Работа с персональными данными (ПДн) — обязательный элемент деятельности почти любой организации. Нарушение процедуры сбора и обработки влечет серьезные финансовые санкции. С 1 сентября 2025 года вступили в силу кардинальные изменения в законодательстве (ФЗ-152), которые жестко регламентируют форму и порядок получения согласия. В этой статье подробно разбираем актуальные требования, предоставляем структуру актуального образца и объясняем, как избежать штрафов до 1,5 млн руб.

Ключевые изменения с : что нужно знать оператору

Согласно поправкам, внесенным в Федеральный закон № 152-ФЗ «О персональных данных» (в т.ч. ст. 9, 22), с 1 сентября 2025 года установлены жесткие формальные требования к согласию субъекта ПДн.

• Только отдельный документ. Согласие на обработку ПДн нельзя включать в состав трудового/гражданско-правового договора, оферты, заявления на прием на работу или иных документов. Оно должно быть оформлено отдельным документом (бумажным или электронным).
• Структурированность и понятность. Текст должен быть написан простым и понятным языком, без сложных юридических конструкций, мешающих пониманию сути обработки.
• Детализация целей. Недопустимы общие формулировки вроде «для целей бизнеса». Каждая цель обработки должна быть указана конкретно (например: «расчет заработной платы», «рассылка маркетинговых SMS», «пропускной режим»).
• Перечень данных. Обязательно перечислять конкретные категории ПДн (ФИО, паспорт, СНИЛС, телефон, email, биометрия и т.д.), а не писать «все персональные данные».
• Способы обработки. Необходимо перечислить конкретные действия: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (в т.ч. трансграничная), обезличивание, блокирование, удаление, уничтожение.

Важно: 30 мая 2025 года вступили в силу дополнительные требования к уведомлению Роскомнадзора (РКН) о начале обработки и об утечках данных. Срок ответа на запрос РКН — 10 дней.

Когда согласие обязательно, а когда можно обойтись без него

Случаи, требующие обязательного письменного согласия (ст. 9, 10, 11 152-ФЗ):

1. Специальные категории данных (ч. 1 ст. 10): раса, национальность, политические взгляды, религия, здоровье, интимная жизнь. Согласие только в письменной форме.
2. Биометрические данные (ч. 1 ст. 11): отпечатки пальцев, скан сетчатки, фото для распознавания лица и др. Согласие только в письменной форме.
3. Трансграничная передача (ст. 12): передача данных на территорию иностранного государства, не обеспечивающего адекватной защиты.
4. Автоматизированное принятие решений (ч. 2 ст. 9): если решение порождает правовые последствия (например, автоматический отказ в кредите, скрининг резюме без участия человека).
5. Публично доступные источники / Данные, разрешенные к распространению (ч. 1 ст. 9, п. 1.1 ст. 10): внесение в справочники, адресные книги, публикация на сайте. Требуется отдельное согласие в форме, установленной РКН.

Когда согласие НЕ требуется (ч. 2 ст; 6, ч. 2 ст. 11 152-ФЗ):

• Обработка в целях, предусмотренных законом или международным договором РФ.
• Для исполнения оператором своих законных обязанностей (например, расчет зарплаты, налоговый учет, кадровый учет, на основании ТК РФ).
• Данные сделаны общедоступными самим субъектом.
• Обработка в рамках журналистской, медиа, научной, литературной деятельности (с соблюдением прав субъекта).
• Иные случаи, прямо указанные в законе (например, защита жизни/здоровья субъекта).

Структура актуального образца согласия (чек-лист обязательных реквизитов)

Ниже приведена структура документа, соответствующая требованиям ст. 9 152-ФЗ (ред. от ) и методическим рекомендациям РКН. Текст в квадратных скобках […] подлежит заполнению данными конкретного оператора и субъекта.

Особенности оформления для разных категорий субъектов

Сотрудники (трудовые отношения)

Хотя для исполнения трудового договора согласие часто не требуется (ч. 2 ст. 6, ч. 1 ст. 86 ТК РФ), на практике РКН и суды рекомендуют получать его для дополнительных целей, не связанных напрямую с ТК РФ:

• Видеонаблюдение на рабочем месте.
• СКУД (биометрия, фото для пропусков).
• ДМС, корпоративное обучение, внутренние порталы.
• Передача данных в аутсорсинговые компании (кадровый учет, бухгалтерия).

Совет: Оформите отдельное согласие на каждую цель, не связанную с прямым исполнением ТК РФ, или один документ с четким разделением целей (п. 3 образца).

Клиенты и покупатели (B2C)

• Исполнение договора (заказ, доставка, оплата): согласие не нужно (ч. 2 ст. 6 152-ФЗ), но нужна Политика конфиденциальности на сайте/в зале.
• Маркетинг (рассылки, звонки, пуш-уведомления): ОБЯЗАТЕЛЬНОЕ отдельное согласие (ст. 15, 18.1 152-ФЗ, ФЗ «О рекламе»). Используйте «двойной опт-ин» (галочка на сайте + подтверждение по Email/SMS).
• Программы лояльности: отдельное согласие на профилирование и анализ покупок.

