В условиях современного цифрового бизнеса сбор, обработка и передача персональных данных (ПДн) стал неотъемлемой частью работы любой организации. Без надлежаще оформленного согласия субъекта персональных данных практически любые действия с информацией (сбор, систематизация, хранение, передача третьим лицам, в т.ч. отправка по электронным каналам связи) являются незаконными и влекут за собой серьезные штрафные санкции со стороны Роскомнадзора.

Данная статья посвящена детальному разбору требований к форме согласия, обязательным реквизитам, особенностям отправки данных через мессенджеры, email и SMS, а также предоставляет готовый образец согласия, адаптированный под текущее законодательство (152-ФЗ, ГК РФ, Постановление Правительства № 1012).

Правовая база: зачем нужно согласие и что регулирует процесс

Основным нормативным актом в РФ является Федеральный закон от № 152-ФЗ «О персональных данных». Согласно ст. 6 и ст. 9 Закона, обработка ПДн допускается только при наличии согласия субъекта, за исключением случаев, прямо предусмотренных законом (исполнение договора, защита жизни/здоровья, публично сделанные данные и др.).

Ключевые моменты, которые необходимо учитыть:

• Форма согласия: Письменная (на бумаге) или электронная (через сайт, приложение, SMS-код, ЭЦП). Устное согласие не фиксируется и не имеет юридической силы для подтверждения факта получения.
• Свободность и волеизъявление: Согласие должно быть конкретным, информированным и сознательным. Готовые «галочки» по умолчанию (pre-ticked boxes) запрещены.
• Отзыв согласия: Субъект имеет право отозвать согласие в любой момент (ст. 9, ч. 2 152-ФЗ). Оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (если иное не предусмотрено законом/договором).

Обязательные реквизиты согласия (Чек-лист для проверки)

Согласно Постановлению Правительства РФ от № 1012 (в ред. от 2022 г.), в согласии обязательно должны содержаться следующие сведения:

1. ФИО субъекта ПДн (полностью).
2. Паспортные данные (серия, номер, кем выдан, дата выдачи, код подразделения) — для идентификации физического лица.
3. Адрес места жительства/пребывания (маскируем в примерах: г. , ул. , д. , кв; ).
4. Контактные данные (телефон: +7 () -*-; email: *@.*).
5. Наименование оператора (полное юр. название ООО/ИП/АО) и его ОГРН/ИНН.
6. Адрес оператора (юридический и/или фактический: г. , ул. , д. *).
7. Цель обработки (конкретная: «заключение и исполнение договора №*», «рассылка маркетинговых предложений», «передача в банк для скоринга» и т.д.). Нельзя писать абстрактно «для бизнес-целей».
8. Перечень обрабатываемых данных (ФИО, телефон, email, адрес, ИНН, СНИЛС, банковские реквизиты, IP-адрес, cookie-файлы и т.д.).
9. Перечень действий с данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (раскрытие, предоставление), обезличивание, блокирование, удаление, уничтожение). Важно: если планируется отправка данных третьим лицам или по каналам связи (email, SMS, пуш, мессенджеры), действие «передача» и «раскрытие» должны быть прописаны явно.
10. Срок действия согласия (конкретная дата: «до » или событие: «до прекращения обработки по требованию субъекта» / «до исполнения обязательств по договору»). Бессрочное согласие допустимо, но рискованно.
11. Способ отзыва (письменное заявление по адресу: г. , ул. , д. *; или через личный кабинет на сайте; или на email: @.*).
12. Подпись субъекта (с расшифровкой) и дата. Для электронной формы — уникальный идентификатор сессии, код из СМС/пуш, ЭЦП.

Особенности «Согласия на отправку» (Передача/Раскрытие данных)

Часто в договорах или на сайтах встречается пункт «Соглашаюсь на отправку моих данных». С юридической точки зрения это некорректная формулировка. Закон оперирует понятиями:

• Передача данных — раскрытие их третьему лицу (передача в курьерскую службу, банк, колл-центр, CRM-систему). Требует отдельного пункта в согласии или договоре.
• Раскрытие данных — передача неопределенному кругу лиц (публикация на сайте, в открытых реестрах).
• Трансграничная передача — если серверы или контрагенты находятся за рубежом (требует особого оформления и уведомления Роскомнадзора, если страна не входит в список «адекватных» по защите прав).

Если вы отправляете данные клиенту (чеки, уведомления, коды доступа) или третьим лицам (доставка, маркетинговые платформы) — в согласии должно быть действие «ПЕРЕДАЧА» и указан круг получателей (категории: «службы доставки», «банки-эквайеры», «платформы рассылок»).

Образец Согласия на обработку и передачу персональных данных (Универсальный)

Электронное согласие: технические требования и фиксация

Для онлайн-бизнеса (сайты, приложения, виджеты) бумажная подпись не подходит. Закон (152-ФЗ, ГК РФ ст. 160, 434) допускает эквивалентность электронного документа бумажному при соблюдении условий:

• Идентификация субъекта: Авторизация в ЛК (логин/пароль + 2FA), код из SMS на номер, указанный в договоре, код из пуш-уведомления, ЭЦП (КЭП/НЭП).
• Фиксация воли: Активное действие — нажатие кнопки «Согласен», установка галочки в неактивном по умолчанию чек-боксе, ввод кода.
• Журналирование (Audit Log): Оператор обязан хранить лог: кто (ID пользователя), когда (timestamp с точностью до секунды), что именно принял (версия текста согласии / hash документа), каким способом (IP, User-Agent, метод авторизации).
• Доступность текста: Текст согласия должен быть доступен для чтения до момента принятия (ссылка на полную версию рядом с чек-боксом).

