Согласие на обработку персональных данных: что это и как оформить
Согласие на обработку персональных данных — это письменное или устное разрешение человека на то, чтобы компания или ИП собирали и использовали его данные: имя, телефон, адрес, паспорт. Оно обязательно, когда у оператора нет другого законного основания. Требования к нему устанавливает статья 9 Федерального закона № 152-ФЗ «О персональных данных». Без такого согласия обработка чаще всего незаконна.
Что такое согласие на обработку персональных данных
Персональные данные — это любая информация, по которой можно определить конкретного человека: ФИО, дата рождения, номер телефона, e-mail, паспортные данные, ИНН, фото. Оператор (тот, кто собирает данные) вправе их обрабатывать только на законном основании. Согласие субъекта — одно из таких оснований, а для многих ситуаций — единственное.
По закону согласие должно быть:
- конкретным — под понятную цель, а не «на всё сразу»;
- предметным — с указанием, какие именно данные и действия имеются в виду;
- информированным — человек понимает, кому и зачем даёт разрешение;
- сознательным и однозначным — без «согласия по умолчанию» и заранее проставленных галочек.
Согласие можно дать в любой форме, позволяющей подтвердить факт его получения. Но для отдельных случаев закон требует именно письменную форму или отдельный документ.
Когда согласие обязательно в письменной форме
Простой галочки на сайте недостаточно, если речь идёт о чувствительных данных. Письменное согласие (в том числе с усиленной электронной подписью) нужно, в частности:
- при обработке специальных категорий данных — о здоровье, национальности, религии, судимости;
- при обработке биометрии — отпечатки пальцев, распознавание лица, голос;
- при передаче данных за границу в страны без адекватной защиты;
- при распространении данных — публикации в открытом доступе (для этого нужно отдельное согласие по статье 10.1 152-ФЗ, оно не может быть «зашито» в общий текст).
Во всех этих случаях устного «да» или общей формулировки недостаточно — оператор обязан хранить подтверждающий документ.
Что должно содержать согласие
Для письменной формы статья 9 152-ФЗ прямо перечисляет обязательные реквизиты. Если хотя бы одного нет, документ считается ненадлежащим.
| Что указывается | Пояснение |
|---|---|
| ФИО, адрес субъекта, реквизиты паспорта | Кто даёт согласие |
| Данные представителя | Если согласие даётся через представителя |
| Наименование и адрес оператора | Кто получает данные |
| Цель обработки | Зачем собираются данные |
| Перечень персональных данных | Какие именно данные |
| Перечень действий с данными | Сбор, хранение, передача, удаление и т. д. |
| Срок действия и способ отзыва | На какой период и как отозвать |
| Подпись субъекта | Собственноручная или электронная |
Формулировки цели вроде «в маркетинговых целях» без конкретики Роскомнадзор считает размытыми. Лучше прописывать цель предметно: «для исполнения договора оказания услуг», «для рассылки информационных писем».
Как оформить согласие: пошагово
- Определите цель. Под каждую отдельную цель — своё согласие или отдельный пункт.
- Перечислите данные. Ровно те, что реально нужны, не «про запас».
- Укажите оператора и срок. Наименование, адрес, период действия согласия.
- Пропишите порядок отзыва. Адрес и способ, куда человек может направить заявление.
- Получите подпись. На бумаге, галочкой с фиксацией действия или электронной подписью.
- Сохраните документ. Оператор обязан подтвердить факт согласия при проверке.
Готовый шаблон под требования 152-ФЗ проще не собирать с нуля, а заполнить по подсказкам. Актуальную форму можно оформить через конструктор согласия на обработку персональных данных — реквизиты и обязательные пункты уже учтены.
Как отозвать согласие
Человек вправе отозвать согласие в любой момент. Для этого он направляет оператору письменное заявление — по почте, лично или на электронный адрес, указанный в самом согласии. Отдельного основания или объяснения причин не требуется.
После отзыва оператор обязан прекратить обработку и удалить данные. Но есть исключения: если закон разрешает обрабатывать данные без согласия (например, для исполнения договора, судебной защиты, воинского учёта), обработка может продолжиться на этом основании даже после отзыва.
Штрафы за обработку без согласия
С 30 мая 2025 года ответственность по статье 13.11 КоАП РФ существенно ужесточили. Обработка персональных данных без согласия, когда оно обязательно, наказывается штрафом: для граждан и должностных лиц — в тысячах рублей, для юридических лиц суммы выросли до сотен тысяч рублей за одно нарушение. Отдельно введены крупные (в том числе оборотные) штрафы за утечки персональных данных.
Контролирующий орган — Роскомнадзор. Кроме того, с 1 сентября 2022 года почти все операторы обязаны подавать в Роскомнадзор уведомление об обработке персональных данных до её начала.
Кому нужно согласие
Согласие оформляют не только крупные компании. Оператором становится практически любой, кто собирает чужие данные:
- интернет-магазины и сайты с формой обратной связи;
- работодатели — при приёме сотрудников;
- ИП и самозанятые, ведущие клиентскую базу;
- управляющие компании и ТСЖ;
- медицинские, образовательные, юридические организации.
Если вы оказываете услуги и собираете контакты клиентов, согласие обычно оформляется вместе с договором — как в нашем гайде по договорам оказания услуг и подряда. Другие бланки для личных и семейных ситуаций собраны в разделе личные документы.
Бланк и образец: как получить
Требования 152-ФЗ в 2026 году строгие, поэтому брать первый попавшийся бланк согласия из интернета опасно — в нём может не оказаться обязательных реквизитов. Актуальный образец проще заполнить по подсказкам: составить документ можно онлайн, а готовое согласие на обработку персональных данных скачать в Word — чтобы отредактировать под свою цель обработки и распечатать для подписи.
Частые вопросы
Да. Оставленная заявка не отменяет требований 152-ФЗ. Нужно зафиксировать согласие — например, галочкой с ссылкой на политику обработки данных, если данные используются для чего-то, кроме прямого исполнения договора.
Для обычных данных (имя, телефон, e-mail) — да, если факт согласия фиксируется. Но для здоровья, биометрии или публикации данных в открытом доступе нужна письменная форма или отдельное согласие.
Срок оператор указывает сам — например, на период действия договора плюс время хранения по закону. Бессрочное согласие допустимо, но человек всё равно может отозвать его в любой момент.
Оператор обязан прекратить обработку и удалить данные. Исключение — случаи, когда закон разрешает обработку без согласия: тогда часть данных может храниться на другом основании.
Часть данных работника обрабатывается без согласия — для исполнения трудового договора и отчётности (Трудовой кодекс РФ, глава 14). Но для дополнительных целей — фото на пропуск, публикация на сайте — согласие требуется.
Ответственность несёт оператор — компания или ИП, собравшие данные. Штрафы по статье 13.11 КоАП РФ налагает Роскомнадзор, а при утечках суммы могут быть особенно крупными.