От согласия к альтернативным основаниям обработки
Согласие на обработку персональных данных остается одним из наиболее распространенных оснований обработки в компаниях благодаря своей универсальности использования в различных бизнес-процессах в отличии от других оснований на обработку персональных данных, которые установлены ч. 1 ст. 6 Федерального закона от 27.06.2006 №152-ФЗ «О персональных данных» (или № 152-ФЗ).
Обязанность получать согласия возложена на операторов персональных данных — российских и иностранных физических и юридических лиц.
Со стороны Роскомнадзора и профессионального сообщества значимость согласий стала снижаться. Это связно с тем, что согласие на обработку персональных данных перестало в полной мере защищать интересы субъекта персональных данных. Кроме того, большое количество согласий на обработку персональных данных существенно усложнили процессы их администрирования в соответствии с буквой закона.
В настоящий момент наблюдается четкий переход от универсальности согласия к его использованию только в тех случаях, когда это необходимо согласно закону или когда не могут быть применены другие основания обработки персональных данных по ч. 1 ст. 6 №152-ФЗ. Поэтому бизнесу необходимо адаптироваться и искать основания для обработки, кроме согласия.
Обработка персональных данных без согласия (иные правовые основания)
Согласие на обработку персональных данных согласно ч. 1 ст. 6 №152-ФЗ не требуется, если обработка персональных данных необходима:
по закону;
в связи с участием лица в судопроизводстве;
для исполнения судебного акта;
для исполнения полномочий органов государственной власти;
для исполнения договора;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
на основании законного интереса;
в связи с профессиональным исполнением обязанностей журналиста (СМИ);
в статистических или иных исследовательских целях;
в связи с применением специальных экспериментальных режимов;
осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
В качестве примера можно привести соглашение между двумя юридическими лицами, когда согласия на обработку персональных работников не требуется в силу того, что работники являются представителями контрагента. В качестве еще одного примера можно привести ситуацию, когда согласие на обработку и передачу персональных данных не требуется в случае оплаты клиентом покупок через платежный шлюз, поскольку там работают иные основания – договор и закон. В зависимости от уровня технологий и устройства процессов согласие на обработку персональных также не потребуется в случае осуществления видеомониторинга помещений при его осуществлении в целях обеспечения безопасности и сохранности имущества компании – действует законный интерес.
Случаев, в которых можно заменить сбор согласий на обработку персональных данных иными основаниями обработки довольно много. Необходимо искать эти основания. Для этого необходимо проводить исследование бизнес-процессов компании.
Для специальных категорий персональных и биометрии предусмотрены особые случаи обработки без согласия на обработку персональных данных (ч. 2 ст. 10 и ч. 2 ст.11 №152-ФЗ).
Когда согласие обязательно?
Согласие на обработку персональных данных обязательно в тех случаях, когда такое согласие прямо предусмотрено законом.
Например, сбор согласий является обязательным:
при обработке специальных категорий персональных данных (ст. 10 №152-ФЗ);
при обработке биометрии (ст. 11 №152-ФЗ);
при распространении персональных данных (ст. 10.1 №152-ФЗ);
в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи (ст. 15 №152-ФЗ);
в целях политической агитации (ст. 15 №152-ФЗ);
в случаях принятия решения, порождающего юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы на основе автоматизированной обработки (ст. 16 №152-ФЗ);
при передаче персональных данных работников третьим лицам (ст. 88 ТК РФ).
Формы согласий
Согласно №152-ФЗ можно выделить различные формы согласий на обработку персональных данных. Прямо законом называется только согласие на обработку персональных данных в письменной форме. Но это не означает, что законом запрещаются иные формы согласия. Согласие может быть получено в любой форме. Важно, чтобы оператор смог доказать наличие такого согласия, и чтобы оно соответствовало требованиям, установленным ч. 1 ст. 9 №152-ФЗ.
Таким образом, согласие может быть в письменной форме и иной форме. В качестве примера иной формы можно привести ситуацию совершения конклюдентных действий пользователем — нажатие кнопки регистрации на сайте.
