Согласие на обработку персональных данных: как оформить правильно в 2026 году
Согласие — самое известное и самое неправильно используемое основание обработки персональных данных. Одни компании собирают его там, где закон разрешает работать и без него, другие не берут там, где оно обязательно. Разбираем, когда согласие действительно нужно, что в нём должно быть по букве закона и во сколько обходятся ошибки после повышения штрафов.
- Когда согласие нужно, а когда нет
- Каким должно быть согласие и что в нём писать
- Отдельное согласие на распространение
- Согласие работника: границы трудовых отношений
- Согласия на сайте, реклама и cookie
- Срок, прекращение обработки и отзыв
- Типичные ошибки и чек-лист
- Штрафы, действующие в 2026 году
- Итоги
- Вопросы и ответы
Когда согласие нужно, а когда нет
Согласие — лишь одно из оснований обработки в части 1 статьи 6 закона № 152-ФЗ. До подготовки документа определите цель и основание каждой операции: обязанность по закону, исполнение договора, защита жизненно важных интересов, законный интерес или согласие.
| Основание | Типичная ситуация | Согласие |
|---|---|---|
| п. 1 ч. 1 ст. 6 | Рекламная рассылка, публикация фото, необязательная передача партнёру | Нужно |
| п. 2 | Кадровый и воинский учёт, отчётность в ФНС и СФР | Не нужно |
| п. 5 | Исполнение договора или действия по инициативе человека для его заключения | Не нужно в пределах этой цели |
| п. 6 | Защита жизни и здоровья, когда получить согласие невозможно | Не нужно |
| п. 7 | Права и законные интересы оператора или третьих лиц без нарушения прав субъекта | Не нужно, но основание следует обосновать |
| п. 11 | Обязательное опубликование или раскрытие по федеральному закону | Не нужно |
Письменная оценка баланса интересов прямо не названа обязательным документом статьи 6, но помогает доказать, почему цель нельзя разумно достичь менее вмешивающимся способом. Согласие «на всякий случай» не исправляет неверно выбранное основание.
Каким должно быть согласие и что в нём писать
По части 1 статьи 9 согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года оно оформляется отдельно от иной информации и документов, которые человек подписывает или подтверждает: прятать согласие в договор, анкету или пользовательские правила нельзя.
Форма по общему правилу может быть любой, если оператор способен доказать её получение. Письменная форма требуется в случаях, прямо названных законом: например, для обработки специальных категорий и биометрических данных, когда не действует исключение, и для решения, порождающего юридические последствия исключительно на основе автоматизированной обработки. Согласие на распространение обязательно отдельное, но закон не сводит его только к бумаге.
Девять реквизитов письменного согласия по части 4 статьи 9
- ФИО, адрес и реквизиты документа субъекта.
- Данные представителя и документ о полномочиях, если действует представитель.
- Наименование или ФИО и адрес оператора.
- Конкретная цель обработки.
- Закрытый перечень персональных данных.
- Наименование или ФИО и адрес обработчика по поручению, если он есть.
- Перечень действий и общее описание способов обработки.
- Срок действия и способ отзыва.
- Подпись субъекта.
Для электронной формы сохраняйте дату, время, версию текста и действие пользователя. Заранее отмеченная галочка, молчание и формула «продолжая пользоваться сайтом, вы соглашаетесь» не подтверждают однозначную волю.
Отдельное согласие на распространение
Фото сотрудника на сайте, отзыв клиента с именем и публикация данных в соцсети раскрывают сведения неопределённому кругу лиц и подпадают под статью 10.1.
- Согласие оформляется отдельно от других согласий.
- Субъект выбирает категории и перечни данных, условия и запреты их передачи и обработки.
- Если разрешение на распространение явно не следует из согласия, публиковать данные нельзя.
- Требования к содержанию устанавливает приказ Роскомнадзора от 24.02.2021 № 18: указываются оператор, ресурсы публикации, категории данных, запреты и условия.
- Не позднее трёх рабочих дней после получения согласия оператор публикует информацию об условиях и установленных запретах.
- По требованию субъекта обработку для распространения прекращают в срок не более трёх рабочих дней, если закон не устанавливает иной срок.
Фраза «данные найдены в открытом источнике» сама по себе не даёт права повторно их распространять.
