоимость
Проверка действующего бланка — один-два рабочих дня. Комплект форм под несколько целей — от трёх до семи рабочих дней. Полный аудит оснований обработки со схемой процессов — одна-две недели.
Государственных пошлин процедура не требует: согласия нигде не регистрируются. Стоимость работы — по договорённости и зависит от количества целей обработки, наличия специальных категорий и того, разрабатываем ли мы документы с нуля или правим существующие. Цены не являются публичной офертой.
Вопросы и ответы
Можно ли скачать типовой бланк и просто вписать своё название?
Универсальный бланк даёт только каркас реквизитов. Ключевые пункты — цель, перечень данных и обработчики — у каждой компании свои, и именно по ним проверка находит расхождение с реальными процессами. Шаблон разумно брать как чек-лист структуры, а содержание писать под себя.
Нужно ли согласие, если человек сам оставил заявку на сайте?
Для рассмотрения обращения и заключения договора работает основание «заключение и исполнение договора по инициативе субъекта». Отдельное согласие требуется, если вы дополнительно планируете рекламную рассылку, передачу данных партнёру или хранение данных после того, как обращение закрыто.
Действительна ли галочка на сайте вместо подписи?
Да, если закон не требует для этой ситуации письменной формы и если вы способны подтвердить факт получения согласия: не предзаполненный чекбокс, доступный текст согласия, сохранённые логи с датой и временем. Для специальных категорий данных и биометрии галочки недостаточно.
Нужно ли согласие сотрудника при приёме на работу?
Для самого кадрового учёта — как правило, нет: работает исполнение договора и обязанностей, возложенных на работодателя законом. Согласие требуется для того, что за эти рамки выходит: ДМС, негосударственный пенсионный фонд, публикация фото, передача данных в сторонние сервисы, пропускные системы с биометрией.
Что будет, если согласия нет или оно оформлено неправильно?
Обработка лишается правового основания. Это отдельный состав по части 2 статьи 13.11 КоАП РФ: 300–700 тыс. ₽ для юридического лица, при повторном нарушении 1–1,5 млн ₽, а при утечке речь идёт уже о миллионах и оборотных штрафах.
Получить консультацию
Пришлите действующий бланк согласия и коротко опишите, где и зачем вы собираете данные. Скажем, какие пункты отсутствуют, где согласие вообще не требуется, а где нужен другой документ, и подготовим формы под ваши процессы.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.