Согласие может быть дано в форме электронного или бумажного документа (ч. 4 ст. 9 №152-ФЗ).
Законом могут предусматриваться специальные требования к содержанию согласия. Например, такие требования применяются к:
письменному согласию на обработку персональных данных (ч. 4 ст. 9 №152-ФЗ);
согласию на распространение персональных данных (ст. 10.1 №152-ФЗ и Приказ Роскомнадзора от 24.02.2021 № 18).
Как правильно применять формы и виды согласий, а также что должно содержать согласие подробно читайте в нашей статье.
Нормативные требования к согласиям
Критерии согласия
Согласие на обработку персональных данных должно быть (ч. 1 ст. 9 ФЗ №152):
Конкретным - то есть факт дачи согласия должен следовать из конкретных действий субъекта, которые бы об этом свидетельствовали. Например, прожать кнопку отправки или проставить галочку в чек-боксе при оставлении обратной связи на сайте, совершения иных действий. Это может быть согласие в форме голосовой записи и др.
Предметным - согласие должно исключать расплывчатые формулировки и неясности. Когда в согласии встречается «и иные» без ссылки на конкретный перечень (например, третьих лиц или перечня персональных данных) оно автоматически не соответствует предметности. То же самое относится к совмещению несколько целей. Такое согласие также теряет свою предметность.
Информированным - до дачи согласия субъект должен быть ознакомлен со всей необходимой информацией о целях обработки, объеме данных, совершаемых действиях и т.д. При этом желательно также разъяснить субъекту персональных данных значение используемых терминов для полного соответствия согласия требованиям закона, потому что без такого разъяснения информированность данного согласия может быть оспорена. Так, в Постановлении Арбитражного суда Северо-Западного округа от 18.06.2016 г. по делу № А44-9647/2015 указано: «Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным и предполагает, как минимум письменное разъяснение субъекту персональных данных значения понятия «обработка персональных данных».
Сознательным - согласие дается субъектом обдуманно и осмысленно.
Однозначным - предполагается концепция «одно согласие – одна цель обработки персональных данных. Такой признак появился в связи с изменениями, которые вступили в силу с 01.09.2025. Как следует из пояснительной записки к законопроекту №679980-8 согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, в том числе отдельно от договоров и других согласий на обработку персональных данных, которые предоставляются в иных целях, которые подтверждает и (или) подписывает субъект персональных данных. Подробно разбирали эту тему на нашем вебинаре.
Добровольность согласия
Согласно ч. 1 ст. 9 №152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Таким образом согласие на обработку персональных данных должно быть добровольным.
На характер и степень волеизъявления сильно обращает внимание Роскомнадзор, поскольку считает, что согласия, как задуманный инструмент защиты субъекта, не работают. Такая позиция подтверждается выступлениями Заместителя руководителя Роскомнадзора Милошем Эдуардовичем Вагнером: «... согласие нужно применять тогда, когда от волеизъявления что-то зависит».
Cогласия использовались как универсальный инструмент для обоснования обработки персональных данных и содержательно включались в другие юридические документы. Но сейчас такая практика является очень рискованной для бизнеса. Так, например, в Решении Арбитражного суда г. Москвы от 5 ноября 2025 года №А-40-223882/25-144-1759 было рассмотрено дело, касающееся неправомерной обработки персональных данных онлайн сервисом по покупке автобусных билетов, в частности речь шла о недобровольной даче согласия на обработку персональных данных:
«на сайте Оператора согласие включено в механизм приобретения билета и в структуру договора на оказание услуги по приобретению билета и утверждается фактом подписания субъектом договора и оплаты билета. При данных условиях такое согласие является недобровольным, поскольку сторона, дающая согласие, фактически не может его не дать, т.к. иначе отказывается в покупке билета и от реализации договора в целом».
