Согласие на обработку ПДн: когда нужно, как оформить и скачать образец

По общему правилу обработка ПДн допускается только с согласия субъекта (ст. 6 ФЗ от 27.07.2006 №152-ФЗ), если нет оснований для работы с ПДн без него. К таким случаям относятся, например:

• Исполнение договора, стороной которого является субъект ПДн (например, доставка товара, купленного в интернет-магазине).

• Исполнение обязанностей, возложенных на оператора законом (например, ведение бухгалтерского и кадрового учета работодателем).

• Осуществление правосудия.

• Защита жизни, здоровья или иных жизненно важных интересов субъекта, когда получить его согласие невозможно.

Когда обязательно письменное согласие:

• При обработке специальных категорий ПДн (данные о здоровье, расе, национальности, политических и религиозных взглядах) — за исключением случаев, предусмотренных ч. 2 ст. 10 ФЗ №152-ФЗ;

• При обработке биометрических ПДн (отпечатки пальцев, изображение лица, голос) — за исключением случаев, предусмотренных ч. 2 ст. 11 ФЗ №152-ФЗ. 

С 1 сентября 2025 года вступили в силу поправки к ст. 9 закона № 152-ФЗ, внесенные законом от 24.06.2025 № 156-ФЗ. Ключевое изменение 2026 года — принцип отдельности согласия.

• Согласие на обработку ПДн теперь оформляется исключительно как отдельный документ. Его нельзя «вшивать» в текст договора, пользовательского соглашения, оферты или анкеты.

• Исключение: если обработка необходима для исполнения обязательств по договору, стороной которого является субъект, отдельное согласие не требуется. В этом случае правовым основанием выступает сам договор.

• Ранее выданные согласия, оформленные до 1 сентября 2025 года, продолжают действовать и не требуют переоформления.

Важно! Если после 1 сентября 2025 года вы включили текст согласия в договор или оферту, а не оформили отдельным документом, такое согласие считается неполученным. Это приравнивается к обработке ПДн без правовых оснований и влечет штраф до 700 000 рублей для юрлиц (ч. 2 ст. 13.11 КоАП).

1. Оформление работников. Согласие работника нужно только для тех операций, которые выходят за рамки обязательных кадровых процедур. Например, если вы передаете данные сотрудника банку для открытия зарплатного счета или страховой компании для оформления ДМС — согласие обязательно. Для ведения кадрового и бухгалтерского учета, передачи данных в налоговую, СФР и военкомат оно не нужно.

Пример: бухгалтерия передала в банк паспортные данные сотрудника для выпуска зарплатной карты. Поскольку открытие счета не входит в обязательные кадровые процедуры, работодатель обязан получить согласие работника на передачу его данных. Без этого документа банк не вправе принять сведения, а компания рискует получить штраф.

2. Работа с клиентами. Если вы собираете контакты для рекламной рассылки, передаете данные партнерам или публикуете отзывы с личной информацией — согласие нужно, причем не только на работу с ПДн, но и на передачу/распространение. 

Пример: фитнес-клуб собирает отзывы клиентов и публикует их на сайте с указанием имени и фотографии посетителя. Это уже не обработка, а распространение ПДн. Клуб обязан получить отдельное согласие на распространение, в котором клиент сам отметит, какие сведения он разрешает публиковать.

3. Формы обратной связи и заявки на сайте. Согласие на обработку персональных данных оформляется отдельным чекбоксом рядом с формой сбора данных. Если же вы планируете добавить эти контакты в базу для маркетинга, потребуется еще одно отдельное согласие — на получение рекламных рассылок.

Пример: посетитель сайта оставляет заявку на консультацию, заполняя имя и телефон. Для ответа на обращение достаточно одного чекбокса «Даю согласие на обработку персональных данных». Но если компания автоматически добавляет этот контакт в базу для ежемесячной рекламной рассылки, она обязана разместить второй, отдельный чекбокс — иначе обработка незаконна.

