Согласие на обработку персональных данных: правила оформления, обязательные сведения и образцы на 2026 год
Компании, индивидуальные предприниматели и самозанятые регулярно получают сведения о клиентах, сотрудниках, соискателях и посетителях сайтов. Это могут быть имя, телефон, адрес электронной почты, паспортные данные, сведения о зарплате, файлы cookie и IP-адрес. Если такая информация позволяет прямо или косвенно определить человека, она относится к персональным данным.
Чтобы обрабатывать эти сведения законно, оператору необходимо иметь правовое основание. Одним из наиболее распространенных оснований является согласие субъекта персональных данных. Однако оно должно быть оформлено корректно: с 1 сентября 2025 года требования к его форме стали более жесткими.
Что считается персональными данными
Персональные данные - это любая информация, которая относится к конкретному человеку или позволяет выделить его среди других лиц. К ней относятся:
- фамилия, имя и отчество;
- номер телефона и электронная почта;
- паспортные данные;
- адрес проживания;
- ИНН и СНИЛС;
- сведения о месте работы и должности;
- банковские реквизиты;
- номер договора или лицевого счета;
- IP-адрес и идентификаторы пользователя;
- данные, получаемые с помощью cookie-файлов.
Даже если оператор не знает имя посетителя сайта, совокупность технических сведений может позволять определить конкретного пользователя. Например, IP-адрес, история действий, рекламные идентификаторы и данные браузера иногда используются для персонализации рекламы или аналитики. В таком случае также требуется законное основание для обработки.
Особую защиту имеют специальные категории персональных данных. К ним относятся сведения о здоровье, расе, национальности, религиозных и политических взглядах, философских убеждениях, интимной жизни. Отдельно регулируется обработка биометрии: изображения лица, отпечатков пальцев, голоса и радужной оболочки глаза. Для таких операций обычно нужно специальное письменное согласие, если закон не предусматривает исключение.
Зачем нужно согласие
Согласие подтверждает, что человек разрешил оператору совершать конкретные действия с его персональными данными. В документе субъект указывает, какие сведения можно использовать, для каких целей и в течение какого времени.
Оператором считается организация, ИП, физическое лицо или самозанятый, который самостоятельно определяет цели обработки, состав данных и порядок работы с ними. Например, работодатель становится оператором в отношении сведений сотрудников, а владелец интернет-магазина - в отношении данных покупателей.
Согласие требуется, когда обработку нельзя обосновать договором, законом, обязанностью оператора или иным основанием, предусмотренным законодательством о персональных данных. Оно не заменяет политику обработки данных и не освобождает оператора от соблюдения требований к защите информации.
Когда согласие можно не получать
Отдельное согласие не всегда обязательно. Обработка может проводиться без него, если:
- данные необходимы для заключения или исполнения договора;
- оператор выполняет требования закона;
- сведения используются для исполнения судебного решения или полномочий государственного органа;
- обработка нужна для защиты жизни или здоровья человека;
- данные обрабатываются в рамках законных интересов оператора при соблюдении прав субъекта;
- информация является общедоступной и используется на законном основании.
Например, работодатель вправе обрабатывать данные сотрудника для начисления зарплаты, оформления отпуска и исполнения обязанностей по трудовому законодательству. Однако для дополнительных целей - публикации фотографии работника на сайте, передачи контактов партнеру или размещения биометрии - может потребоваться отдельное согласие.
В какой форме оформляется согласие
Согласие может быть письменным или электронным. Важно, чтобы оператор мог доказать:
1. кто именно дал разрешение;
2. когда оно было получено;
3. какие цели были указаны;
4. какие данные перечислялись;
5. каким способом человек подтвердил свое решение.
С 1 сентября 2025 года согласие должно оформляться отдельно от других документов. Нельзя прятать его в договоре, пользовательском соглашении, оферте или политике так, чтобы человек не мог выразить самостоятельное согласие.
На сайте для этого используют отдельный чек-бокс. Он не должен быть установлен заранее. Рядом с ним размещают понятный текст о целях обработки и ссылку на соответствующий документ с правилами работы с данными. Если согласие требуется для нескольких самостоятельных целей, желательно предусмотреть отдельные отметки по каждой из них.
Формулировка "нажимая кнопку, вы соглашаетесь со всем" недостаточно конкретна, если из нее непонятно, какие сведения и для каких операций используются.
Какие сведения должны быть в письменном согласии
В документ включают следующие обязательные элементы.
1. Данные субъекта
Указывают фамилию, имя и отчество человека. Если требуется надежная идентификация, дополнительно прописывают паспортные данные, адрес, дату рождения, телефон или электронную почту.
2. Информация об операторе
Необходимо указать наименование организации либо ФИО предпринимателя или физического лица, адрес и при необходимости контактные данные.
3. Цели обработки
Цель формулируют конкретно: заключение и исполнение договора, доставка заказа, обратная связь, ведение кадрового учета, отправка информационных сообщений, участие в программе лояльности. Нельзя использовать слишком широкое выражение вроде "для любых законных целей".
4. Перечень персональных данных
Следует перечислить только те сведения, которые действительно нужны оператору. Например: ФИО, номер телефона, адрес электронной почты, адрес доставки и сведения о заказе.
5. Действия с информацией
В согласии указывают возможные операции: сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование и уничтожение.
6. Срок действия и отзыв
Можно установить конкретный срок или указать, что согласие действует до достижения цели обработки. Также прописывают порядок отзыва: например, направление заявления по почте, через личный кабинет или на электронный адрес оператора.