Посетители сайта / Пользователи приложения

• Cookie / Метрика / Аналитика: баннер куки (Cookie Banner) с кнопками «Принять все», «Настроить», «Отклонить». Необходимые куки, без согласия, маркетинговые/аналитические — только с согласия.
• Формы обратной связи / Заявки: чек-бокс «Согласен с обработкой ПДн» (непредустановленный!) + ссылка на Политику конфиденциальности и текст согласия.

Биометрия и специальные категории данных

Требуют строгой письменной формы (подпись от руки на бумаге или усиленная/квалифицированная ЭЦП). Электронное согласие простой ЭЦП (SMS-код, галочка) для биометрии недопустимо.

В образце для биометрии обязательно указывать: цель (идентификация/аутентификация), тип биометрии (лицо, палец, голос), срок хранения биометрического шаблона, порядок уничтожения при отзыве.

Электронное согласие: правовая сила и технические требования

С электронное согласие приравнено к письменному, если выполнены условия (ст. 9 152-ФЗ, ГК РФ):

1. Идентификация субъекта (Госуслуги (ЕСИА), банковская идентификация, квалифицированная ЭЦП, SMS-код в приложении банка/оператора связи). Простая галочка на сайте не идентифицирует личность для целей ст. 9 152-ФЗ (кроме маркетинга/куки).
2. Фиксация воли: действия субъекта (нажатие кнопки «Подписать», ввод кода) однозначно выражают волю.
3. Непреложность: документ не может быть изменен после подписания (хэширование, блокчейн, журнал аудита).
4. Доступность: субъект в любой момент может получить копию подписанного согласия (скачать PDF, увидеть в личном кабинете).

Штрафы и судебная практика 2025–2026 гг.

Тенденции судебной практики (2025–2026):

• Формализм судов: Суды все чаще взыскивают штрафы именно за несоответствие формы (согласие в составе договора, отсутствие перечня получателей, общие цели), даже если утечки данных не было.
• Снижение штрафов: Активная позиция оператора (самостоятельное выявление нарушения, устранение до проверки, наличие актуальной ЛНА, обучение сотрудников, назначение ДПО) позволяет добиться предупреждения или минимального штрафа даже при утечках.
• Трансграничная передача: РКН жестко пресекает передачу данных в «неадекватные» страны без согласия и без Стандартных договорных условий (СДУ).

Чек-лист аудита ваших согласий (Self-Check)

1. [ ] Согласие оформлено отдельным документом (не в договоре, не в оферте)?
2. [ ] Указаны конкретные цели (не «для бизнеса», а «для доставки заказа №…», «для рассылки промо»)?
3. [ ] Перечислены конкретные категории ПДн (не «все данные»)?
4. [ ] Указаны конкретные получатели/категории получателей (не «третьим лицам»)?
5. [ ] Есть пункт о трансграничной передаче (Да/Нет, страна, основание)?
6. [ ] Прописан срок действия и простой порядок отзыва (адрес, email ДПО)?
7. [ ] Для спец. категорий и биометрии, письменная форма / КЭП?
8. [ ] Согласие предшествует началу обработки (не после)?
9. [ ] Ведется реестр согласий (журнал учета) с номерами, датами, статусами?
10. [ ] Сотрудники, принимающие согласия, обучены (журнал инструктажей)?

На использование старых шаблонов согласий (до ) создает риск штрафов до 1,5 млн руб. за повторное нарушение. Главные действия оператора сейчас:

1. Аудит: Проверить все текущие формы согласий на соответствие ст. 9 152-ФЗ (ред. 2025).
2. Переподписание: Инициировать процесс получения новых согласий у действующих сотрудников и клиентов, если старые не соответствуют требованиям (в составе договора, нет целей/получателей).
3. Автоматизация: Внедрить систему управления согласиями (CMP — Consent Management Platform) для сайта/приложения и ЭДО для сотрудников/контрагентов с КЭП/ЕСИА.
4. Документирование: Завести реестр согласий, привязать к карточкам субъектов в CRM/HRM.
5. ЛНА (Локальные нормативные акты): Обновить Политику конфиденциальности, Положение о защите ПДн, Приказ о назначении ДПО, инструкции по инцидентам.

Помните: Грамотно оформленное согласие, это не просто «бумажка для РКН», это ваша главная защита от штрафов и репутационных рисков. Используйте приведенный выше образец как базу, адаптируйте под свои бизнес-процессы и проконсультируйтесь с юристом по защите ПДн (ДПО) перед внедрением.

---

Данная статья носит информационный характер и не является правовой консультацией. Законодательство может меняться. Для решения конкретных вопросов обратитесь к квалифицированному юристу или специалисту по защите персональных данных (ДПО). Актуальность нормативной базы на дату публикации: .