С 1 сентября 2025 года вступают в силу существенные изменения в порядок оформления согласий на обработку персональных данных (ПДн) в Российской Федерации. Данные поправки затрагивают все операторов — от крупных корпораций до индивидуальных предпринимателей. В статье подробно разбираем новые требования законодательства‚ позицию Роскомнадзора (РКН) и предоставляем структуру актуального образца согласия.

Ключевые изменения с : что нужно знать оператору

Согласно информации из открытых источников и позиции главы РКН Андрея Липова‚ основной вектор реформы — упрощение процедур для субъектов ПДн и повышение прозрачности обработки. Главные нововведения:

• Новые обязательные реквизиты согласия. Закон устанавливает расширенный перечень сведений‚ которые должны быть указаны в документе (п. 1 ст. 9 ФЗ-152 в ред. от 2025 г.).
• Возможность управления согласием через Госуслуги. Россияне получили право предоставлять или отзывать согласие на обработку своих данных не только напрямую оператору‚ но и через ЕПГУ (Единый портал госуслуг).
• Курс на отраслевые стандарты. РКН инициировал переход от индивидуальных согласий к утвержденным отраслевым стандартам обработки‚ что в перспективе может заменить институт письменных согласий в определенных сферах.
• Строгая формализация передачи обезличенных данных в ГИС. Изменен порядок передачи обезличенной информации о пользователях в государственные информационные системы.

Структура актуального образца согласия (чек-лист реквизитов)

Чтобы согласие соответствовало требованиям ст. 9 ФЗ «О персональных данных» (в редакции‚ действующей с )‚ оно должно содержать следующие блоки информации. Ниже приведена рекомендуемая структура документа.

Реквизиты оператора и субъекта ПДн

Цели и основания обработки (Новое обязательное детализирование)

С 2025 года недопустимы общие формулировки вроде «для целей‚ предусмотренных законом». Необходимо перечислить конкретные цели для каждой категории данных:

1. Исполнение договора/закона: например‚ «оформление трудового договора»‚ «расчет заработной платы»‚ «выдача пропуска на территорию объекта».
2. Маркетинг и информирование: «рассылка новостей»‚ «предложение товаров/услуг»‚ «проведение опросов удовлетворенности» — только при отдельном согласии;
3. Видеонаблюдение/контроль доступа: «обеспечение физической безопасности»‚ «учет рабочего времени».
4. Передача третьим лицам: обязательно указывать категории получателей (банки‚ страховщики‚ операторы связи‚ ГИС и т.д.) и цели передачи.

Категории обрабатываемых персональных данных

Список должен быть исчерпывающим и соответствовать реально собираемым данным:

• Общие данные: ФИО‚ дата/место рождения‚ контакты (телефон: +7 () -*-‚ email: *@.*)‚ адреса.
• Документы‚ удостоверяющие личность: паспорт РФ‚ СНИЛС‚ ИНН‚ водительское удостоверение.
• Специальные категории (ст. 10 ФЗ-152): раса‚ национальность‚ политические взгляды‚ здоровье‚ интимная жизнь, требуют отдельного выделенного согласия.
• Биометрические данные: фото‚ отпечатки пальцев‚ скан радужки — строгое письменное согласие с указанием цели биометрии.

Действия с персональными данными (Перечень операций)

Оператор обязан перечислить все действия‚ которые будут совершены с данными. Стандартный набор:

Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение (обновление‚ изменение)‚ извлечение‚ использование‚ передача (распространение‚ предоставление‚ доступ)‚ обезличивание‚ блокирование‚ удаление‚ уничтожение.

Срок действия согласия и порядок отзыва

Критически важный пункт с :

• Согласие может быть бессрочным или на определенный срок (например‚ «срок действия договора + 3 года по истечении» или «до отзыва»).
• Обязательное условие: указание простой и доступной процедуры отзыва (письменное заявление оператору по адресу: ‚ через личный кабинет на сайте ‚ через ЕПГУ Госуслуги).
• При отзыве через Госуслуги оператор обязан интегрироваться с СМЭВ/ЕПГУ для получения уведомления об отзыве в автоматическом режиме.