4. Интернет-магазин. Для доставки заказа согласие не нужно — работа с ПДн ведется в рамках договора. Но если вы планируете отправлять покупателю рекламные письма или передавать его данные партнерам, обязательно получите согласие.

Пример: покупатель оформил заказ, и магазин использовал его адрес и телефон для передачи курьерской службе. Это исполнение договора, согласие не требуется. Однако через неделю магазин отправляет покупателю SMS с рекламой новой акции. Если согласие на рекламную рассылку не было получено отдельно — это нарушение.

5. Онлайн-сервисы. Личные кабинеты, подписки, облачные хранилища — все это требует четкого определения целей обработки и, в большинстве случаев, получения согласия.

Пример: облачный сервис для бухгалтеров хранит базы данных клиентов с персональной информацией их сотрудников. Сам сервис выступает оператором, и он обязан получить согласие пользователя на обработку его ПДн при регистрации. Кроме того, компания-клиент должна заключить с сервисом договор поручения обработки — иначе передача данных третьему лицу незаконна.

6. Рассылки. Любая маркетинговая коммуникация — email, SMS, push-уведомления — возможна только с согласия получателя. Информационные сообщения о статусе заказа к рекламным не относятся.

Пример: интернет-магазин отправляет покупателю письмо с номером трека для отслеживания посылки — это информационное сообщение, согласие не требуется. Но следом пришло сообщение вроде «Специально для вас: скидка 20% на следующую покупку», это уже реклама, и на нее нужно отдельное согласие.

7. Видеонаблюдение. Согласие требуется только в том случае, если записи используются для идентификации конкретных людей. Если камеры установлены для общей безопасности и записи не привязываются к личности, согласие не нужно.

Пример: офисный центр установил камеры в холле для общей безопасности. Записи хранятся семь дней и нигде не публикуются — согласие посетителей не требуется. 

8. Обработка специальных категорий. Данные о здоровье, национальности, религиозных и политических взглядах требуют письменного согласия во всех случаях, кроме исключений, предусмотренных ч. 2 ст. 10 ФЗ № 152-ФЗ.

Пример: фитнес-клуб перед первой тренировкой запрашивает у клиента справку о состоянии здоровья. Это специальная категория персональных данных. Клуб обязан получить письменное согласие на обработку таких сведений, даже если справка нужна исключительно для допуска к занятиям и не будет передаваться третьим лицам.

Чтобы заполнить согласие корректно, необходимо включить в него все обязательные элементы, перечисленные в ч. 4 ст. 9 ФЗ №152-ФЗ. Документ может быть составлен на бумажном носителе с собственноручной подписью субъекта или в форме электронного документа, подписанного квалифицированной электронной подписью.

Обязательные реквизиты согласия:

• ФИО, адрес, паспортные данные субъекта ПДн (или его представителя — с указанием реквизитов доверенности);

• Наименование и адрес оператора, получающего согласие;

• Конкретная цель обработки (например, «для направления информационных сообщений об услугах»);

• Перечень ПДн, на обработку которых дается согласие (не «любые данные», а конкретный список: ФИО, телефон, e-mail);

• Перечень действий с ПДн (сбор, запись, хранение, уточнение, передача, уничтожение и т.д.);

• Срок действия согласия;

• Порядок и способ отзыва согласия;

• Подпись субъекта. 

Конструктор согласия на обработку персональных данных

Заполните поля и получите образец документа о конфиденциальности данных бесплатно

Перейти

Для ведения кадрового и бухгалтерского учета, а также для передачи данных в налоговые органы, СФР и военкомат согласие работника не требуется — обработка ведется на основании Трудового кодекса и иных федеральных законов.

Однако оно понадобится в случаях, выходящих за рамки обязательных кадровых процедур: для оформления полиса ДМС, покупки путевки, открытия зарплатного счета в банке или передачи данных третьим лицам. Для каждой такой цели оформляется отдельный документ.

