Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

На регулирование вопросов обработки персональных данных в Российской Федерации претерпело значительные изменения по сравнению с практикой, привычной еще пару лет назад. Главный ориентир — Федеральный закон от № 152-ФЗ «О персональных данных» и разъяснения Роскомнадзора. В данной статье подробно разберем, как правильно оформить отношения по персональным данным в договоре, почему «условие в договоре» не заменяет отдельное согласие, и предоставим актуальные образцы документов.

Главное правило 2025–2026 годов: Согласие, это отдельный документ

Согласно позиции Роскомнадзора, вступившей в силу с 2025 года, согласие субъекта персональных данных (СПД) на обработку его данных не может быть включено в состав договора (трудового, гражданско-правового, оферты и т.д.) в виде пункта или приложения.

Запрет: Включение фразы «Подписывая договор, я даю согласие на обработку ПДн» или размещение текста согласия мелким шрифтом в конце договора.
Требование: Согласие должно быть отдельным документом (бумажным или электронным), подписываемым субъектом лично (своеручной подписью или усиленной/неусиленной ЭЦП).
Принцип: Воля субъекта должна быть выражена отдельно, конкретно, информированно и сознательно (ст. 9 Закона № 152-ФЗ). Суды квалифицируют включение согласия в договор как ущемление прав потребителя (лишение права выбора).

Важно: Даже если вы заключаете договор подряда, оказания услуг или купли-продажи с физлицом — если обработка выходит за рамки исполнения договора (например, маркетинг, передача третьим лицам, профилирование), отдельное согласие обязательно.

Когда согласие НЕ нужно (Исключения ст. 6, 11 Закона № 152-ФЗ)

Обработка без согласия допускается, если она необходима для:

Исполнения договора, стороной которого является субъект ПДн (например, доставка товара, оказание услуги, расчет зарплаты).
Выполнения законодательных обязанностей оператора (налоговый учет, отчетность в СФР, МВД при прописке).
Защиты жизни, здоровья или иных жизненно важных интересов субъекта.
Реализации прав и законных интересов оператора в суде.

Практика: Если вы просто доставляете пиццу по адресу * — согласие на обработку адреса и телефона для звонка курьера не требуется (это исполнение договора). Но если вы хотите слать СМС-рассылку с акциями — нужно отдельное согласие на маркетинг.

Обязательные реквизиты Согласия (по ст. 9 Закона № 152-ФЗ)

Любой образец согласия (отдельного документа) должен содержать:

ФИО, адрес, ИНН/ОГРН оператора (или ФИО/паспортные данные, если оператор, ИП/физлицо).
ФИО, адрес, паспортные данные субъекта ПДн (или реквизиты представителя).
Цели обработки (конкретные: «исполнение договора №*», «рассылка новостей», «видеонаблюдение»).
Перечень обрабатываемых данных (ФИО, телефон, email, паспорт, ИНН, биометрия и т.д.).
Действия с данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
Срок действия согласия (например: «до отзыва в письменной форме» или «в течение 3 лет со дня подписания»).
Способ отзыва согласия (письменное заявление оператору по адресу * или через личный кабинет).
Подпись субъекта, дата, расшифровка подписи.

Образец ОТДЕЛЬНОГО СОГЛАСИЯ на обработку персональных данных (2026)

Ниже приведен универсальный шаблон. Текст в скобках * подлежит замене на реальные данные (скрыты в соответствии с политикой конфиденциальности).

 СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ г. * «___» _________ 20__ г.
 Я, (ФИО полностью), паспорт серия № , выдан * г., код подразделения , прописка: ,
 действую на основании (доверительности / устава / доверенности № от ),
 даю свое согласие (Наименование оператора / ИП ФИО), ИНН , ОГРН , адрес: ,
 на обработку моих персональных данных на следующих условиях:
Цели обработки:
 Исполнение договора № от * (наименование договора).
 Информирование о новых услугах/акциях (маркетинг), только при наличии отдельной галочки/пункта.
 Проведение видеонаблюдения на территории объекта по адресу .
Категории субъектов персональных данных: Клиенты / Подрядчики / Сотрудники / Посетители.
Перечень обрабатываемых персональных данных:
 ФИО; контактный телефон ; адрес электронной почты *; паспортные данные; ИНН; СНИЛС; банковские реквизиты; изображение с камер видеонаблюдения; иные данные, предоставленные мной добровольно.
Перечень действий с персональными данными:
 сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ) третьим лицам (почтовые операторы, банки, СФР, ФНС, ИТ-подрядчики, список *), обезличивание, блокирование, удаление, уничтожение.
 Обработка осуществляется с использованием средств автоматизации и/или без таковых.
Передача данных третьим лицам:
 Данные могут быть переданы уполномоченным представителям Оператора и контрагентам (список *), а также государственным органам в случаях, предусмотренных законом. Передача за пределы РФ не производится.
Срок действия согласия:
 Настоящее согласие действует с момента подписания до момента отзыва его в письменной форме путем направления заявления Оператору по адресу: * (или через Личный кабинет на сайте *), либо до достижения целей обработки.
Меры защиты:
 Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения.
Права субъекта:
 Я ознакомлен(а) со своими правами в соответствии со ст. 14 Закона № 152-ФЗ (право на доступ, уточнение, блокирование, удаление, отзыв согласия и т.д.).
_________________________ / * /
 (Подпись) (Расшифровка ФИО)
Примечание: К копии согласия рекомендуется приложить копию паспорта субъекта (если идентификация не производилась иным способом). 

