Федеральный закон от № 152-ФЗ «О персональных данных» стал фундаментом правового регулирования отношений в сфере защиты персональной информации в Российской Федерации. Несмотря на то‚ что закон принят в 2006 году‚ требования к оформлению согласия субъекта персональных данных (СПД) претерпели значительные изменения‚ особенно в свете поправок Федерального закона от № 156-ФЗ‚ вступивших в силу с 1 сентября 2025 года. На текущую дату () операторы обязаны соблюдать новую редакцию норм.

Правовая природа согласия (Ст. 9 ФЗ-152)

Согласно статье 9 Федерального закона № 152-ФЗ‚ согласие субъекта персональных данных — это:

• Свободное‚ волевое и осознанное решение лица о предоставлении своих данных;
• Выражаемое в интересе самого субъекта;
• Допускает форму‚ позволяющую подтвердить факт его получения (как правило‚ письменную).

Важно: Обязанность доказать факт получения согласия или наличие иных оснований обработки (ст. 6 ФЗ-152) лежит исключительно на операторе.

Обязательные реквизиты согласия (Ч. 4 Ст. 9 ФЗ-152)

Закон устанавливает минимальный набор сведений‚ которые должны содержаться в письменном согласии. Отсутствие любого из них делает документ недействительным:

1. ФИО‚ адрес места жительства (пребывания)‚ паспортные данные субъекта персональных данных (заполняются субъектом);
2. Наименование и адрес оператора (или уполномоченного лица);
3. Цель обработки персональных данных;
4. Перечень обрабатываемых персональных данных (категории данных);
5. Способы обработки (сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ извлечение‚ использование‚ передача‚ обезличивание‚ блокирование‚ удаление‚ уничтожение и др.);
6. Срок действия согласия и порядок его отзыва;
7. Подпись субъекта персональных данных (с расшифровкой) и дата подписания.

Примечание: В образцах‚ используемых на практике‚ паспортные данные и адреса субъектов обычно маскируются для безопасности‚ например: ФИО: И.И. Иванов‚ Паспорт: * *‚ Адрес: г. ‚ ул. ‚ д. ‚ кв. .

Ключевые изменения 2025–2026 гг. (ФЗ № 156-ФЗ от )

С 1 сентября 2025 года вступили в силу кардинальные изменения‚ незнание которых грозит штрафами до 700 000 рублей (ст. 13.11 КоАП РФ):

Отдельное оформление согласия (П. 1 Ст. 9 ФЗ-152 н.р.)

Согласие на обработку персональных данных должно быть оформлено отдельно от других документов. Недопустимо включение условий согласия в:

• Трудовые или гражданско-правовые договоры;
• Анкеты‚ заявления на услуги;
• Пользовательские соглашения (Offer);
• Иные согласия на обработку данных для других целей.

Документ должен иметь самостоятельную форму‚ заголовок «Согласие на обработку персональных данных» и подпись‚ ставящуюся именно под текстом согласия.

Согласие на обработку данных‚ разрешенных субъектом для распространения (Ст. 10.1 ФЗ-152)

Если оператор обрабатывает данные‚ которые субъект сам сделал публичными (разместил в открытых источниках)‚ на это требуется отдельное специальное согласие‚ оформляемое в соответствии с требованиями Роскомнадзора. Оно не совмещается ни с основным согласием‚ ни с договором.

Форма согласия для «распространенных» данных

Роскомнадзор разработал и утвердил функционал на Портале персональных данных‚ позволяющий операторам генерировать шаблоны форм согласия для такой категории данных‚ соответствующие требованиям закона.

Типовая структура актуального образца согласия (на 2026 год)

Ниже приведена обобщенная структура документа‚ соответствующая текущим требованиям. Конкретные данные оператора и субъекта заменены на маски (*).

Особенности для категорий операторов и данных

Работодатели (Кадровые ПДн)

• Согласие сотрудника на обработку ПДн оформляется отдельно от трудового договора (п. 1 ст. 86 ТК РФ не отменяет ст. 9 ФЗ-152 н.р.).
• Для биометрии (СКУД‚ учет рабочего времени) — отдельное согласие с указанием цели «идентификация».
• Спецкатегории (здоровье — медосмотры) — обработка на основании ст. 10 ФЗ-152 (исполнение трудовых прав)‚ согласие не требуется‚ но уведомление субъекта обязательно.