Согласие работника: границы трудовых отношений
Без отдельного согласия работодатель выполняет предусмотренные законом и трудовым договором операции: оформляет приём и увольнение, ведёт табель, рассчитывает зарплату, передаёт обязательную отчётность, организует воинский учёт и охрану труда.
Дополнительное основание нужно, когда обработка выходит за этот периметр:
- передача третьим лицам, не предусмотренная законом, — с письменным согласием с учётом исключений статьи 88 ТК РФ;
- получение данных у третьей стороны — после уведомления работника и с письменным согласием по статье 86 ТК РФ;
- необязательные ДМС и корпоративные программы, передача в другую компанию группы;
- публикация фото и сведений о работнике — по отдельному согласию статьи 10.1;
- биометрическая идентификация — только при выполнении специальных требований закона и наличии законного основания.
Отказ от необязательного согласия не должен ухудшать положение работника. Согласие нельзя подменять строкой в трудовом договоре.
Согласия на сайте, реклама и cookie
Пункт 5 части 1 статьи 6 позволяет обработать заявку без согласия, когда человек сам инициирует действия для заключения договора. Для общего вопроса, аналитики или использования контакта шире заявленной цели это основание может не подойти.
- Рекламные контакты требуют предварительного согласия по статье 15 закона № 152-ФЗ и статье 18 закона о рекламе.
- Согласие на рекламу отделяется от формы заявки и не отмечается заранее.
- Политика обработки должна быть доступна на страницах, где собираются данные.
- Собираются только сведения, необходимые для заявленной цели.
Cookie не образуют отдельную правовую категорию. Оцените, позволяют ли идентификатор и связанные сведения определить пользователя, для какой цели они используются и какое основание применимо. Для необязательной аналитики и рекламы безопасная модель — предварительный выбор категорий, равные кнопки согласия и отказа и простой отзыв.
Срок, прекращение обработки и отзыв
Срок действия входит в письменное согласие. Его можно связать с датой, событием или достижением цели; хранение данных в любом случае ограничивается целью обработки.
- после достижения цели обработку прекращают, а данные уничтожают в срок не более 30 дней, если договор или закон не требуют иного;
- неправомерную обработку прекращают в течение трёх рабочих дней; если сделать её правомерной нельзя, данные уничтожают в срок не более десяти рабочих дней с момента выявления;
- после отзыва данные, для которых не осталось другого основания, уничтожают в срок не более 30 дней.
Отзыв не отменяет обязанности хранить кадровые, налоговые или договорные документы по другому основанию. Подтверждение прежнего согласия можно сохранять только на отдельно определённом основании и в установленный оператором срок, а не бессрочно. Уничтожение подтверждают актом и, для автоматизированной обработки, выгрузкой из журнала по приказу Роскомнадзора № 179.
Курс по защите персональных данных: документы, которые пройдут проверку
Программа Учебного центра по защите персональных данных — это разбор всего комплекта оператора: политики, согласий, приказов, журналов, оценки вреда и порядка действий при утечке. Занятия ведут практики, которые готовят компании к проверкам Роскомнадзора, а по итогам обучения выдаётся удостоверение о повышении квалификации.
Типичные ошибки и чек-лист
- размытая цель «для маркетинговых и иных целей»;
- открытый перечень «и другие предоставленные сведения»;
- одно согласие одновременно на договор, рекламу и публикацию фото;
- отсутствие версии текста и доказательства электронной отметки;
- обещание бессрочного хранения без связи с целью;
- невозможность отозвать согласие тем же удобным способом, которым оно дано.
Самопроверка перед запуском формы
- Составьте карту процессов и укажите основание статьи 6 для каждого.
- Отделите согласие от договора, анкеты и политики.
- Сверьте письменную форму с девятью реквизитами части 4 статьи 9.
- Для публикации подготовьте отдельный документ по статье 10.1 и приказу № 18.
- Проверьте доказательства версии, даты и действия пользователя.
- Опишите отзыв, прекращение обработки и подтверждение уничтожения.