Как правильно сослаться на ПДн В ТЕКСТЕ ДОГОВОРА (Образец условия)

В самом договоре (договор подряда, оферта, договор купли-продажи, трудовой договор) нельзя писать текст согласия. Но обязательно нужно прописать условие, регулирующее порядок работы с данными и ссылающееся на отдельный документ.

Образец пункта для Договора (ГПХ / Подряд / Оферта):

 РАЗДЕЛ X. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ И КОНФИДЕНЦИАЛЬНОСТЬ X.1. Стороны подтверждают, что при исполнении настоящего Договора они выступают в качестве операторов персональных данных в отношении данных друг друга (ФИО представителей, контакты, банковские реквизиты) и субъектов данных, привлеченных к исполнению (сотрудники, подрядчики).
X.2. Обработка персональных данных осуществляется Сторонами в соответствии с Законом РФ № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами РФ исключительно в целях исполнения обязательств по настоящему Договора (расчеты, доставка, акты приемки, отчетность в госорганы).
X.3. В случаях, когда целями обработки является достижение целей, не связанных с прямым исполнением Договора (маркетинговые рассылки, передача данных партнерам для сопутствующих услуг, мониторинг качества через сторонние сервисы), Сторона-Оператор обязана получить отдельное письменное (электронное) согласие субъекта персональных данных в форме, установленной ст. 9 Закона № 152-ФЗ, оформленное отдельным документом.
X.4. Стороны обязуются обеспечить конфиденциальность персональных данных, к которым получили доступ при исполнении Договора, и не разглашать их третьим лицам без согласия другой Стороны, за исключением случаев, предусмотренных законом (передача в банки, налоговые органы, СФР, суды).
X.5. Передача персональных данных третьим лицам (субподрядчикам, логистическим компаниям, IT-провайдерам) допускается только при наличии у Оператора договора-поручения (договора о передаче прав на обработку) с указанными лицами, обязывающего их соблюдать режим конфиденциальности и меры защиты ПДн (ст. 6, 22 Закона № 152-ФЗ).
X.6. Срок хранения персональных данных: не дольше срока исполнения Договора плюс срок хранения первичной учетной документации (5 лет) или иной срок, установленный федеральным законом. После истечения сроков данные подлежат уничтожению/обезличиванию.
X.7. В случае отзыва субъектом согласия на обработку данных, не связанных с исполнением Договора, Сторона-Оператор прекращает такую обработку в течение 3 (трех) рабочих дней, уведомляя об этом другую Сторону.
X.8. Споры по вопросам обработки ПДн разрешаются в судебном порядке по месту нахождения Оператора (адрес: ). 

Договор-поручение (Договор о передаче прав на обработку) — обязателен для аутсорсинга

Если вы передаете данные подрядчику (колл-центр , курьерская служба * , 1С-программист * , облачный CRM *), по ст. 6 Закона № 152-ФЗ обязателен письменный договор-поручение.

Ключевые условия договора-поручения (Образец структуры):

Предмет: Обработка ПДн от имени Оператора (перечень действий: хранение, передача курьеру, звонки клиентам).
Перечень данных: Категории (ФИО, тел., адрес) и категории субъектов (клиенты заказчика).
Цели: Только исполнение услуг по договору №* между Оператором и Заказчиком.
Меры защиты (ст. 19, 19.1 Закона): Описание организационных (доступ по ролям, НДА с сотрудниками) и технических мер (шифрование, антивирусы, бэкапы, учет доступа).
Обязательства Исполнителя: Не использовать данные в своих целях, не передавать третьим без согласия Оператора, уведомлять Оператора об инцидентах (утечках) в течение 24 часов, обеспечивать права субъектов (удаление по запросу).
Контроль: Право Оператора проводить аудит безопасности Исполнителя.
Возврат/Уничтожение: По окончании договора — возврат носителей или подтвержденное уничтожение (акт уничтожения).
Ответственность: Штрафные санкции за утечку (ст. 13.11 КоАП РФ — до 15 млн руб. за повторное нарушение).