Информация о переграничной передаче (если применимо)

Если данные передаются за пределы РФ‚ необходимо указать:

• Наименование иностранного получателя (маскировано: *).
• Страну получателя.
• Наличие/отсутствие адекватной защиты прав субъектов в данной стране.
• Наличие Стандартных договорных условий (СДУ) или Binding Corporate Rules (BCR).

Форма согласия: письменная или электронная?

Закон допускает обе формы‚ но с жесткими требованиями к идентификации:

Бумажная форма (классическая)

• Рукописная подпись субъекта ПДн.
• Расшифровка подписи.
• Дата составления.
• Хранение оригинала у оператора (срок, не менее срока действия согласия + сроки хранения по архивному делу).

Электронная форма (через сайт/приложение/Госуслуги)

• Простая электронная подпись (ПЭП): код из SMS‚ нажатие кнопки «Согласен» после авторизации в ЛК (подходит для большинства B2C сценариев).
• Усиленная неквалифицированная (УНЭП) / Квалифицированная (КЭП): обязательны для Госсекрета‚ биометрии‚ медтайны‚ банковской тайны.
• Через ЕПГУ (Госуслуги): с 2025 года это полноценный юридический способ выражения воли. Оператор должен предоставить интерфейс для получения уведомлений об отзыве;

Типовая структура документа «Согласие на обработку персональных данных» (Образец)

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

ОПЕРАТОР:
ООО «*» (ИНН ‚ ОГРН *)‚ адрес: г. ‚ ул. ‚ д. ‚ действующее на основании Устава‚ в лице Генерального директора  * ‚ именуемое в дальнейшем «Оператор».

СУБЪЕКТ ПЕРСОНАЛЬНЫХ ДАННЫХ:
 * ‚ паспорт РФ серия  № ‚ выдан  * . г.‚ код подразделения -‚ адрес регистрации: г. *‚ ул. ‚ д. ‚ кв. *‚ именуемый в дальнейшем «Субъект».

ЦЕЛИ ОБРАБОТКИ:
Исполнение трудового договора / гражданско-правового договора № * от ..202* г. (расчет зарплаты‚ начисления‚ отчетность перед ФНС/СФР).
Обеспечение режима коммерческой тайны и информационной безопасности (видеонаблюдение‚ СКУД).
Информирование о деятельности Оператора‚ новостях‚ акциях (только при отдельной отметке Субъекта ниже: ☐ Согласен / ☐ Не согласен).
Передача данных в ГИС (ЕСИА‚ ЕПГУ‚ ФНС‚ СФР) в установленном законом порядке.

КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ:
Общие: ФИО‚ дата рождения‚ контакты (тел.: +7()--‚ e-mail: @.*)‚ адреса‚ семейное положение.

Документы: Паспорт‚ СНИЛС‚ ИНН‚ Военный билет‚ Диплом/Свидетельство об образовании‚ Медкнижка (при наличии).
Специальные (ст. 10 ФЗ-152): Данные о здоровье (только для медосмотров/льгот) — требует отдельной подписи: _______________ / * * .

ПЕРЕЧЕНЬ ДЕЙСТВИЙ (ОПЕРАЦИЙ) С ПЕРСОНАЛЬНЫМИ ДАННЫМИ:
Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ извлечение‚ использование‚ передачу (предоставление доступа) третьим лицам (бухгалтерия-аутсорс ‚ банк ‚ страховщик ‚ оператор СКУД *)‚ обезличивание‚ блокирование‚ удаление‚ уничтожение.

СРОК ДЕЙСТВИЯ И ПОРЯДОК ОТЗЫВА:
Согласие действует бессрочно с момента подписания до момента отзыва.
Отзыв возможен путем направления письменного заявления Оператору по адресу: г. ‚ ул. ‚ д. *‚ или через Личный кабинет на сайте *‚ или через ЕПГУ Госуслуги (gosuslugi.ru). При отзыве Оператор прекращает обработку в течение 3 (трех) рабочих дней и уничтожает данные в течение 30 (тридцати) календарных дней‚ если иное не предусмотрено законом.

