В условиях жесткого регулирования сферы персональных данных (ПДн) Федеральным законом № 152-ФЗ «О персональных данных», любой оператор, собирающий информацию не напрямую от субъекта, а через посредников (третьих лиц), обязан иметь на руках надлежаще оформленное согласие. Статья актуализирует требования 2024 года, разбирает структуру документа, распространенные ошибки и предоставляет рекомендации по заполнению.

Правовая база: когда требуется согласие на получение от третьих лиц

Согласно ч. 2 ст. 6 и ч. 1 ст. 7 152-ФЗ, обработка персональных данных допускается при согласии субъекта ПДн. Если оператор получает данные не от самого гражданина, а от другого лица (организации, ИП, частного лица), это считается получением от третьего лица.

Ключевые нормативные акты, регулирующие процесс в 2024 году:

• 152-ФЗ (ст. 6, 7, 9, 22) — базовые условия обработки и требования к согласию.
• Постановление Правительства РФ № 1519 от — утвердило типовые формы согласия для государственных/муниципальных нужд (справочно для коммерции).
• Постановление Правительства РФ № 1119 от — требования к защите ПДн при их обработке в ИСПДн.
• Роскомнадзор: Рекомендации по оформлению согласия (методические материалы) — разъяснения практики применения закона.

Структура согласия: обязательные реквизиты 2024 года

Ст. 9 152-ФЗ устанавливает исчерпывающий перечень сведений, которые должны содержаться в согласии. Пропуск хотя бы одного пункта делает документ недействительным.

1. ФИО, адрес места жительства (пребывания), документ, удостоверяющий личность субъекта ПДн (паспорт РФ: серия * № *, выдан * ..* г.).
2. ФИО, адрес, ИНН/ОГРН оператора (получателя данных) — вашей организации/ИП.
3. ФИО/Наименование, адрес, ИНН/ОГРН третьего лица — источника данных (например, ООО «Ромашка», ИНН , г. Москва, ул. , д. ).
4. Цель обработки (конкретная: исполнение договора № от *..* г., рассылка новостей, кадровый учет и т.д.).
5. Перечень обрабатываемых данных (ФИО, телефон, email, СНИЛС, паспортные данные, банковские реквизиты и т.д. — перечислять конкретно).
6. Действия с данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
7. Срок действия согласия (календарная дата или событие: «до достижения цели обработки», «до отзыва», но не позднее *..* г.).
8. Способ отзыва согласия (письменное заявление по адресу: г. , ул. , д. , офис или на email: @.ru).
9. Подпись субъекта ПДн с расшифровкой и датой.

Образец заполнения согласия (Текстовый шаблон)

Ниже приведен универсальный образец, адаптированный под реалии 2024 года. Текст в квадратных скобках […] подлежит замене на реальные данные (скрыты маской * в целях безопасности).

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ ПОЛУЧЕННЫХ ОТ ТРЕТЬЕГО ЛИЦА

г. [Город оператора] «___» ____________ 202_ г.

Я, [ФИО субъекта ПДн полностью], дата рождения ..* г., место рождения: г. , паспорт РФ серия № *, выдан * ..* г., код подразделения -, регистрируемый по адресу: г. , ул. , д. , кв. , действующий на основании [паспорта / доверенности № * от .. г.], именуемый в дальнейшем «Субъект», выражаю свое свободное, конкретное, информированное и безусловное согласие [Наименование оператора / ФИО ИП], ИНН , ОГРН *, адрес: г. , ул. , д. *, именуемому в дальнейшем «Оператор», на обработку моих персональных данных, полученных Оператором от третьего лица.

