Согласие на обработку персональных данных как отдельный документ с 1 сентября 2025 года
С 1 сентября 2025 года вступают в силу изменения в законе ФЗ-152, и согласие на обработку персональных данных нельзя включать ни в договор, ни в пользовательское соглашение – оно должно быть оформлено виде отдельного документа. Это значит, что привычное «галочка согласия» в конце оферты или при регистрации на сайте перестаёт соответствовать закону. По новым правилам ФЗ-156 от 24.06.2025 согласие нужно получать отдельно для каждой цели обработки данных. Если компания не выполнит это требование, то невключённое в отдельный документ согласие приравнивается к его отсутствию, а обработка ПД без согласия грозит серьёзными штрафами.
🔍 Новые правила оформления согласия
- Обязательное отдельное согласие. С 1 сентября 2025 г. каждое согласие должно быть самостоятельным документом или формой, а не частью других бумаг. Закон дополняет ч. 1 ст. 9 ФЗ-152 требованием о том, что согласие не может «прятаться» в договоре, оферте или политике. К примеру, конклюдентные действия (просто использование сайта) больше не считаются согласием. Это правило касается всех согласий, оформляемых с 1 сентября 2025 года: ранее полученные согласия переоформлять не нужно.
- Кто обязан соблюдать. Новые нормы обязательны для всех организаций и ИП, обрабатывающих персональные данные граждан. То есть, если вы собираете данные клиентов, подписчиков, посетителей сайта или сотрудников, вам нужно привести свои процедуры в соответствие с законом.
- Законные формы согласия. Форма согласия – письменная или электронная – по-прежнему законодательством не регламентирована особо. Главное, что это документ (бумажный или электронной), подписанный субъектом данных. Подпись может быть как собственноручной, так и электронной (обычной или усиленной). Согласие должно содержать полный набор реквизитов: ФИО и паспортные данные человека, данные оператора (компании или ИП), цели и перечень обрабатываемых сведений, действия с ними (сбор, хранение, передача, и т.д.), срок действия и способ отзыва согласия, подпись субъекта. Эту информацию можно оформить как свободный бланк – единой формы нет, но обязательно включить все перечисленные пункты (ч. 4 ст. 9 ФЗ-152).
- Согласие на распространение и трансграничную передачу. Если ваши процессы предусматривают передачу данных третьим лицам, нужно дополнительно получить отдельное согласие на передачу персональных данных конкретному контрагенту. Такое согласие оформляется другим документом, не включаемым в основное (ч. 1 ст. 10.1 ФЗ-152). Аналогично, для трансграничной передачи персональных данных требуется отдельное согласие (в соответствии со ст. 11 ФЗ-152). Проще говоря, каждый новый контур обработки (передача, распространение или выезд за рубеж) требует собственного ясно сформулированного согласия.
- Особые случаи: Для несовершеннолетних согласие на обработку их ПД подписывает родитель или законный представитель. Если субъект недееспособен – его данные обрабатывает только опекун. Для сотрудников можно отметить: закон (ст. 6 ФЗ-152) допускает обработку данных работников без согласия в рамках трудовых отношений (например, для выплаты зарплаты, начисления отпусков и т.п.), однако при любых нетиповых обработках (например, передаче данных третьим лицам) всё равно следует взять отдельное согласие.
👉 Чтобы не разбираться во всех тонкостях ФЗ-152, можно воспользоваться готовыми решениями от компании «Роском 24». Юристы подготовят пакет документов, внесут изменения в политику и настроят согласия на сайте. Это экономит время и снижает риск ошибок.
✅ Как правильно оформить согласие
- Отдельная форма/бланк. Организация должна подготовить свой шаблон согласия, который человек подписывает сам по себе, отдельно от других документов. Например, это может быть отдельный электронный чекбокс «Я согласен на обработку персональных данных», не встроенный в политику конфиденциальности или договор. Готовые шаблоны из интернета брать не рекомендуется – лучше разработать документ под свой бизнес-процесс, чтобы в нём были точно указаны цели и процедуры обработки.
- Четкие цели и перечень данных. В тексте согласия нужно конкретно описать цели («для регистрации на сайте», «для исполнения заказа», «для рассылки новостей» и т.д.) и перечислить, какие именно данные вы собираете (имена, телефон, email, адрес, паспортные данные и пр.). Чем подробнее, тем лучше – это делает согласие прозрачным для пользователя.
- Письменное подтверждение. Согласие должно быть подписано человеком. В электронных сервисах можно использовать простую галочку и протоколировать факт дачи согласия (фактически это электронная подпись). При этом галочка должна быть пустой по умолчанию – пользователь должен сам её активировать.
