Согласие на обработку персональных данных по ФЗ-152: содержание, форма, отзыв

Вы решили обрабатывать персональные данные клиентов или сотрудников. И вот возникает вопрос: нужно ли письменное согласие для каждого? Какие в нём должны быть пункты, чтобы РКН его признал? Что делать, если человек передумал и потребовал отозвать согласие? Разбираем согласие на обработку по закону — стандартные требования, когда его можно пропустить, и как оформить правильно, чтобы не повесили штраф на проверке.

Коротко о главном

Согласие на обработку персональных данных — это добровольное волеизъявление субъекта (человека), в котором он позволяет компании собирать и обрабатывать его персональные данные. Согласие требуется, если это — единственное или основное основание обработки по ст. 6 ФЗ-152. Подробный разбор всех требований по защите персональных данных начинается с понимания согласия.

По ст. 9 ФЗ-152 согласие должно быть конкретным, предметным, информированным и сознательным. В нём обязательно указывают: кто оператор (полные реквизиты), какие данные и почему они нужны, какие операции будут производиться. Согласие оформляется отдельно от остальных документов.

Если вы распространяете персональные данные (передаёте третьим лицам) или отправляете их за границу — нужно отдельное согласие на каждое из этих действий. При отзыве согласия компания обязана прекратить обработку в течение 30 дней (кроме данных, хранение которых требует закон). Отзыв может быть письменным или электронным.

В этой статье

• Согласие как основание обработки персональных данных
• Обязательные элементы согласия по ст. 9 ФЗ-152
• Когда согласие не требуется
• Согласие на распространение персональных данных
• Согласие на трансграничную передачу
• Как оформить согласие правильно
• Отзыв согласия: процедура и сроки

Согласие как основание обработки персональных данных

ФЗ-152 называет несколько оснований, при которых обработка персональных данных допустима:

• Согласие субъекта — явное добровольное волеизъявление на обработку его данных.
• Закон или международный договор — когда обработка требуется законодательством (например, кадровые документы по ТК РФ, бухучёт по 402-ФЗ).
• Судопроизводство — в гражданском, уголовном, арбитражном процессе.
• Защита жизни и здоровья — если получить согласие невозможно и это критично для спасения человека.

Согласие — это самое гибкое основание. Оно подходит, когда закон данные не требует: маркетинг, аналитика, рекомендации, рассылки. Но оно же — самое рискованное: если согласие окажется неправильно оформлено или РКН признает, что человек не понимал, на что соглашается, обработка встанет и грозит штраф до 6 млн рублей.

Мнение эксперта

Сергей Мальцев

Аналитик по информационной безопасности

По факту: согласие — это не одно основание, это вообще другой класс. При согласии компания отвечает за то, что человек понимал, что подписывает, и делал это без давления. Если проверяющие РКН увидят, что согласие было в 10-м пункте общих условий шрифтом 8 пт на сером фоне — они посчитают его недействительным. Согласие должно быть видно и понятно, иначе оно не работает по закону.

Обязательные элементы согласия по ст. 9 ФЗ-152

Согласие на обработку персональных данных — не произвольный документ. ФЗ-152 требует, чтобы в нём были указаны ровно четыре обязательных элемента:

Элемент	Что должно быть указано	Пример
Оператор	Полное наименование, ИНН, ОГРН, адрес компании, контакты	ООО «Интернет-Магазин Плюс», ИНН 7701234567, ОГРН 1027700123456, г. Москва, ул. Примерная, 1
Цели обработки	Конкретные, понятные цели (не «обработка в целях, предусмотренных законом»)	Выполнение заказов, отправка счётов, информирование о новых товарах по e-mail
Состав данных	Какие данные собираются (имя, телефон, адрес, email, реквизиты счёта и т. д.)	ФИО, номер телефона, адрес доставки, адрес эл. почты
Операции обработки	Что будет делаться с данными (сбор, запись, организация, хранение, передача третьим лицам и т. д.)	Сбор, хранение в защищённой БД, передача логистической компании, хранение 3 года после последнего заказа

Важный нюанс: эти четыре блока должны быть в самом согласии, а не в других документах (политике, условиях, регламенте). Если вы отошлёте человека на 15-страничный договор и скажете «смотрите там», согласие РКН может не признать за отсутствием информированности.