Сведения о третьем лице — источнике персональных данных:

• Наименование / ФИО: [Название организации или ФИО ИП/частного лица]
• ИНН / ОГРН (ОГРНИП): * /
• Адрес (место жительства/пребывания): г. , ул. , д.
• Основание передачи данных: [Договор № от .. г. / Закон / Иное основание — указать конкретно]

Цель обработки персональных данных:

[Описать максимально конкретно, например: «Исполнение обязательств по договору купли-продажи № * от .. г.», «Расчет и выплата заработной платы», «Информирование о продвигаемых товарах/услугах посредством email/SMS-рассылок»].

Перечень персональных данных, подлежащих обработке (получаемых от третьего лица):

• Фамилия, имя, отчество;
• Контактный телефон: +7 () —;
• Адрес электронной почты: @.ru;
• Паспортные данные (серия, номер, дата выдачи, кем выдан);
• СНИЛС: —* ;
• Банковские реквизиты (номер счета/карты), только при необходимости для выплат;
• [Иные данные — перечислить явно].

Категория субъектов: [клиенты / сотрудники / контрагенты / потенциальные клиенты].

Виды (действия) с персональными данными, на которые дается согласие:

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ) третьим лицам [указать кому именно, напр. «налоговым органам», «банку-эквайеру», «курьерской службе» или «не предусмотрено»], обезличивание, блокирование, удаление, уничтожение.

Способ обработки: автоматизированная (в ИСПДн) и/или неавтоматизированная (бумажные носители).

Срок действия согласия:

Настоящее согласие действует с момента подписания до «___» ____________ 202_ г. [или: «до достижения цели обработки», «до момента отзыва согласия»].

Порядок отзыва согласия:

Субъект имеет право отозвать настоящее согласие в любой момент путем направления письменного уведомления Оператору по адресу: г. , ул. , д. , пом. , или на адрес электронной почты: @.ru. Отзыв согласия влечет прекращение обработки данных в течение 3 (трех) рабочих дней с момента получения уведомления, если иное не установлено законом. После отзыва Оператор обязан уничтожить персональные данные в течение установленного законом срока.

Права субъекта персональных данных (ст. 14 152-ФЗ):

Мне известны мои права на получение информации об обработке моих данных, на уточнение их, блокирование или уничтожение в случае неполноты, устаревшей информации или незаконной обработки, а также право на обжалование действий Оператора в Роскомнадзор или в судебном порядке.

Передача данных третьим лицам и трансграничная передача:

[Выбрать нужное]:
☐ Оператор не передает мои данные третьим лицам (кроме случаев, предусмотренных законом).
☐ Оператор передает мои данные следующим третьим лицам: [Перечислить наименования, ИНН, цели передачи] .
☐ Трансграничная передача данных на территорию иностранного государства [Название страны] осуществляется / не осуществляется.

Подпись Субъекта: _________________ / [ФИО полностью]* /

Ключевые изменения и риски 2024 года

Конкретизация третьего лица (Критично!)

Роскомнадзор в 2023–2024 гг. активно штрафует за формулировки «от партнеров», «от аффилированных лиц», «от контрагентов». В согласии обязательно должно быть зафиксировано конкретное юрлицо или ИП (ИНН, ОГРН, адрес). Если источников несколько — нужно либо перечислить всех в приложении, либо оформить отдельные согласия.

Раздельные согласия для разных целей

Нельзя смешивать в одном документе согласие на исполнение договора (база ст. 6 152-ФЗ — выполнение договора, согласие не нужно) и на маркетинговые рассылки (база — согласие ст. 6). Для маркетинга нужно отдельное согласие с чек-боксом «Согласен на получение рекламы» (не предустановленным!).

Биометрия и спецкатегории данных

Если третье лицо передает биометрические данные (фото для распознавания, отпечатки пальцев), данные о здоровье, расовой/национальной принадлежности, политических взглядах, требуется письменное согласие в особой форме (ст. 11 152-ФЗ). Обычный чек-бокс на сайте или простое заявление не подходит.

Трансграничная передача

Если третье лицо находится за рубежом или Оператор передает данные за рубеж после получения, в согласии нужно указать страну-получателя и основание (адекватная защита, стандартные договорные условия, согласие субъекта).