7. Подпись и дата
Для бумажного документа необходима собственноручная подпись субъекта и дата оформления. Электронное согласие подтверждается способом, позволяющим установить личность пользователя и факт совершения действия.
Пример письменного согласия
Согласие на обработку персональных данных
Я, ____________________________________________,
ФИО субъекта персональных данных,
документ, удостоверяющий личность: ____________________________,
адрес: _______________________________________________________,
настоящим даю согласие ________________________________________,
наименование и адрес оператора,
на обработку следующих персональных данных: ФИО, номер телефона, адрес электронной почты, адрес, сведения о договоре и иная информация, необходимая для достижения указанных целей.
Цели обработки: заключение и исполнение договора, связь с субъектом, предоставление услуги, направление уведомлений, ведение учета и исполнение требований законодательства.
Оператор вправе осуществлять сбор, запись, систематизацию, хранение, уточнение, использование, передачу в предусмотренных законом случаях, обезличивание, блокирование и уничтожение данных.
Согласие действует до достижения целей обработки либо до его отзыва. Отозвать согласие можно путем направления письменного заявления оператору по адресу: ____________________________.
Дата: "___" __________ 20__ г.
Подпись: __________________ / __________________
Этот шаблон нужно адаптировать под конкретную ситуацию. В него нельзя включать избыточные данные или цели, которые фактически не связаны с деятельностью оператора.
Особенности согласия сотрудника
В кадровой работе часть сведений обрабатывается без отдельного разрешения, поскольку это необходимо для исполнения трудового договора и требований закона. Но отдельный документ понадобится, если работодатель планирует:
- размещать фотографию сотрудника на сайте;
- публиковать ФИО и должность в рекламных материалах;
- передавать сведения сторонним организациям вне обязательных процедур;
- использовать биометрические данные;
- обрабатывать сведения о здоровье сверх необходимого для трудовых отношений.
Согласие работника лучше оформлять отдельно по каждой дополнительной цели. Условие о публикации фотографии не следует автоматически включать в трудовой договор как обязательное требование, если человек вправе отказаться от такой публикации.
Согласие пользователя сайта
На сайте обычно создают отдельный чек-бокс рядом с формой заявки. Пользователь должен сам поставить отметку и затем нажать кнопку отправки. Автоматически выбранный флажок не подтверждает свободное волеизъявление.
Пример текста:
"Я даю согласие на обработку указанных мной персональных данных в целях обработки заявки, связи со мной и предоставления ответа. Согласие действует до достижения целей обработки и может быть отозвано в установленном порядке".
Для рекламных рассылок лучше использовать отдельный чек-бокс. Согласие на обработку заявки и разрешение получать рекламу - разные цели, поэтому объединять их в одну отметку нежелательно.
Как хранить согласие
Бумажные документы хранят в защищенном помещении, ограничивая доступ сотрудников. Организация устанавливает сроки хранения, порядок выдачи и уничтожения документов.
Электронные согласия сохраняют в информационной системе или архиве. Желательно фиксировать дату и время, IP-адрес, идентификатор пользователя, версию формы, текст согласия и факт нажатия кнопки. Если текст позднее изменился, оператор должен иметь возможность показать, с какой именно редакцией ознакомился человек.
Необходимо также контролировать доступ к базе, использовать пароли, разграничение прав, резервное копирование и защиту от несанкционированного доступа.
Что делать при отзыве согласия
После получения отзыва оператор анализирует, есть ли другое законное основание для дальнейшей обработки. Если его нет, сведения прекращают использовать, блокируют или уничтожают в установленном порядке. Исключение возможно, когда хранение требуется по закону, например для бухгалтерского или налогового учета.
Отзыв не всегда означает немедленное удаление всей информации из архивов. Однако оператор обязан прекратить те действия, для которых основанием было именно согласие, и сообщить человеку о предпринятых мерах в предусмотренный срок.
Ответственность за нарушения
Обработка персональных данных без правового основания, отсутствие обязательных документов, публикация сведений без разрешения, утечка информации и игнорирование отзыва могут привести к административным штрафам. Размер ответственности зависит от характера нарушения, количества эпизодов, категории данных и статуса нарушителя.
Чтобы снизить риски, оператору следует заранее определить цели обработки, составить карту данных, подготовить политику конфиденциальности, разработать формы согласий, назначить ответственного сотрудника и регулярно проверять настройки сайта и CRM-системы.
Частые вопросы
Можно ли использовать один бланк для всех целей?
Технически один документ может содержать несколько целей, но они должны быть четко разделены. Для самостоятельных и необязательных целей безопаснее использовать отдельные согласия.
Достаточно ли галочки на сайте?
Да, если электронная форма позволяет доказать личность пользователя, содержание согласия, дату и факт самостоятельного подтверждения. Предварительно установленная галочка не подходит.
Нужно ли согласие на отправку рекламных сообщений?
Как правило, да. Рекламные рассылки требуют отдельного и осознанного разрешения, которое нельзя маскировать под согласие на обработку заказа или регистрацию.
Можно ли включить согласие в договор?
С 1 сентября 2025 года согласие должно быть оформлено отдельно от договора и иных документов. Оно может подписываться одновременно, но должно оставаться самостоятельным документом или отдельным электронным действием.
Как часто обновлять форму?
Документ пересматривают при изменении закона, целей обработки, состава данных, информационных систем или способов передачи сведений. При существенном изменении условий может потребоваться получить новое согласие.