Медицинские организации

Обработка данных о здоровье ведется на основании ст. 10 ФЗ-152 (оказание медпомощи) — согласие не требуется. Однако для передачи данных страховщикам‚ научным центрам или телемедицине — требуется отдельное письменное согласие.

Маркетинг и рассылки

• Согласие на получение рекламы (ФЗ «О рекламе») и согласие на обработку ПДн для маркетинга — два разных документа.
• При сборе контактов через сайт: чек-бокс «Даю согласие» должен быть непроставленным по умолчанию (opt-in)‚ текст ссылки на Положение о конфиденциальности/Согласие должен быть читаемым.

Электронное согласие и идентификация

Закон допускает согласие в форме электронного документа‚ подписанного усиленной квалифицированной электронной подписью (УКЭП) субъекта или оператора (в случае поручения). Простая авторизация по SMS/Email на сайте признается судебной практикой допустимой для определенных целей (регистрация в ЛК)‚ но для спецкатегорий данных и биометрии требуется именно УКЭП или бумажная подпись.

Памятка оператора: чек-лист проверки формы согласия

Перед внедрением шаблона проверьте:

• [ ] Документ физически отделен от договора/анкеты/оферты?
• [ ] Есть все 7 обязательных реквизитов ч. 4 ст. 9?
• [ ] Цель описана конкретно (не «для нужд компании»‚ а «для исполнения договора №…»)?
• [ ] Перечень данных минимально необходим для цели (принцип минимизации ст. 5)?
• [ ] Указан конкретный срок или условие прекращения (не «бессрочно» без оснований)?
• [ ] Описан понятный порядок отзыва (адрес‚ email‚ срок реакции)?
• [ ] Есть ссылка на Политику конфиденциальности (опубликованную на сайте/стенде)?
• [ ] Предусмотрено поле для подписи и даты от руки (или УКЭП)?
• [ ] Для биометрии/распространенных данных — отдельный бланк?

Ответственность за нарушения (Ст. 13.11 КоАП РФ)

На 2026 год санкции за нарушение режима обработки ПДн (в т.ч. недопустимое оформление согласия):

• Для должностных лиц: от 3 000 до 10 000 руб.;
• Для юрлиц (МСБ): от 15 000 до 75 000 руб.;
• Для юрлиц (крупные): от 100 000 до 700 000 руб. (п; 3.1 ст. 13.11 КоАП РФ — за нарушение требований к оформлению согласия‚ в т.ч. отсутствие отдельного документа).

Повторное нарушение влечет штрафы на юрлиц до 1 000 000 руб. или приостановку деятельности до 90 дней.

Рекомендации Роскомнадзора

Ведомство регулярно обновляет Памятку субъекту ПДн и методические материалы на своем официальном сайте (rkn.gov.ru). Ключевые позиции регулятора на 2026 год:

1. Используйте генератор форм согласия на Портале ПДн для данных‚ разрешенных к распространению (ст. 10.1).
2. Проводите аудит существующих баз согласий‚ полученных до — они могут не соответствовать новым требованиям (отдельная форма).
3. Ведите реестр согласий (журнал учета) с фиксацией даты получения‚ срока действия‚ факта отзыва.
4. Обеспечьте техническую возможность субъекту отозвать согласие так же просто‚ как и дать (кнопка в ЛК‚ ссылка в письме).

Образец согласия 2006 года (первоначальной редакции ФЗ-152) не подходит для использования в 2026 году. Главный принцип текущего законодательства — прозрачность‚ раздельность и доказуемость. Оператор должен иметь на руках подписанный субъектом отдельный документ‚ содержащий все реквизиты ч. 4 ст. 9 ФЗ-152‚ и быть готовым предъявить его при проверке Роскомнадзора или в суде.

Рекомендация: Разработайте единый корпоративный стандарт бланка согласия (мастер-форму) с юристами‚ адаптируйте под конкретные бизнес-процессы (Кадры‚ Продажи‚ Маркетинг‚ Безопасность) и внедрите контроль за заполнением всех полей менеджерами/HR-специалистами.

Данная статья носит информационный характер и не является правовой консультацией. Текст закона (ФЗ № 152-ФЗ редакция на ‚ ФЗ № 156-ФЗ) и судебная практика могут меняться. Для подготовки юридически значимых документов обратитесь к профильным юристам или ДПО (Data Protection Officer) вашей организации.