Особенности для разных типов договоров (Чек-лист 2026)

Тип договора	Нужно ли отдельное согласие?	Что прописать в договоре
Трудовой договор	Для основных целей (зарплата, СФР, военский учет) — НЕТ. Для фото на сайте, медосмотров у частной клиники, ДМС, профилирования — ДА.	Ссылка на ЛНА, обязательство сотрудника сообщать об изменениях данных, условие о НДА.
Договор подряда / Услуг (Б2Б)	Для данных представителей (ФИО, тел. директора) — НЕТ (исполнение договора). Для данных сотрудников подрядчика, переданных заказчику, ДА (или договор-поручение).	Условие о передаче данных сотрудникам/субподрядчикам только по договору-поручению. Обязательство уведомить об утечке.
Договор купли-продажи / Оферта (Б2С)	Для доставки/расчетов — НЕТ. Для рассылок, бонусных программ, передачи банку для рассрочки — ДА (отдельный чек-бокс на сайте/бумажка).	Ссылка на Политику конфиденциальности (публичный документ на сайте). Условие: «Клиент подтверждает, что предоставил данные добровольно и ознакомлен с Политикой».
Договор аренды / Найма	Для паспортных данных (учет в МВД) — НЕТ (закон). Для фото квартиры с вещами арендатора, камер наблюдения внутри — ДА.	Условие о видеонаблюдении (знаки информирования), порядок передачи данных в МВД/ЖЭК.

Политика конфиденциальности vs Согласие vs Условие в договоре

Не путать эти три документа:

Политика конфиденциальности (Публичный документ): Описывает общие правила работы оператора с данными всех категорий субъектов. Обязательна для публикации на сайте (ст. 18.1 Закона № 152-ФЗ). Не требует подписи клиента.
Согласие субъекта (Индивидуальный документ): Подписывается конкретным человеком для конкретных целей, выходящих за рамки исполнения договора/закона. Оформляется отдельно.
Условие в договоре (Процессуальный документ): Фиксирует обязательства сторон по защите данных, порядок передачи, сроки хранения, ответственность за утечки. Не заменяет согласие.

Риски несоответствия (Практика Роскомнадзора и судов на 2026 г.)

Штрафы ст. 13.11 КоАП РФ: От 15 000 до 75 000 руб. для юрлиц за нарушение прав субъектов (отказ в доступе, обработка без основания). За повторное — до 500 000 руб. (ч. 5.1). За утечку (ч. 6) — до 15 000 000 руб.
Приостановка обработки: Роскомнадзор может выдать предписание приостановить обработку данных до устранения нарушений (бизнес-процессы встанут).
Гражданские иски: Моральный вред (до 100-300 тыс. руб. за утечку/спам), убытки.
Блокировка ресурсов: При систематических нарушениях — ограничение доступа к сайту/приложению (РКН).

Типовые ошибки, за которые оштрафовывают в 2026:

Ссылка в договоре: «Согласие приложено», а приложения нет или оно подписано не тем лицом.
Согласие подписано после начала обработки (например, данные уже загружены в CRM, а согласие подписали через неделю).
Отсутствие договора-поручения с облачным сервисом (Bitrix24, AmoCRM, Яндекс.Облако и т.д.) — оператор не перекладывает ответственность, но обязан иметь договор с провайдером.
Хранение данных «на всякий случай» после истечения сроков (нет регламента уничтожения).

Алгоритм внедрения (Roadmap) для бизнеса на 2026 год

Инвентаризация: Составьте реестр процессов обработки (какие данные, от кого, зачем, где хранятся, кто имеет доступ).
Локальные акты: Утвердите Приказ о назначении ответственного за ПДн, Политику конфиденциальности (на сайт), Регламент обработки запросов субъектов, Модель угроз и Перечень мер защиты (для Роскомнадзора).
Договоры с контрагентами: Добавьте условия п.5 (выше) во все действующие договоры (доп. соглашения). Заключите договоры-поручения со всеми подрядчиками, имеющими доступ к ПДн.
Согласия: Разработайте формы согласий для каждой цели (Маркетинг, Видеонаблюдение, Биометрия, Передача банку/страховщику). Переведите на электронный вид (чек-боксы с логами) или бумажный с двусторонней подписью.
Технические меры: Шифрование БД, разграничение доступа (RBAC), логирование доступа к ПДн (СИЕМ/лог-сервер), резервное копирование, защита от утечки (DLP, по необходимости).
Обучение: Инструктаж сотрудников с росписью в журнале (раз в год).
Уведомление Роскомнадзора: Если обрабатываете биометрию, расовую/национальную принадлежность, политические взгляды, здоровье, интимную жизнь, уведомление обязательно (до начала обработки). Для общих данных (ФИО, тел.) уведомление не требуется с 2022 г., но реестр процессов вести надо.

В 2026 году стратегия «вписать согласие в договор» гарантированно ведет к штрафам и претензиям. Единственно верная схема:

Договор — регулирует обязательства сторон, ссылается на Политику и необходимость получения отдельных согласий.
Политика конфиденциальности — публикуется на сайте/в зале для всех посетителей.
Отдельное Согласие — собирается у каждого субъекта для целей, выходящих за рамки закона/договора.
Договор-поручение — подписывается с каждым подрядчиком/IT-сервисом, касающимся ваших баз данных.

Используйте приведенные выше образцы как базу, адаптируйте под специфику вашей деятельности (медицина, банки, ритейл, IT, строительство имеют нюансы) и обязательно согласовывайте финальные версии с юристом, специализирующимся на 152-ФЗ. Регулярный аудит (раз в год) сэкономит миллионы штрафов.

Данная статья носит информационный характер и не является правовой консультацией. Нормативная база может меняться. Актуальность проверена на . Конфиденциальные данные в образцах заменены на *.