ПЕРЕГРАНИЧНАЯ ПЕРЕДАЧА:
Передача персональных данных на территорию иностранных государств не производится. / Производится в страну  на основании СДУ с  * (наименование получателя).

ЗАЯВЛЕНИЕ СУБЪЕКТА:
Подтверждаю‚ что ознакомлен(а) с правами и обязанностями в соответствии со ст. 5‚ 7‚ 8‚ 9‚ 21‚ 22 ФЗ-152 «О персональных данных»‚ в т.ч. с правом требовать уточнения‚ блокирования или уничтожения данных‚ а также с правом обращения в РКН или в суд.

МЕСТО ДЛЯ ПОДПИСИ (РУКОПИСНОЙ ИЛИ ЭЦП/ПЭП):

_________________________ / * * * / «___» ___________ 202_ г.
(Подпись Субъекта) (Расшифровка) (Дата)

МЕСТО ДЛЯ ПЕЧАТИ ОПЕРАТОРА (при наличии):
[ПЕЧАТЬ]

Топ-5 ошибок при оформлении новых согласий (на 2025-2026 гг.)

1. Копирование старых шаблонов 2021-2023 гг. Без пункта об отзыве через Госуслуги и без детализации целей для каждой категории данных.
2. Обобщенная фраза «иные действия‚ не противоречащие закону». РКН считает это нарушением принципа определенности целей (ст. 5 ФЗ-152). Перечисляйте действия из ст. 3 ФЗ-152 явно.
3. Отсутствие разделения на «обязательную» и «маркетинговую» части. Согласие на рассылку не может быть условием заключения трудового/гражданского договора (ст. 10 Закона о рекламе‚ ст. 9 ФЗ-152). Используйте чек-боксы (Opt-in).
4. Игнорирование биометрии и спецкатегорий. Фото для пропуска — это биометрия. Медкнижка — спецкатегория. Требуют отдельного выделенного согласия (отдельный документ или отдельный блок с отдельной подписью).
5. Неучет срока хранения после отзыва. Оператор обязан не просто «прекратить»‚ а уничтожить/обезличить данные в разумный срок (РКН рекомендует 30 дней)‚ если нет законного основания хранить дальше (НДФЛ‚ СФР — 75/50 лет).

Практическая рекомендация: аудит и миграция

К (и актуально на ) каждый оператор должен провести:

1. Инвентаризацию всех существующих согласий (бумажных и электронных).
2. Классификацию: какие валидны по старым правилам (действие ст. 9 до изменения)‚ а какие требуют переоформления.
3. Разработку новых форм с учетом отраслевой специфики (HR‚ клиенты‚ контрагенты‚ видеонаблюдение‚ сайт/приложение).
4. Настройку IT-систем (CRM‚ HRM‚ сайт‚ ЛК) на сбор согласия в новом формате (логирование IP‚ User-Agent‚ timestamp‚ версия формы‚ хэш документа).
5. Интеграцию с ЕПГУ для приема уведомлений об отзыве согласия (если оператор входит в реестр значимых/критичных информационных инфраструктур или по желанию).
6. Обучение сотрудников (HR‚ менеджеры продаж‚ техподдержка) правилам выдачи форм‚ объяснения прав субъекта и приему отзывов.

Новый образец согласия на обработку персональных данных — это не просто обновленный шаблон‚ а инструмент соответствия (compliance)‚ отражающий смену парадигмы: от формального сбора подписей к прозрачному управлению данными с возможностью реального контроля субъектом (в т.ч. через Госуслуги). Использование отраслевых стандартов в ближайшем будущем еще больше упростит жизнь добросовестным операторам‚ но уже сегодня база — это грамотно составленный‚ детализированный и доступный для понимания документ‚ хранящийся в системе учета согласий оператора.

Данная статья носит информационный характер и не является правовым консультированием. Текст подготовлен на основе открытых данных на г. (источники: новости РКН‚ проекты нормативных актов‚ комментарии А. Липова). Для подготовки локальных нормативных актов организации рекомендуется привлечь профильного юриста / DPO (Data Protection Officer). Контакты для связи: тел. +7 () -*-*‚ e-mail: @.*