Оформление согласия на обработку персональных данных (ПДн) — это обязательная процедура для любого оператора, собирающего информацию о гражданах. С 1 сентября 2025 года в силу вступили значительные изменения, регулируемые поправками к ФЗ-152 «О персональных данных». В этой статье мы подробно разберем, как составить документ по новым правилам, какие поля обязательны, и предоставим актуальный образец заполнения.
Законодательная база и ключевые изменения с
Согласно информации из открытых источников (актуально на ), основные нововведения касаются:
- Единой формы согласия: Роскомнадзор утвердил рекомендательную форму, использование которой упрощает проверку соответствия требованиям закона.
- Обязательности указания целей: Цели обработки должны быть конкретными, а не абстрактными («для улучшения сервиса», недопустимо).
- Перечню действий с ПДн: Необходимо перечислить конкретные операции: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (в т.ч. третьим лицам), обезличивание, блокирование, удаление, уничтожение.
- Интеграции с Госуслугами: Появилась возможность получения и отзыва согласия через ЕСИА (Госуслуги), что накладывает отпечаток на техническую сторону хранения доказательств получения согласия.
- Передача обезличенных данных в ГИС: Новые правила регулируют передачу обезличенной информации в государственные информационные системы.
Важно: Использование старых бланков (образцов до 2025 года) создает риски штрафов по ст. 13.11 КоАП РФ (до 18 млн руб. за повторное нарушение).
Когда согласие обязательно, а когда можно обойтись без него?
Согласие НЕ требуется (ч. 1 ст. 6 ФЗ-152), если обработка:
- Необходима для исполнения договора, стороной которого является субъект ПДн.
- Необходима для осуществления прав и законных интересов оператора (например, видеонаблюдение на периметре офиса для безопасности).
- Проводится в статистических или научных целях (при обезличивании).
- Касается данных, сделанных общедоступными самим субъектом.
Согласие ОБЯЗАТЕЛЬНО во всех остальных случаях, в частности:
- При обработке специальных категорий данных (здоровье, раса, политические взгляды, биометрия), требуется письменное согласие (ст. 10 ФЗ-152).
- При передаче данных третьим лицам (партнерам, банкам, страховым компаниям).
- При маркетинговых рассылках (SMS, email, пуш-уведомления).
- При обработке данных несовершеннолетних (согласие дают родители/опекуны).
Пример из практики (банковская сфера): При обработке заявок на кредит от потенциального заемщика и его супруги, а также при открытии счета, банк обязан получить письменное согласие на обработку и передачу данных в БКИ (бюро кредитных историй) и скоринговые системы, так как это выходит за рамки простого исполнения договора.
Обязательные реквизиты согласия (Чек-лист)
Согласно ст. 9 ФЗ-152 и новым рекомендациям Роскомнадзора, в документе должны быть:
| Реквизит | Описание и требования |
|---|---|
| ФИО субъекта ПДн | Полностью. Если субъект, несовершеннолетний, указываются ФИО законного представителя. |
| Документ, удостоверяющий личность | Паспорт РФ (серия, номер, кем выдан, код подразделения, дата выдачи) или иной документ. В публичных образцах данные маскируются: серия * № *, выдан * * . |
| Адрес регистрации/проживания | Указывается полностью. Пример маскировки: г. , ул. , д. , кв. . |
| Контактные данные | Телефон, e-mail. Маскировка: +7 () —, e-mail: i*@.ru. |
| Наименование оператора | Полное юр. название (ИП/ООО/АО), ИНН, ОГРН(ИП), юр. адрес. |
| Цели обработки | Конкретный перечень: «Оценка кредитоспособности», «Рассылка новостей», «Оформление заказа №*». |
| Перечень обрабатываемых данных | ФИО, паспорт, СНИЛС, ИНН, адрес, телефон, e-mail, биометрия (если есть), данные о доходах/семейном положении. |
| Перечень действий (операций) | Сбор, запись, хранение, использование, передача третьим лицам (указать категории: БКИ, партнеры, курьеры), удаление. |
| Срок действия согласия | Конкретная дата или событие («до достижения цели», «до отзыва», «3 года после закрытия счета»). Бессрочное согласие не рекомендуется. |
| Порядок отзыва | Адрес для заявления (почта/email оператора), ссылка на ЛК/Госуслуги. Указание, что отзыв не влечет незаконность обработки до момента получения отзыва. |
| Подпись и дата | Ручная подпись (для бумажного варианта) или ЭЦП/Код подтверждения (для электронного). Дата заполнения. |
Актуальный образец заполнения (Шаблон 2025/2026)
Ниже приведен универсальный шаблон. Текст в квадратных скобках […] подлежит замене на реальные данные. Персональные данные в примере замаскированы символами *.
СВЕДЕНИЯ О СУБЪЕКТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Фамилия, Имя, Отчество: [Иванов Иван Иванович]
Дата рождения: [..]
Место рождения: [г. *]
Документ, удостоверяющий личность: Паспорт гражданина РФ серия № , выдан * * *…, код подразделения *-.
Адрес регистрации по месту жительства: г. , ул. , д. , кв. ;
Телефон: +7 () —*
E-mail: i@.ru
СНИЛС: *—
ИНН:
СВЕДЕНИЯ ОБ ОПЕРАТОРЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Наименование: ООО «Ромашка» / ИП Петров П.П.
ИНН/КПП: /
ОГРН/ОГРНИП:
Юридический адрес: г. Москва, ул. Примерная, д. 1, офис 1.
