Согласие на обработку персональных данных: что должно быть в документе

Каким должно быть согласие: пять характеристик из закона

Начнём не с перечня пунктов, а с более важного. Часть 1 статьи 9 Федерального закона от 27 июля 2006 года № 152-ФЗ в действующей редакции требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Эти пять слов — не украшение: именно на них строится вывод проверяющего о том, что согласие «для галочки» юридической силы не имеет.

Там же закреплено ещё два правила, о которых чаще всего забывают:

• согласие даётся свободно, своей волей и в своём интересе — то есть нельзя ставить получение услуги в зависимость от согласия на обработку данных, которые для услуги не нужны;
• согласие оформляется отдельно от иных информации и документов, которые подписывает человек. Строка в договоре или галочка внутри общей формы это требование не закрывают.

Отдельно стоит запомнить часть 3 статьи 9: доказывать факт получения согласия обязан оператор, то есть вы. Не человек доказывает, что не соглашался, а компания — что согласие было получено. Отсюда практический вывод: механизм должен не просто показывать текст, а сохранять доказательство — кто, когда и на какую редакцию текста согласился.

Что обязательно должно быть в согласии

Часть 4 статьи 9 перечисляет состав письменного согласия. Пунктов девять, и отсутствие любого из них — это самостоятельный состав нарушения:

• фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего личность, дата выдачи и выдавший орган;
• те же данные представителя и реквизиты доверенности — если согласие даёт представитель;
• наименование или фамилия, имя, отчество и адрес оператора, получающего согласие;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых даётся согласие;
• наименование или фамилия, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора, — если обработка поручена такому лицу;
• перечень действий с персональными данными и общее описание используемых способов обработки;
• срок, в течение которого действует согласие, и способ его отзыва;
• подпись субъекта персональных данных.

Согласие — отдельный документ, а не пункт в другой форме

Закон прямо требует: согласие оформляется отдельно от другой информации и документов. Это самая частая ошибка на сайтах — согласие «зашивают» одной строкой в форму заявки или в оферту вместо отдельного текста с полным набором из девяти пунктов. Такое согласие оспаривается, а обработка данных признаётся ведущейся без согласия со всеми вытекающими штрафами.

Электронная форма и обычный чекбокс на сайте

Согласие в форме электронного документа, подписанного электронной подписью, признаётся равнозначным письменному согласию с собственноручной подписью — это прямо сказано в части 4 статьи 9. Обычная галочка на сайте электронной подписью не является, поэтому там, где закон требует именно письменной формы, чекбокс её не заменяет.

Одновременно часть 1 статьи 9 допускает получение согласия в любой форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом. Практический вывод: для обычных сайтов чекбокс работает, но при двух условиях — полный текст согласия с девятью пунктами доступен рядом, и система сохраняет доказательство факта согласия (дата, время, действие пользователя, редакция текста).

Срок действия и как отозвать

Срок действия и порядок отзыва — обязательный пункт самого документа, а не единая цифра из закона. Обычно указывают срок «до достижения цели обработки» либо конкретный период и способ отзыва — письменное заявление оператору.

Важное продолжение: по части 2 статьи 9 после отзыва согласия оператор вправе продолжить обработку без согласия, если есть иное законное основание — например, исполнение договора или требование закона. То есть отзыв согласия не всегда означает немедленное удаление всех данных, и в тексте согласия полезно честно это отражать.

Частые ошибки бизнеса

• согласие не оформлено отдельным документом, а спрятано в других текстах;
• нет чёткой цели обработки — написано обобщённо, «для работы сайта»;
• не указан перечень данных, на обработку которых берётся согласие;
• не прописан срок действия и способ отзыва;
• согласие получено после того, как данные уже начали обрабатывать, а не до этого;
• не сохраняется доказательство получения согласия — при проверке подтвердить его нечем;
• в согласии не назван подрядчик, которому данные передаются на обработку, хотя фактически передаются.

Чем рискует компания: суммы выросли кратно

Ответственность установлена статьёй 13.11 КоАП, и после изменений 2023–2024 годов цифры стали чувствительными даже для среднего бизнеса.

• Обработка без письменного согласия, когда оно обязательно, либо с нарушением требований к составу сведений в согласии — то есть неполный текст: граждане 10 000–15 000 рублей, должностные лица 100 000–300 000, организации 300 000–700 000 рублей (часть 2 статьи).
• Повторное такое нарушение: должностные лица 300 000–500 000, предприниматели 500 000–1 000 000, организации 1 000 000–1 500 000 рублей (часть 2.1).
• Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора: граждане 10 000–15 000, должностные лица 50 000–100 000, организации 150 000–300 000 рублей (часть 1); при повторе — до 500 000 рублей на организацию (часть 1.1).

Обратите внимание на формулировку части 2: наказывают не только за отсутствие согласия, но и за нарушение требований к составу сведений в нём. Проще говоря, согласие без одного из девяти пунктов по санкции приравнивается к его отсутствию.

Отдельный случай: согласие на распространение данных

Если вы не просто обрабатываете данные, а публикуете их или передаёте неограниченному кругу лиц — размещаете отзывы с именами, фотографии сотрудников, списки участников, — обычного согласия недостаточно. Для этого закон предусматривает отдельный документ по статье 10.1 закона № 152-ФЗ — согласие на обработку персональных данных, разрешённых субъектом для распространения.

Ключевые отличия, которые чаще всего нарушают:

• такое согласие оформляется отдельно от иных согласий — нельзя объединить его с общим согласием на обработку;
• молчание или бездействие человека ни при каких обстоятельствах не считается согласием на распространение;
• если из содержания согласия не следует иное, разрешение считается данным на обработку только тем способом и в том объёме, которые прямо названы;
• человек вправе в любой момент потребовать прекратить передачу данных, и оператор обязан это исполнить.

Практический пример: фотография сотрудника на сайте компании с именем и должностью — это именно распространение. Общее согласие, подписанное при приёме на работу, эту ситуацию не закрывает.

Что говорит Верховный Суд

Отдельного постановления Пленума Верховного Суда о согласии на обработку персональных данных мы не нашли — профильных разъяснений по статье 9 закона № 152-ФЗ на уровне Пленума нет. Применяются общие правила постановления Пленума Верховного Суда от 24 марта 2005 года № 5 о применении Кодекса об административных правонарушениях — о доказывании, сроках давности, малозначительности и обжаловании.

С учётом того, что бремя доказывания получения согласия закон возлагает на оператора, отсутствие разъяснений играет против бизнеса: спор выигрывает тот, у кого сохранены журналы согласий с датами и редакциями текста. Хранить их стоит столько же, сколько обрабатываются сами данные.

Читайте также

Полный пакет обязательных документов по 152-ФЗ — в статье «Персональные данные по 152-ФЗ: что обязан бизнес». Как подать уведомление в Роскомнадзор — в статье «Уведомление в Роскомнадзор». Штрафы за нарушения — в статье «Штрафы за нарушения с персональными данными».

Частые вопросы