Согласие оформляется отдельным документом — либо на печать (с подписью человека), либо в электронном виде (через сайт, личный кабинет, e-mail с подтверждением). Молчание, отсутствие возражений или просто заполненная анкета — это не согласие. Согласие должно быть явным, проверяемым и задокументированным.

Когда согласие не требуется

Есть ситуации, когда компания может обрабатывать данные без согласия, полагаясь на другие основания:

• Кадровые данные. Трудовой договор, расходные документы, налоговые сведения обрабатываются по ТК РФ и 402-ФЗ, согласие не нужно. Исключение: если в анкете вы просите дополнительные данные (например, размер одежды для корпоративной формы) — здесь согласие поможет.
• Должники и суды. Для взыскания долга, судебных разбирательств согласие не требуется — основание даёт закон.
• Опасность для жизни. Если человек без сознания, а вы передали его данные врачам для спасения — согласие получать не нужно.
• Общедоступные данные. Если данные люди сами опубликовали, это не значит, что вы можете их обрабатывать без согласия. Закон этого не разрешает, даже если источник открыт.
• Работники компании об остальных работниках. Компания может обрабатывать контакты сотрудников для внутренних нужд без согласия от каждого на каждую операцию.

Лайфхак: перед тем как собирать согласие, проверьте, не требуется ли уже обработка по другому основанию. Часто компании берут согласие «про запас», а потом оно становится проблемой, когда нужно отозвать данные, хотя закон и не требует их удаления.

Защита персональных данных в организации начинается с правильного оформления согласия. Разбираем, какие документы нужны и как их оформить, на практике. Документы по защите персональных данных

Мнение эксперта

Ирина Лебедева

Руководитель отдела кадров

Предупреждение от бывалого: у нас в компании совершили ошибку — взяли согласие от всех сотрудников на обработку персональных данных, потому что «так вроде надо». Потом выяснилось, что для ведения учёта согласие не требуется вообще. Люди начали отзывать согласие, а мы не могли удалить данные из системы, потому что они нужны налоговой и за трудовые книжки отвечать. Итого: сначала определите, какие данные и зачем, потом уже думайте про согласие. Может быть, оно вообще не нужно.

Согласие на распространение персональных данных

Распространение — это передача данных третьим лицам (партнёрам, подрядчикам, партнёрской сети и т. д.). По ст. 10.1 ФЗ-152 распространение без согласия запрещено категорически. И здесь критично: согласие на обработку не означает согласие на распространение. Это два разных согласия, и они оформляются раздельно.

Роскомнадзор издал приказ № 18 от 24.02.2021, в котором установил требования к содержанию согласия на распространение. В согласии на распространение должны быть указаны:

• ФИО субъекта (полностью, как в паспорте).
• Контакты субъекта (телефон, e-mail или почтовый адрес).
• Полные реквизиты оператора, который распространяет данные (ИНН, ОГРН из ЕГРЮЛ).
• Перечень информационных ресурсов, где будут размещены данные (сайты, приложения, соцсети, печатные издания и т. д.).
• Цель распространения (рекламу, каталог, телефонный справочник и т. д.).
• Сроки распространения или условие прекращения.

Молчание субъекта — это не согласие. Если вы отправили ему письмо с предложением распространять данные и он не ответил — это не одобрение. Даже если данные уже размещены в открытом источнике (например, человек сам их опубликовал на сайте), без явного согласия вы их распространять не можете. По факту: если у вас есть сомнение насчёт согласия, лучше звоните человеку и уточняйте, чем потом платить штраф.

Согласие на трансграничную передачу персональных данных

Трансграничная передача (ТППД) — это передача персональных данных на территорию иностранного государства иностранной компании, учреждению или гражданину. По ст. 12 ФЗ-152 это допустимо, если:

• Страна-получатель есть в перечне Роскомнадзора, который гарантирует нужный уровень защиты (это редкий случай — в перечне далеко не все страны).
• Есть письменное согласие субъекта.
• Передача необходима по закону.
• Есть исключения: спасение жизни, обработка по контракту, где оператор за границей действует по договору с российским оператором.