Таким образом, компаниям нужно как юридически, так и технически обеспечивать добровольность дачи согласия субъектом, поскольку риск штрафа вполне реален, особенно в отношении согласий, размещённых на сайтах и в веб-приложениях.
При определении допустимости использования согласия как основания обработки персональных данных в том или ином бизнес-процессе (за исключением случаев, когда согласие является обязательным по закону) исходите из интересов субъекта (в чем выражен интерес субъекта?). И если ответ на этот вопрос будет далеко не очевиден или вовсе отсутствует, значит согласие не будет лучшим решением для осуществления обработки персональных данных субъекта.
Оформление согласия на обработку персональных данных с 01.09.2025
С 01.09.2025 вступили в силу поправки к №152-ФЗ, которые предусматривают новые требования к согласию. Как следует из пояснительной записки к Законопроекту №679980-8 согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, в том числе отдельно от договоров и других согласий на обработку персональных данных, которые предоставляются в иных целях, которые подтверждает и (или) подписывает субъект персональных данных.
Что это значит?
Это значит, что согласие на обработку персональных данных должно быть отдельным логически завершенным документом, если цель обработки персональных данных отличается от целей других документов, и подписываться субъектом отдельно от других документов.
На тему новых требований к оформлению согласия на обработку смотрите также наш вебинар «Онлайн-встреча Privacy Club: ключевые изменения сентября и новые требования к согласиям на обработку».
Частые вопросы касательно новых требований к оформлению согласия (с 01.09.2025)
Может ли быть несколько согласий в одном документе?
Несколько согласий в документе могут быть, если у них единая цель.
Может ли согласие быть приложением к договору или локальному акту организации?
Это зависит от целей соответствующих документов. Если договор (или локальный акт) и согласие преследуют разные цели, объединять их в один документ не следует. При этом не имеет значения, указано ли в договоре, что приложения являются его неотъемлемой частью, — приложения в любом случае рассматриваются как часть договора.
Иная ситуация возникает, когда приложение используется не как самостоятельный документ для подписания, а как форма согласия, утверждаемая или согласуемая в рамках внутреннего документооборота организации.
Нужно ли приводить в соответствие старые согласия?
Закон обратной силы не имеет. В связи с чем изменять те, согласия, которые уже были взяты нет необходимости. Но в то же время необходимо корректировать сам процесс обработки персональных. Для новых субъектов персональных данных согласия должны быть взяты по новым требованиям. Также это касается тех субъектов, у которых уже когда-то были взяты согласия, но срок их обработки подошел или подойдет к концу.
Как юридически корректно выстроить процесс получения согласия при использовании информационных технологий?
Новые требования накладывают запрет на дачу согласия на обработку персональных данных в составе комплекта документов путем его единовременного подписания с помощью электронной подписи. Например, регистрируясь на сайте субъект прожимает чек-боксы согласий, пользовательского соглашения и получаете в качестве подписания при регистрации в сервисе ОТП-код в виде СМС или письма на e-mail, который может признаваться сторонами простой электронной подписью.
О том, как правильно обрабатывать персональные данные на сайте смотрите нашу статью.
Правомерно ли объединение согласия на обработку персональных данных и других документов на одном материальном носителе, например, фиксация согласия на обработку персональных данных на обороте бумажных анкет/договоров?
Согласно Письму РКН от 03.10.2025 № 08ВМ-513381 это возможно при условии обеспечения его оформления и добровольного подписания (подтверждения) субъектом персональных данных отдельно от иных документов, а равно соответствия содержания согласия требованиям предметности, конкретности, информированности.
Каким образом можно оформить бездокументарное согласие на обработку персональных данных (вербальное, конклюдентное) отдельно от подписываемых субъектом документов и (или) подтверждаемой субъектом информации в нетекстовых формах (графическая, числовая, звуковая и видео)?