Пример правильного UX для чек-бокса на сайте:

<label>
 <input type="checkbox" name="consent_pd" value="1" required>
 Нажимая кнопку «Оформить заказ», я даю согласие на обработку моих персональных данных
 в соответствии с <a href="/privacy-policy" target="_blank">Политикой конфиденциальности</a>
 и подтверждаю, что ознакомлен(а) с правами субъекта ПДн.
</label>

Специфика отправки данных в мессенджерах и по Email (152-ФЗ + Закон о рекламе)

Отдельная большая тема — отправка уведомлений и рекламы в WhatsApp, Telegram, Viber, Email, SMS.

Информационные (сервисные) рассылки

Коды подтверждения, статусы заказов, чеки, напоминания о записи. Основание: исполнение договора (ст. 6 ч. 2 п. 2 152-ФЗ); Отдельное маркетинговое согласие не требуется, но в Политике конфиденциальности и Договоре должно быть прописано: «Клиент соглашается на получение сервисных уведомлений на указанные контакты».

Рекламные/Маркетинговые рассылки

Промо-коды, новости блога, кросс-продажи, поздравления с ДР.

• Закон о рекламе (ФЗ-38, ст. 18.1): Рассылка рекламы допускается только при предварительном согласии получателя.
• Форма согласия: Отдельный чек-бокс (не связанный с оформлением заказа), запись разговора (для входящих звонков), подписанная бумага.
• Обязательный элемент каждого сообщения: Возможность бесплатного отказа (ссылка «Отписаться», STOP-SMS, кнопка «Блокировать бота»).
• Реестр операторов рассылок (РОР): С 2022 г. отправка массовых сообщений в мессенджерах/Email/SMS требует регистрации отправителя в Реестре операторов рассылок (РКН) и передачи данных о рассылках. Штрафы за нарушение, до 500 тыс. руб. за каждое сообщение.

Типичные ошибки, приводящие к штрафам (Чек-лист для аудита)

1. Отсутствие версии согласия. Пользователь согласился на версию 1.0, вы обновили политику на 2.0 (добавили передачу в новый сервис аналитики) — не запросили повторное согласие. Риск: обработка без основания.
2. Скрытые чек-боксы / Pre-checked. Галочка «Подписаться на новости» стоит по умолчанию. Риск: несвободная воля, штраф по 152-ФЗ и Закону о рекламе.
3. Обобщенные цели. «Для улучшения сервиса», «для бизнес-целей». Риск: признание согласия недействительным (неконкретное).
4. Отсутствие действия «Передача» при интеграциях. Вы передаете данные в Яндекс.Метрику, Google Analytics, CRM, чат-боты, но в согласии только «хранение и использование». Риск: несанкционированное раскрытие.
5. Игнорирование отзыва. Клиент написал «удалите меня», вы удалили из CRM, но данные остались в бэкапах, логах сервера, Яндекс.Метрике, почте менеджеров. Риск: продолжение обработки после отзыва.
6. Трансграничная передача без уведомления. Используете Google Analytics, Facebook Pixel, серверы в ЕС/США, не подали уведомление в РКН (если страна не в «белом списке») и не сослались на соответствующие основания (СКС — стандартные договорные условия).
7. Хранение дольше необходимого. Клиент ушел 3 года назад, договор исполнен, но вы храните его паспорт и телефон «на всякий случай».

Роль ДПО (Договор о поручении обработки)

Если вы передаете данные подрядчику (колл-центр, IT-аутсорс, маркетинговое агентство, курьеры), по ст. 24.1 152-ФЗ обязателен ДПО (Договор о поручении обработки).

В ДПО должны быть прописаны:

• Перечень передаваемых данных.
• Цели и действия, которые подрядчик имеет право совершать.
• Меры защиты информации (технические и организационные) у подрядчика.
• Обязательство подрядчика не передавать данные дальше без вашего ведома.
• Порядок возврата/уничтожения данных по окончании договора.

Важно: Наличие ДПО не отменяет необходимости согласия субъекта на передачу данных этому конкретному подрядчику (или категории подрядчиков) в самом согласии клиента.

Практические советы по внедрению

• Версионирование: Храните историю версий Политики конфиденциальности и Формы согласия (v1.0, v1.1…). При изменении целей или списка получателей — выпускайте новую версию и запрашивайте повторное согласие (например, через баннер в ЛК или email).
• Гранулярность: Разделяйте согласия: 1) На исполнение договора (обязательное, без него нет услуги). 2) На маркетинг (добровольное, отказ не влияет на услугу). 3) На передачу в конкретные системы (аналитика, чат-боты).
• Автоматизация отзыва: Реализуйте в ЛК кнопку «Удалить аккаунт / Отозвать согласие», которая триггерит процесс анонимизации/удаления во всех связанных системах (CRM, Email-рассылки, Аналитика, Бэкапы).
• Обучение персонала: Менеджеры не должны просить паспорт «для проверки» в чате, если это не предусмотрено целью. Нельзя скидывать базы клиентов в личные WhatsApp/Telegram менеджеров.
• Аудит раз в год: Проверяйте актуальность целей, список подрядчиков (ДПО), сроки хранения, настройки ретенции в БД.

Грамотно составленное согласие на обработку и отправку персональных данных — это не просто формальность для инспектора Роскомнадзора, а инструмент управления рисками бизнеса. Оно защищает компанию от штрафов (до 18 млн руб. за повторные нарушения по 152-ФЗ, до 500 тыс. за каждое спам-сообщение по Закону о рекламе), репутационных скандалов и претензий клиентов.

Используйте приведенный выше образец как базу, но обязательно адаптируйте его под конкретную бизнес-модель: укажите реальные названия сервисов (CRM, рассылки, доставку), реальные цели и способы отзыва. Помните, что согласие — это диалог с клиентом о его приватности, а не просто «галочка внизу формы».