Согласие на трансграничную передачу — это тоже отдельный документ. В нём указывают: страна-получатель (или хотя бы регион), иностранного партнёра или условия, при которых данные могут быть переданы, сроки передачи. Кроме того, оператор обязан уведомить Роскомнадзор о намерении передавать данные за границу — это отдельное уведомление, отличающееся от стандартного уведомления о начале обработки.

Предупреждение от бывалого: трансграничная передача — это область, где часто ловят на подробностях. Если вы отправляете данные в облако, которое физически расположено за границей (AWS, Azure европейский регион и т. д.), это считается ТППД, даже если сервис российский. Нужно согласие и уведомление РКН.

Как оформить согласие правильно: пошагово

Шаг 1. Определите основание. Действительно ли вам нужно согласие? Может быть, обработка уже разрешена законом (кадры, бухучёт, долги)? Или можно обойтись без обработки? Если согласие реально нужно — переходите дальше.

Шаг 2. Составьте согласие с четырьмя обязательными блоками. Напомним: оператор (реквизиты), цели (конкретные, понятные), состав данных (ФИО, телефон, адрес и т. д.), операции (сбор, хранение, как долго, кому передаются). Используйте простой язык, без правовых сложностей. Человек должен с первого прочтения понять, что ему предлагают.

Шаг 3. Если данные распространяются — добавьте отдельное согласие на распространение. В нём указаны информационные ресурсы, цели, сроки. Это не два абзаца в одном документе, это два разных согласия.

Шаг 4. Если данные выходят за границу — добавьте согласие на ТППД и уведомите РКН. Отдельное согласие + отдельное уведомление оператору (не смешивать с уведомлением о начале обработки).

Шаг 5. Получите согласие в письменном или электронном виде и сохраните доказательство. На печати это подпись человека, в электроном виде это логи сайта, e-mail с подтверждением, скриншот клика на кнопку, запись в системе. При проверке РКН вы должны предъявить документ, который доказывает: человек видел согласие, понимал его и дал добро.

Шаг 6. Ведите реестр согласий. В каком формате, от кого, когда, на что согласие — это важно. Если у вас 50 000 клиентов, РКН не будет проверять каждого согласия, но если оно попадёт в выборку, вы должны его быстро найти и предъявить.

Согласие на обработку персональных данных — только первый шаг к правовому режиму. Полный набор требований по ФЗ-152 разберите на странице о 152-ФЗ, там описаны и другие обязательства.

Отзыв согласия: процедура и сроки

Субъект персональных данных может отозвать согласие в любое время — это его право по ч. 2 ст. 9 ФЗ-152. Отзыв может быть оформлен:

• Письменно на бумаге с подписью (отправляют по почте, лично или через секретариат).
• Через сайт компании (личный кабинет, форма обратной связи, e-mail от зарегистрированного адреса).
• По e-mail — если компания может идентифицировать отправителя (совпадает ФИО, мобильный или другие данные).
• Электронным документом с ЭП (усиленная квалифицированная подпись).
• Через колл-центр или чат — если оператор может зафиксировать личность человека и сохранить запись или логи.

Обязанность компании при отзыве простая: прекратить обработку в течение 30 дней с момента, когда поступил отзыв. Это означает: остановить все операции с данными (анализ, отправку писем, передачу третьим лицам), и уничтожить или обезличить данные (или оставить в архиве, если это требует закон).

Исключение: отзыв согласия не освобождает компанию от хранения данных, если это требует закон:

• Кадровые документы — хранятся 75 лет по ТК РФ и архивному законодательству.
• Бухучёт — минимум 5 лет по ФЗ «О бухгалтерском учёте».
• Налоги — по Налоговому кодексу.
• Судебные акты и исполнительные листы — до исполнения обязательства и сроки, указанные в документах.

Лайфхак: если вы получили отзыв согласия, сразу же отправьте письменное подтверждение: «Уведомляем вас, что в соответствии с вашим отзывом согласия обработка данных прекращена [дата]. Данные будут удалены [дата, не позже 30 дней]». Это страховка: вы документировали отзыв и доказали, что ответили в течение закона. Если потом РКН проверит компанию, у вас будет подтверждение, что вы не волокли с исполнением.

Часто задаваемые вопросы