В данном случае возможна фиксация в любой доказуемой форме с учетом требований ч. 1 ст. 9 №152-ФЗ, если только обязательность документарной формы фиксации волеизъявления не установлена законом. В то же время не любая форма фиксации может быть признана Роскомнадзором надлежащей. Например, Роскомнадзор считает, что получение согласия на обработку персональных данных по телефону, посредством СМС-сообщений действующим законодательством Российской Федерации не установлено (Источник официальный сайт Роскомнадзора: https://25.rkn.gov.ru/p17348/p32646/). Соответственно применение оператором таких инструментов по сбору согласий может быть рискованным.
У кого можно брать согласие на обработку персональных данных?
Совершеннолетние
По общему правилу согласие на обработку персональных данных может дать любой совершеннолетний дееспособный гражданин.
Несовершеннолетние и малолетние и их законные представители
Субъекты, не достигшие 14-летнего возраста, не могут давать согласие самостоятельно – за него это должен делать его законный представитель (ст. 28 ГК РФ, ст. 64 СК РФ).
Несовершеннолетние в возрасте с 14 до 18 лет вправе самостоятельно давать согласие на обработку персональных данных в рамках своей дееспособности, установленной ст. 26 ГК РФ. Например, несовершеннолетний самостоятельно может дать согласие в рамках образовательного процесса (Письма РКН от 11.03.2022 № 08-15154, от 30.05.2024 № 08-192564). В то же время по законодательством могут быть предусмотрены исключения. Например, до достижения субъектом 15 лет согласие на медицинское вмешательство должен подписывать его законный представитель (ч. 1, п. 1 ч. 2 ст. 20, ч. 2 ст. 22 Закона N 323-ФЗ), и соответственно это касается также согласия на обработку персональных данных.
По доверенности
Согласие на обработку персональных данных может быть дано по доверенности. Это прямо предусмотрено ч. 4 ст. 9 №152-ФЗ в требованиях к письменной форме согласия на обработку персональных данных. Кроме ФИО и удостоверяющего документа в таком согласие нужно прописывать реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя. Однако указание реквизитов доверенности необходимо в том числе при получения согласий по иным формам. Это необходимо для того, чтобы соблюсти условие согласия о добровольности. В доверенности должно быть указание на возможность дачи согласия на обработку персональных данных для достижения целей представления интересов или совершения действий.
Наследники субъекта персональных данных
Согласно ч. п 1 ст. 3 №152-ФЗ персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). При этом закон не говорит о том, должен ли субъект быть живым.
По ч. 7 ст. 9 №152-ФЗ в случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
Срок действия и хранения согласий на обработку персональных данных, реестр согласий
Обработка персональных данных должна быть ограничена сроком, необходимым для достижения конкретных, заранее определённых и законных целей. Такое требование закреплено в ч. 2 ст. 5 №152-ФЗ. Соответственно, согласие на обработку персональных данных действует в течение всего периода их обработки.
На практике срок действия согласия может быть установлен как в виде конкретного временного периода, так и до наступления определённого события. При этом действие согласия может прекратиться досрочно, если субъект персональных данных отзовёт его.
Оператор обязан обеспечивать хранение согласий на протяжении всего срока обработки персональных данных. После завершения обработки дальнейшее хранение согласий допускается в соответствии с требованиями архивного законодательства, в том числе Приказа Росархива от 20.12.2019 № 236.
Для удобства работы с согласиями оператором может быть создан реестр согласий на обработку персональных данных.
Реестр может содержать сведения:
Идентификатор согласия;
Сроки обработки (включая дату дачи согласия);
Способы получения согласия (электронный или бумажный документ);
Кем давалось согласие (субъектом собственноручно или его представителем);
Третьи лица, задействованные в обработке по цели в согласии и т.д.
Реестр может содержать любые данные, которые позволяют оператору эффективно администрировать процессы обработки персональных данных при использовании согласия, как основания для обработки персональных данных.
Действия оператора при отзыве согласия на обработку персональных данных
Субъект имеет право отозвать согласие на обработку персональных данных, это предусмотрено ст. 9, 21 №152-ФЗ.
Что делать оператору в случае поступления такого запроса?
