Согласие на обработку персональных данных: как составить, чтобы спать спокойно

Согласие на обработку персональных данных — самый недооценённый документ в российской ИБ. Его лепят из шаблона «на отвяжись», прячут мелким шрифтом, ставят галочку за пользователя. И получают штраф там, где можно было обойтись одной аккуратной формой. Парадокс: бумажка на один лист, а спотыкаются на ней чаще, чем на дорогих системах защиты.

Разберу по-человечески: когда согласие нужно, что в нём обязано быть, какие ошибки встречаю чаще всего и как собрать рабочий документ за один вечер. Без страшилок, с конкретикой и образцом.

Я основатель КиберОснова и сам прошёл 152-ФЗ как предприниматель: не по учебнику, а на своей компании. 12 лет в ИБ, строю SGRC-платформу. Согласий видел сотнями: и рабочие, и те, за которые приходит Роскомнадзор. Объясню на языке бизнеса (что грозит, сколько стоит, как сделать без страха), а не на языке приказов.

Когда согласие вообще нужно

Сначала развею главный миф: согласие нужно не всегда. В части 1 статьи 6 152-ФЗ есть 11 оснований для законной обработки данных, и согласие лишь одно из них (пункт 1).

Вам не нужно отдельное согласие, если обработка идёт:

• для исполнения договора, где субъект выступает стороной (продали товар, обрабатываете данные для доставки);
• по требованию закона (бухгалтерия хранит данные сотрудников по Трудовому и Налоговому кодексам);
• для осуществления правосудия, исполнения судебного акта.

Согласие нужно, когда:

• собираете данные «про запас»: для маркетинга, рассылок, аналитики;
• передаёте данные третьим лицам, которым закон этого не предписывает;
• публикуете данные (это отдельный зверь, «согласие на распространение», статья 10.1);
• обрабатываете специальные категории (здоровье, политика, религия) или биометрию.

Правило защитника: если можете обойтись без согласия по другому основанию из статьи 6, обходитесь. Меньше документов, меньше точек отказа. Согласие здесь запасной ключ. Основной (договор или прямое требование закона) чаще уже у вас в кармане. Сначала проверьте его, а потом городите новый.

Что обязано быть в согласии

Состав согласия задаёт статья 9 152-ФЗ. С учётом поправок, действующих с 1 марта 2023 года, согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Это не юридическая вода: каждое слово отсекает типовую ошибку.

⚠️ Важное изменение с 1 сентября 2025 года: согласие стало отдельным документом. Раньше его прятали внутри договора, оферты или пользовательского соглашения. Теперь так нельзя: по части 1 статьи 9 152-ФЗ (в редакции Федерального закона № 156-ФЗ от 24.06.2025) согласие оформляется отдельно от иных документов, которые подписывает субъект, — на бумаге, в электронной форме или как электронный документ. Согласие, вшитое абзацем в договор, похоже на страховой полис мелким шрифтом на обороте чека: вроде есть, а в спорный момент его будто и нет. Если у вас так, это уже дефект, штраф для юрлиц 300–700 тыс ₽ (часть 2 статьи 13.11 КоАП).

Обязательные реквизиты ниже относятся к письменному согласию (часть 4 статьи 9). Для согласия на сайте полный паспортный набор не нужен: там работает другая форма, разберу её ниже.

1. ФИО, адрес, документ субъекта. Кто даёт согласие (для письменного согласия указывают паспортные данные).
2. Наименование и адрес оператора. Кто обрабатывает. Если данные собирает одно юрлицо, а обрабатывает другое (например, ваш облачный провайдер), указывайте обоих.
3. Цель обработки. Конкретная. Не «в маркетинговых целях», а «для направления информационных и рекламных рассылок о товарах компании по email и SMS».
4. Перечень данных. Именно те поля, что собираете: ФИО, email, телефон. Не «иные данные».
5. Перечень действий и способ обработки. С автоматизацией или без.
6. Срок действия и порядок отзыва. Как человек может передумать.
7. Подпись субъекта (на бумаге) или иное подтверждение (галочка плюс лог на сайте).

Если хоть один пункт «конкретный, предметный» нарушен, согласие считается дефектным, а обработка по нему идёт без законного основания.

Как выглядит конкретная цель: на примере

Чтобы было понятно, в чём разница между «водой» и рабочей формулировкой:

❌ Плохо: «Согласен на обработку моих персональных данных в целях улучшения сервиса и в маркетинговых целях».

✅ Хорошо: «Даю согласие ООО "Ромашка" (ИНН 7700000000, г. Москва) на обработку моих фамилии, имени, номера телефона и адреса электронной почты с целью направления информационных и рекламных сообщений о товарах компании по SMS и электронной почте. Согласие действует 3 года и может быть отозвано письменным заявлением на privacy@romashka.ru».

Вторая формулировка отвечает на все вопросы инспектора: кто оператор, какие данные, зачем, на какой срок, как отозвать. Под неё нельзя «подтянуть» обработку, о которой человек не знал.

Пять ошибок, за которые приходит Роскомнадзор

За годы аудитов я вывел топ дефектов. Проверьте своё согласие по списку.