- Фиксация факта согласия. Закон требует фиксировать в системе факт согласия (дата, время, IP, текст согласия на момент принятия). Это надо для доказательства осознанности согласия. По сути, после того как пользователь согласился, у компании должна оставаться «доказательство» – запись о том, что именно и когда он согласился.
- Разделение чекбоксов. Если ваш сайт или сервис предлагает несколько действий (регистрация, заказ, рассылка), для каждой цели нужны свои отдельные чекбоксы согласия. Например, при регистрации нужно отдельные согласия «на обработку ПД» и «на передачу ПД третьим лицам», а при оформлении заказа – свои «согласие на обработку (цель – исполнение заказа)» и «согласие на передачу курьеру/платежному сервису». Клерк даёт подробный чек-лист по всем сценариям (регистрация, покупка, рассылка).
- Минимизируйте сбор данных. Не просите от пользователей лишнего – собирайте только те сведения, которые требуются для заявленных целей. Это защитит от претензий и снизит риски в случае проверок Роскомнадзора.
📌 Например, для интернет-магазина это может выглядеть так: на форме регистрации – отдельные чекбоксы «Согласен на обработку персональных данных (цель – регистрация)» и «Согласен на передачу моих данных колл-центру»; при оплате заказа – чекбокс «Согласен на обработку персональных данных (цель – доставка товара)» и «Согласен на передачу моих данных платежной системе». Везде опции должны идти раздельно.
⚠ Ответственность и штрафы
Если организация игнорирует новые правила (продолжает «встраивать» согласие в другие документы или не фиксирует его), то такое согласие не считается полученным. Тогда обработка ПДн будет квалифицироваться как совершённая без согласия. По ч. 2 ст. 13.11 КоАП РФ это влечёт штрафы: до 15 000 ₽ для граждан, до 300 000 ₽ для должностных лиц, до 700 000 ₽ для организаций (при повторном нарушении размер может достигать 1,5 млн ₽).
- ⚠ Нарушение правил получения согласия может стать основанием для самой серьёзной санкции. По новым штрафам компании грозит до 700 000 ₽ за каждый случай обработки без оформленного по закону согласия. Рекомендовано не рисковать и привести практику в соответствие заблаговременно.
📋 Рекомендации по подготовке
- Проведите аудит. Проверьте все текущие формы и документы: где у вас сейчас упоминается согласие на ПДн. Выявите случаи «скрытого» согласия (в договорах, офертax, политике конфиденциальности) и замените их на отдельные формы. Просмотрите, где собираются данные клиентов (сайт, анкеты, CRM) и обеспечьте там новые галочки.
- Обновите внутренние инструкции. Сотрудникам отдела кадров и маркетинга дайте ясно прописанные шаблоны согласий для трудовых договоров, для акций, подписок и т.д. Напомните, что каждый согласившийся должен видеть текст того, на что подписывается.
- Ведите учёт. Настройте систему хранения подписанных согласий и логирование фактов согласия (например, в CRM или журнале регистрации). Это будет вашим доказательством «осознанности» согласия при проверках.
- Готовьте уведомление в Роскомнадзор. Если вы ещё не подали уведомление об обработке данных в РКН, сделайте это как можно скорее (срок был 30 мая 2025). Новые изменения подтверждают, что вы – оператор ПДн, и подача уведомления по ФЗ-152 остаётся обязательной.
- Обучите персонал. Все, кто общается с клиентами и оперирует данными (администраторы, маркетологи, HR), должны знать новые правила. Объясните им, зачем это нужно, и как технически устанавливать на сайте новые чекбоксы.
Для удобства вы можете пользоваться готовыми ресурсами и сервисами. Например, компания “Роском 24” предоставляет весь спектр услуг по новым требованиям: оформление пакета документов по ФЗ-152, технический и юридический аудит сайта на соответствие закону, помощь с уведомлением в РКН и ответами на предписания. Их специалисты подготовят Уведомление в РКН, разработают комплект документов по ФЗ-152 (34 позиции) и проведут юридический и технический аудит сайта. Если РКН требует пояснений, им можно доверить подготовку ответа на предписание.
Для самостоятельной подготовки “Роском 24 предлагает и полезный чек-лист: «Как выполнить требования Роскомнадзора в 2025 году?». Скачайте его бесплатно по ссылке и убедитесь, что учли все пункты.
В итоге: уже сейчас приведите согласия на ПДн в форме отдельных бланков или форм. Это обеспечит юридическую чистоту ваших процессов и избавит от риска штрафов. Не откладывайте на конец августа – действуйте заранее!