Оператор обязан прекратить обработку и (или) обеспечить прекращение такой обработки третьими лицами, действующими по поручению оператора и в случае, если сохранение персональных данных более не требуется для целей обработки, уничтожить персональные данные, как правило в срок не превышающий 30 дней (ч. 5 ст. 21 №152-ФЗ).
Это общее правило имеет исключения:
Если иное не предусмотрено договором между оператором и субъектом;
Если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных №152-ФЗ или другими федеральными законами.
Кроме того, при наличии оснований, указанных в п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст.11 №152-ФЗ, оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных.
На что стоит обратить внимание оператору при работе с отзывами субъектов?
Субъекту должно быть понятно, куда обращаться;
Прежде чем отвечать на запрос субъекта, необходимо его идентифицировать, чтобы подтвердить, что данные этого субъекта действительно обрабатываются оператором, и правом отзыва воспользовался именно субъект или его представитель (ч. 3 ст. 14 №152-ФЗ);
Обращение должно быть принято, ответ направлен субъекту (если не ответить субъекту могут возникнуть риски получения штрафов);
В зависимости от уровня зрелости процессов обработки персональных данных в компании и готовности защищать свою репутацию, сообщение может содержать более расширенные подробности, включающие в том числе продолжение обработки персональных данных по другим основаниям, кроме отзываемого субъектом согласия.
При обработке отзывов согласия операторам следует внимательно подходить к подготовке ответов, поскольку некорректные формулировки могут повлечь другие нарушения по ст. 13.11 КоАП РФ (обычно по ч.1). Вместе с тем, стремление к прозрачности в вопросах обработки персональных данных положительно оценивается Роскомнадзором и способствует снижению числа претензий со стороны субъектов персональных данных.
Ответственность и штрафы
Санкции за нарушения в области обработки персональных данных с участием такого инструмента как согласие на обработку персональных данных зафиксированы в ч. 1-2.1, 5-5.1 ст. 13.11 КоАП РФ.
Ответственность может наступить в следующих случаях:
Когда согласие является неправомерным основанием обработки персональных данных либо обработка персональных данных осуществляет без правого основания в нарушение закона (ч. 1-1.1 ст. 13.11 КоАП РФ – штраф для юридических лиц до 500 000 руб.);
Когда нарушены требования к письменной форме согласия на обработку персональных данных, и оно не было взято в тех случаях, когда является обязательным по закону (ч. 2-2.1 ст. 13.11 КоАП – штраф для юридических лиц до 1 500 000 руб.);
Когда не выполнены требования по отзыву согласия на обработку персональных данных (ч. 5-5.1 ст. 13.11 КоАП РФ до 500 000 руб.).
О том, как правильно оценить риски санкций в области обработки персональных данных читайте в нашей статье.
Практический вывод и рекомендации
Согласие как инструмент для работы бизнеса с персональными данными все также продолжает оставаться одним из основных оснований для легитимации обработки по ч. 1 ст. 6 №152-ФЗ. Со временем институт согласия претерпел изменения. Требования к его содержанию, его фиксации были конкретизированы и стали жестче для бизнеса.
Чтобы не попасть под рупор Роскомнадзора рекомендуем придерживаться следующего плана работы с согласиями:
Используйте согласие на обработку персональных данных только тогда, когда невозможно подобрать или неудобно использовать другие основания, которые предусмотрены ч. 1 ст. 6 №152-ФЗ;
Для составления согласия надлежащим образом проверяйте документ на соответствие всем критериям, установленным ч. 1 ст. 9 №152-ФЗ. Для этого включайте только одну цель обработки персональных данных, указываете минимально необходимые данные, но, чтобы эти данные были достаточными для целей бизнеса и понятными для субъекта и Роскомнадзора. Субъект вправе знать, какие персональные данные собираются и обрабатываются, что с ними делают, кому их передают, когда завершается их обработка;
Выстройте в компании работу с субъектами персональных данных по вопросам отзыва согласий.