Технические аспекты: Электронное согласие (ЭДО/СМЭВ/Сайт)

В 2024 году большинство соглашений оформляется электронно. Требования к такому согласию (ст. 9 152-ФЗ, ст. 434 ГК РФ):

• Идентификация субъекта: через Госуслуги (ЕСИА), банковскую идентификацию, SMS-код на подтвержденном номере, усиленную/неусиленную КЭП.
• Фиксация воли: нажатие кнопки «Согласен» / «Подписать» после прочтения текста (текст должен быть доступен для чтения до нажатия).
• Протоколирование: Оператор должен хранить лог: IP-адрес, User-Agent, время, хэш документа, результат идентификации.
• Доступ субъекта: гражданин должен иметь возможность в любой момент скачать/распечатать свой текст согласия в ЛК.

Чек-лист проверки готового документа (для юриста/ДПО)

Ответственность за нарушения в 2024 году

КоАП РФ (ст. 13.11) устанавливает штрафы за нарушение законодательства о ПДн:

• Ч. 1 ст. 13.11 КоАП РФ: Нарушение порядка сбора/обработки — для должностных лиц 3 000 – 5 000 руб., для юрлиц 15 000 – 75 000 руб.
• Ч. 3 ст. 13.11 КоАП РФ (повторное): Для юрлиц 100 000 – 300 000 руб.
• Ч. 4 ст. 13.11 КоАП РФ: Неисполнение требований Роскомнадзора — до 500 000 руб.

Помимо штрафов, Роскомнадзор может выдать предписание об устранении нарушений (остановить обработку, удалить данные), что для бизнеса часто критичнее денежных санкций.

Частые вопросы (FAQ)

Нужно ли согласие, если данные пришли от банка-эквайера по 54-ФЗ?

Если вы получаете только чек (ФИО, последние 4 цифры карты) для онлайн-кассы — это исполнение закона (54-ФЗ), отдельное согласие по 152-ФЗ не требуется. Но если банк передает вам полный номер карты, телефон, email для вашей CRM — согласие нужно.

Можно ли сослаться на «легитимный интерес» (ст. 6 152-ФЗ) вместо согласия?

В РФ институт «легитимного интереса» работает слабо. Суды и Роскомнадзор требуют согласия почти во всех случаях получения от третьих лиц, кроме исполнения закона/договора напрямую с субъектом. Риск использовать ст. 6 без согласия — высокий;

Что делать, если третье лицо передало данные, а согласия у субъекта нет?

Не вносить данные в ИСПДн. 2. Удалить полученный файл/письмо. 3. Направить официальное письмо третьему лицу с требованием прекратить передачу. 4. Зафиксировать инцидент в журнале инцидентов безопасности ПДн.

Как оформить согласие, если данных присылает физлицо (не ИП)?

В графе «Третье лицо» указываются ФИО, паспортные данные (серия/номер ), адрес регистрации . Основание — договор купли-продажи, дарственная и т.д.

Грамотно оформленное согласие на получение персональных данных от третьих лиц в 2024 году — это не просто формальность, а обязательное условие легальной работы оператора. Главные принципы текущего года: максимальная конкретизация (кто передает, что именно, зачем, как долго), раздельность целей и техническая возможность отзыва в любой момент.

Рекомендуется ежеквартально аудитить базу согласий: проверять актуальность сроков, соответствие перечня данных реальным процессам, наличие актуальных реквизитов третьих лиц. Храните оригиналы (бумажные) или электронные логи с КЭП/СМЭВ не менее 3 лет после прекращения обработки (или дольше, если требуют иные законы).

Данная статья носит информационный характер и не является правовой консультацией. Для подготовки документа, учитывающего специфику вашей деятельности, рекомендуется обратиться к профильному юристу или ДПО (специалисту по защите персональных данных).