Если вы планируете действия, не связанные напрямую с исполнением договора, вам понадобится согласие клиента. Например, если вы хотите отправлять ему рекламные предложения или передать его данные партнеру, без согласия не обойтись.

Получить согласие на сайте можно с помощью чекбокса — пустой галочки, которую пользователь ставит самостоятельно. Предустановленная галочка считается нарушением, а полученное таким образом согласие — ничтожным.

Рядом с чекбоксом размещается прямая ссылка на полный текст согласия. Факт дачи согласия фиксируется в логах: сохраняются IP-адрес, время и версия текста, с которой ознакомился пользователь. Для разных целей — оформление заказа, подписка на рассылку, передача данных партнерам — нужны отдельные чекбоксы.

Отдельный элемент — согласие на использование cookie-файлов. При первом посещении сайта должен появляться баннер с возможностью принять или отклонить аналитические и маркетинговые файлы. Без явного согласия такие cookie загружаться не должны.

Любой человек вправе отозвать свое согласие в любой момент без объяснения причин (ч. 2 ст. 9 152-ФЗ). После получения отзыва оператор обязан прекратить обработку и уничтожить данные в течение 30 дней, если нет иных законных оснований для их хранения (ч. 5 ст. 21 ФЗ №152-ФЗ).

Порядок действий:

1. Субъект направляет оператору заявление в свободной форме. Рекомендуется использовать тот же канал связи, через который было дано согласие (письменно — лично или почтой, онлайн — на e-mail).

2. Оператор регистрирует заявление и проверяет наличие других законных оснований для продолжения обработки.

3. При отсутствии иных оснований оператор прекращает обработку и в течение 30 дней уничтожает данные.

4. Оператор составляет акт об уничтожении ПДн с указанием причины (отзыв согласия), даты и способа уничтожения.

Какие виды согласий существуют:

Получение согласия через сайт — самая распространенная практика для бизнеса. Чтобы оно было законным, необходимо соблюсти ряд технических и юридических требований.

Что должно быть реализовано на сайте:

• Неактивный чекбокс («галочка»). Пользователь должен самостоятельно поставить отметку. Предустановленная галочка считается нарушением.

• Прямая ссылка на полный текст согласия рядом с чекбоксом.

• Фиксация факта дачи согласия в логах (сохранение IP-адреса, времени и текста согласия).

• Отдельность целей: для разных целей (оформление заказа, подписка на рассылку, передача данных партнерам) нужны отдельные чекбоксы.

• Согласие на cookie-файлы: отдельный баннер при первом посещении сайта с возможностью выбора категорий.

В случаях, прямо предусмотренных законом: для исполнения договора с субъектом, выполнения обязанностей оператора (например, кадровый учет), защиты жизни и здоровья, осуществления правосудия и т.д. 

Включите в документ все обязательные реквизиты по ч. 4 ст. 9 ФЗ №152-ФЗ: данные субъекта и оператора, конкретную цель, перечень ПДн и действий с ними, срок, порядок отзыва. Не используйте общие формулировки вроде «любые данные» или «для любых целей».

Да, по общему правилу согласие на обработку ПДн ребенка до 18 лет дает один из родителей или законный представитель. Но есть исключения: подростки от 14 до 18 лет вправе давать согласие самостоятельно при регистрации в соцсетях и в случаях, предусмотренных Гражданским кодексом.

Да, при любых операциях, выходящих за рамки исполнения договора банковского обслуживания (например, для маркетинга, передачи данных коллекторам или страховым компаниям), обязательно отдельное письменное согласие клиента.

На сайте или в мобильном приложении — через пустой чекбокс, который пользователь ставит самостоятельно. Рядом с ним размещается прямая ссылка на полный текст согласия. Факт согласия фиксируется в логах с IP-адресом и временем.

Подготовка документов для работы с персональными данными 2026 для организаций

Организуем внутреннюю документацию, защитим от штрафов, обучим ваших юристов системе ведения документов и особенностям работы с ПДн

Консультация

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFHN851B