Адрес для направления требования об отзыве согласия: г. Москва, ул. Примерная, д. 1, офис 1 / e-mail: privacy@primer.ru
ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Обработка осуществляется для следующих целей:
Оценка кредитоспособности и принятия решения по заявке на кредит № [*] от [..].
Идентификация клиента при заключении и исполнении банковского счета/договора.
Передача данных в БКИ (АО «НБКИ», ООО «Эквифакс» и др.) для формирования кредитной истории.
Информирование о продуктах и услугах оператора (маркетинг) — только при отдельной отметке согласия ниже.
ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
☑ Общие данные: ФИО, дата/место рождения, паспортные данные, адрес, контакты, СНИЛС, ИНН.
☑ Данные о семейном положении: сведения о супруге/супруге (ФИО, паспорт * * ).
☑ Финансовые данные: доходы, место работы, задолженность, кредитная история.
☐ Специальные категории (здоровье, биометрия) — требуется отдельное письменное согласие по ст. 10 ФЗ-152.
☐ Обезличенные данные для аналитики и передачи в ГИС.
ПЕРЕЧЕНЬ ДЕЙСТВИЙ (ОПЕРАЦИЙ) С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ) третьим лицам (БКИ, страховщики, коллекторские агентства, почтовые операторы, IT-подрядчики), обезличивание, блокирование, удаление, уничтожение.
Передача осуществляется на основании ст. 6, 10, 11 ФЗ-152 и договора поручения.
СРОК ДЕЙСТВИЯ СОГЛАСИЯ
Согласие действует с момента подписания до:
☑ До момента достижения целей обработки (закрытие счета, погашение кредита, истечение сроков хранения по закону).
☐ До [..] (конкретная дата).
☐ До отзыва субъектом ПДн.
ПОРЯДОК ОТЗЫВА СОГЛАСИЯ
Субъект ПДн имеет право отозвать настоящее согласие путем направления письменного уведомления оператору по адресу, указанному в п. 2, или через Личный кабинет на сайте оператора / портал Госуслуг (ЕСИА).
Отзыв согласия не влечет незаконность обработки, совершенной до момента получения оператором уведомления об отзыве. После отзыва оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (если иное не установлено законом/договором).
ПОДПИСЬ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
Подписывая настоящее Согласие, подтверждаю:
— Свое совершеннолетие и полную дееспособность;
— Что ознакомлен(а) с правами и обязанностями в соответствии со ст. 5, 7, 8, 9, 10, 11, 14, 15, 18, 19, 21, 22 ФЗ-152;
— Что даю согласие свободно, своей волей и в своем интересе;
— Что сведения, указанные в п. 1, достоверны.
—
ОТМЕТКА О ПОЛУЧЕНИИ КОПИИ (для бумажного варианта)
Копию согласия получил(а): _______________ / [Иванов И.И.] Дата: …
Особенности электронного согласия и Госуслуг
С учетом нововведений 2025 года, операторы обязаны обеспечить возможность отзыва согласия через ЕСИА (Госуслуги). Это означает:
- В тексте согласия обязательно должна быть ссылка на возможность отзыва через Госуслуги (если оператор интегрирован).
- При получении согласия через сайт/приложение (чек-бокс, SMS-код, ЭЦП) оператор должен фиксировать: IP-адрес, User-Agent, время, версию текста согласия (хеш документа).
- Доказательство получения согласия (логи, скриншоты, подписанный PDF) должно храниться не менее срока действия согласия + 3 года.
Типичные ошибки, за которые штрафуют
- Общие формулировки целей: «Для улучшения качества сервиса», «Для целей, определенных политикой конфиденциальности» (ссылка на политику не заменяет перечень целей в самом согласии).
- Отсутствие перечня третьих лиц: Фраза «передача третьим лицам» без указания категорий (БКИ, логистика, маркетинг) или конкретных наименований/ИНН.
- Отсутствие срока или бессрочность: Срок должен быть определен или привязан к событию.
- Скрытое согласие на маркетинг: Галочка «Согласен на всё» включает рассылки. Нужна отдельная, необязательная отметка (opt-in) для рекламы.
- Игнорирование ст. 10 ФЗ-152: Обработка данных о здоровье (медстраховки, пропуска в спортзалы) или биометрии без отдельного письменного согласия (на бумаге или КЭП).
- Неактуальные контакты для отзыва: Указание несуществующего email или адреса старого офиса.
Хранение и учет согласий
Оператор должен вести реестр согласий (журнал учета) с колонками:
- Дата получения.
- ФИО субъекта (маскированно в отчетах).
- Способ получения (бумага, сайт, Госуслуги, терминал).
- Версия текста согласия (номер редакции).
- Срок действия.
- Статус (Активно / Отозвано / Истекло).
- Дата отзыва (если есть).
Это позволит быстро предоставить данные Роскомнадзору при проверке и корректно управлять жизненным циклом ПДн.
Резюме
Правильное оформление согласия на обработку ПДн в 2025–2026 годах — это не просто заполнение бланка, а элемент системы управления персональными данными. Ключевые принципы:
- Прозрачность: Субъект должен понять, зачем, какие данные, кому и насколько долго передаются.
- Конкретика: Никаких общих фраз. Только точные цели и перечни действий.
- Технологичность: Поддержка отзыва через Госуслуги и электронные каналы.
- Документирование: Хранение доказательств получения (подписи, логи, коды) и ведение реестра.
Используйте приведенный выше образец как базу, адаптируйте его под специфику вашей деятельности (HR, банк, медклиника, интернет-магазин) и обязательно согласуйте финальный текст с юристом или DPO (уполномоченным по защите ПДн) перед внедрением.