1. Размытая цель. «Для улучшения качества обслуживания» — это не цель. Под такую формулировку нельзя проверить, законна ли обработка. Пишите конкретно и отдельно под каждую цель.

2. Согласие «в одном флаконе». Одна галочка сразу на обработку, рассылку, передачу партнёрам и трансграничку. Закон требует раздельных согласий на разные цели, особенно отдельно на рекламные рассылки (это ещё и требование закона «О рекламе», статья 18). Был случай: интернет-магазин собирал всё одной галочкой. Достаточно было одного отписавшегося клиента, который пожаловался в РКН, и претензии прилетели разом по всем целям, а не по одной. Раздельные галочки локализуют риск: спор по рассылке не тянет за собой всю обработку.

3. Предзаполненная галочка. Чекбокс «согласен», отмеченный по умолчанию, это не «сознательное и однозначное» действие. Пользователь должен поставить галочку сам. Галочка по умолчанию = согласия нет.

4. Согласие как условие доступа. «Не дашь согласие на рекламу, не зарегистрируешься». По закону согласие даётся свободно, своей волей и в своём интересе (статья 9 152-ФЗ). Нельзя обуславливать услугу согласием на обработку, которая для этой услуги не нужна: принудительное согласие недействительно.

5. Нет механизма отзыва. Человек имеет право отозвать согласие в любой момент. Если у вас нет процедуры (куда писать, за сколько дней удалите), вы нарушаете право субъекта, и это всплывёт при первой жалобе.

Согласие на сайте: отдельный случай

Если собираете данные через форму на сайте (заявка, подписка, обратный звонок), бумажную подпись не получить. Закон это допускает: подтверждением служит активное действие пользователя плюс ваш технический лог. И сразу снимаю частую ошибку: паспортные данные с веб-формы запрашивать не надо. На сайте действует не письменная форма из части 4 статьи 9, а согласие через конклюдентное действие. Сбор паспорта «чтобы согласие было по форме» — это уже избыточность данных, то есть нарушение принципа из статьи 5. Требовать паспорт ради галочки на форме обратного звонка всё равно что просить прописку на входе в магазин: вы создаёте себе новый риск там, где его не было.

Как сделать правильно:

• рядом с кнопкой отправки поставьте непредзаполненный чекбокс «Я даю согласие на обработку персональных данных»;
• текст «согласие» и «политика конфиденциальности» сделайте кликабельными ссылками на полные документы;
• фиксируйте факт согласия: дату, время, IP, версию текста согласия. Это ваше доказательство, если дойдёт до спора;
• без галочки форма не отправляется.

Как проверить весь сайт на 152-ФЗ (политика, cookie, формы), разобрал в отдельной статье «Аудит сайта на 152-ФЗ».

Сколько стоит ошибка (без запугивания, по факту)

С 30 мая 2025 года штрафы по 152-ФЗ выросли заметно (Федеральный закон № 420-ФЗ от 30.11.2024). Обработка персональных данных без согласия, когда оно обязательно, обойдётся юрлицу в 300–700 тыс ₽ (часть 2 статьи 13.11 КоАП). А за утечку данных ввели оборотные штрафы: при повторной утечке 1–3% годовой выручки, но не менее 20 млн и не более 500 млн ₽ (первичная утечка штрафуется фиксированно, от 3 до 15 млн в зависимости от объёма). Но я не сторонник пугать цифрами.

Смысл другой: правильное согласие защищает не от штрафа, а от беспорядка в данных. Когда вы точно знаете, кого, зачем и на каком основании обрабатываете, вы и Роскомнадзору отвечаете за час, и клиенту в глаза смотрите спокойно. Штраф приходит за хаос, а не по злобе инспектора.

Чек-лист: рабочее согласие за вечер

• Проверил, нужно ли согласие, или есть другое основание из статьи 6
• Оформил согласие отдельным документом, не вшил в договор/оферту (требование с 01.09.2025)
• Указал оператора (и со-операторов, если есть)
• Сформулировал конкретную цель под каждый вид обработки
• Перечислил точный состав данных, без «иных»
• Развёл рекламную рассылку в отдельное согласие
• Убрал предзаполненные галочки
• Прописал срок действия и порядок отзыва
• Настроил фиксацию факта согласия (для сайта: лог с датой/IP/версией)
• Согласие не выступает обязательным условием получения услуги
• Документ доступен субъекту до того, как он его даёт

Пройдёте этот список, и согласие перестанет быть слабым местом. Один вечер работы. И спите спокойно.

Собрать согласие можно руками по чек-листу выше, этого достаточно. Если же документов много и хочется не держать их в голове, типовые согласия, политику и уведомление в РКН генерирует наш сервис КиберОснова Документы. Но суть одна: понимать, что и зачем подписываете.

Согласие работает в паре с политикой обработки данных: политика информирует всех, согласие фиксирует волю конкретного человека. Про второй документ — в статье про политику конфиденциальности. А кто вообще обязан всё это оформлять — в разборе про оператора персональных данных.

И последнее по цепочке: когда человек отзывает согласие, у вас появляется срок на уничтожение его данных — 30 дней. Что делать дальше и чем подтверждать, разобрал в статье про уничтожение персональных данных.

Частые вопросы