Штрафы, действующие в 2026 году
С 30 мая 2025 года статья 13.11 КоАП содержит отдельные составы за неуведомление и утечки. Ниже — основные диапазоны для должностных и юридических лиц.
| Нарушение | Должностные лица | Юридические лица |
|---|---|---|
| Обработка без основания или в несовместимых целях, ч. 1 | 50–100 тыс. руб. | 150–300 тыс. руб. |
| Нет письменного согласия, когда оно обязательно, ч. 2 | 100–300 тыс. руб. | 300–700 тыс. руб. |
| Нарушение локализации баз данных, ч. 8 | 100–200 тыс. руб. | 1–6 млн руб. |
| Не подано уведомление о намерении обрабатывать данные, ч. 10 | 30–50 тыс. руб. | 100–300 тыс. руб. |
| Не подано уведомление об инциденте, ч. 11 | 400–800 тыс. руб. | 1–3 млн руб. |
| Утечка данных 1 000–10 000 субъектов или 10 000–100 000 идентификаторов, ч. 12 | 200–400 тыс. руб. | 3–5 млн руб. |
| Утечка данных 10 000–100 000 субъектов или 100 000–1 млн идентификаторов, ч. 13 | 300–500 тыс. руб. | 5–10 млн руб. |
| Более 100 000 субъектов или более 1 млн идентификаторов, ч. 14 | 400–600 тыс. руб. | 10–15 млн руб. |
| Повторная утечка, ч. 15 | 800 тыс.–1,2 млн руб. | 1–3% выручки, не менее 25 млн и не более 500 млн руб. |
| Утечка специальных категорий, ч. 16 | 1–1,3 млн руб. | 10–15 млн руб. |
| Утечка биометрических данных, ч. 17 | 1,3–1,5 млн руб. | 15–20 млн руб. |
Размер санкции зависит от состава и статуса нарушителя; таблица не заменяет квалификацию конкретного случая.
Итоги
- Сначала определяется правовое основание обработки, и лишь затем необходимость согласия.
- С 1 сентября 2025 года согласие отделяется от других подписываемых документов.
- Письменное согласие проверяют по девяти реквизитам части 4 статьи 9.
- Распространение оформляют отдельно по статье 10.1 и приказу Роскомнадзора № 18.
- После отзыва обработка может продолжаться только на другом законном основании.
Вопросы и ответы
- Нужно ли согласие, если человек сам оставил данные в форме заявки?
Не всегда. Если заявка направлена по инициативе человека для заключения договора, данные можно обработать в необходимых для этой цели пределах по пункту 5 части 1 статьи 6. Для рекламной рассылки, публикации отзыва или другого дополнительного использования потребуется отдельное основание, обычно предварительное согласие.
- Можно ли получить согласие галочкой на сайте?
Да, если форма позволяет доказать конкретную, информированную и однозначную волю: галочка не отмечена заранее, согласие отделено от других документов, доступен его текст, а система хранит дату, время и версию. В случаях, где закон требует письменную форму, простой отметки может быть недостаточно.
- Обязательно ли указывать срок действия согласия?
Для письменного согласия срок действия и способ отзыва входят в обязательный состав части 4 статьи 9. Срок можно определить датой, периодом или событием. После его окончания данные уничтожаются в срок не более 30 дней, если для хранения нет другого основания по договору или закону.
- Что делать, если работник отозвал согласие?
Разделить процессы по основаниям. Кадровый учёт, зарплата и обязательная отчётность продолжаются по закону и трудовому договору. Публикацию фото, необязательную рассылку и другую обработку, державшуюся только на согласии, прекращают, а данные без иного основания уничтожают в установленный законом срок.
- Нужно ли отдельное согласие на cookie?
Закон не устанавливает единый режим для всех cookie. Нужно оценить, позволяют ли сведения идентифицировать пользователя, какова цель и какое основание применимо. Для необязательной аналитики и рекламы безопасно получать предварительный выбор по категориям и давать равно доступные согласие, отказ и последующий отзыв.
- Сколько хранить подтверждение согласия после отзыва?
Не бессрочно и не автоматически. Оператор определяет отдельное правовое основание и срок хранения доказательства прежней правомерности, например на период возможного спора, и фиксирует это в документах. Данные, для которых после отзыва не осталось основания, подлежат уничтожению независимо от хранения такого доказательства.
Нормативная база: Федеральный закон № 152-ФЗ (ст. 5, 6, 9, 10, 10.1, 11, 12, 15, 16, 21, 22); ТК РФ (ст. 86–90); КоАП РФ (ст. 13.11); Федеральный закон № 38-ФЗ (ст. 18); приказы Роскомнадзора № 18 от 24.02.2021 и № 179 от 28.10.2022.