Согласие на обработку персональных данных требования и структура

Одна галочка под формой регистрации с подписью «согласен со всем сразу» способна обрушить весь договорный пакет компании. Закон с лета 2025 года требует, чтобы согласие на обработку персональных данных стояло отдельно от всего остального, а не пряталось внутри пользовательского соглашения или анкеты. Несоблюдение этой простой механики превращает якобы полученное согласие в недействительное, и оператор остаётся без законного основания для обработки. Разбираем, какими качествами должно обладать согласие, что в нём обязано присутствовать и где компании теряют деньги.

Когда согласие вообще нужно

Согласие это не единственное основание обработки. Статья 6 Федерального закона от 27.07.2006 N 152-ФЗ перечисляет случаи, когда обрабатывать данные допустимо. Среди них обработка с согласия субъекта, обработка для достижения целей, предусмотренных законом, обработка в связи с участием лица в судопроизводстве, а также обработка, необходимая для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект. То есть если вы оформляете доставку купленного товара, отдельное согласие на обработку адреса для исполнения этого договора вам, как правило, не нужно, основание лежит в самом договоре.

Согласие требуется там, где иного основания нет. Маркетинговая рассылка, передача данных партнёрам, размещение фотографий, обработка ради целей, выходящих за рамки договора, всё это держится именно на согласии субъекта. Подмена оснований это первая системная ошибка. Компания берёт согласие там, где достаточно договора, и одновременно забывает взять его там, где оно реально необходимо.

Пять качеств законного согласия

Часть 1 статьи 9 Федерального закона N 152-ФЗ задаёт фундамент. Субъект принимает решение о предоставлении своих данных и даёт согласие свободно, своей волей и в своём интересе. Само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Эти пять характеристик появились в редакции, действующей с учётом изменений Федеральных законов от 14.07.2022 N 266-ФЗ и от 24.06.2025 N 156-ФЗ, и каждое слово здесь работает против размытых формулировок.

Конкретность означает привязку к понятным целям, а не «для любых целей компании». Предметность означает определённый перечень данных, а не «все данные, которые вы предоставите». Информированность означает, что человек понимает, кто и зачем обрабатывает его данные. Сознательность исключает автоматическое проставление галочки за пользователя. Однозначность исключает молчание и пассивное поведение как форму согласия. Если хотя бы одно качество отсутствует, согласие уязвимо.

Согласие оформляется отдельно

Ключевое требование части 1 статьи 9 звучит так. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые подтверждает или подписывает субъект. Это та норма, ради которой переписывались тысячи форм на сайтах. Нельзя зашить согласие внутрь пользовательского соглашения, оферты или общей анкеты так, чтобы человек одной подписью соглашался сразу со всем.

На практике это значит отдельный чекбокс именно под согласие на обработку данных, не объединённый с принятием условий сервиса. На бумаге это отдельный документ или явно выделенный блок с самостоятельной подписью. Согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом. То есть электронная галочка допустима, но оператор обязан суметь доказать, что именно этот человек её поставил, когда и на какой версии текста.

Если согласие даёт представитель субъекта, оператор проверяет его полномочия. Эта обязанность прямо закреплена в части 1 статьи 9.

Бремя доказывания на операторе

Часть 3 статьи 9 распределяет риски жёстко не в пользу бизнеса. Обязанность предоставить доказательство получения согласия субъекта либо доказательство наличия иных оснований, указанных в пунктах со второго по одиннадцатый части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 закона, возлагается на оператора. Это означает, что в споре не субъект доказывает, что согласия не давал, а оператор доказывает, что согласие было.

Отсюда вывод для архитектуры систем. Согласие нужно не просто собрать, его нужно сохранить вместе с метаданными, дата, время, версия текста, способ фиксации. Скриншот формы без журнала событий слабое доказательство. Логи с привязкой к конкретному действию пользователя сильное.

Что обязано быть в письменном согласии

Когда федеральный закон требует именно письменной формы, часть 4 статьи 9 перечисляет обязательное содержание. Равнозначным собственноручной подписи признаётся согласие в форме электронного документа, подписанного электронной подписью в соответствии с законом. В письменное согласие должны входить, в частности, такие сведения.

Фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган. Аналогичные сведения о представителе и реквизиты его доверенности, если согласие даёт представитель. Наименование или ФИО и адрес оператора, получающего согласие. Цель обработки персональных данных. Перечень персональных данных, на обработку которых даётся согласие. Сведения о лице, обрабатывающем данные по поручению оператора, если обработка ему поручается. Перечень действий с данными и общее описание используемых способов обработки. Срок действия согласия и способ его отзыва, если иное не установлено федеральным законом. Подпись субъекта.

Этот перечень не декоративный. Отсутствие цели, перечня данных или способа отзыва делает письменное согласие неполным, а значит спорным.

На что смотрит суд и надзор

При проверке согласия внимание идёт по линии нескольких вопросов. Стоит ли согласие отдельно от прочих документов или слито с офертой. Указаны ли конкретная цель и конкретный перечень данных. Способно ли оператор доказать факт получения согласия именно от этого субъекта. Указан ли способ отзыва согласия. Соответствует ли фактическая обработка тому, на что человек соглашался, ведь обработка ради целей, не охваченных согласием, выходит за его рамки.

Частые ошибки выглядят так. Согласие «на всё и навсегда» без конкретной цели. Объединение согласия с принятием пользовательского соглашения одной галочкой. Отсутствие журнала, подтверждающего факт согласия. Сбор данных, выходящих за рамки заявленной цели, например запрос паспортных данных там, где для цели достаточно телефона. Отсутствие в письменном согласии срока и способа отзыва.

Конкретный пример

Образовательная платформа при регистрации показывает один чекбокс «принимаю условия и даю согласие на обработку данных». В тексте оферты обработка описана общими словами без цели и перечня данных. Маркетолог затем выгружает базу и передаёт её партнёру для рекламы. Здесь сразу несколько дефектов. Согласие не отделено от оферты, нарушено требование части 1 статьи 9 об отдельном оформлении. Цель и перечень данных не конкретны, нарушены требования к качеству согласия. Передача партнёру для рекламы не охватывалась исходной целью. Если субъект оспорит обработку, доказывать законность по части 3 статьи 9 будет платформа, и при таком оформлении сделать это будет тяжело.

Правильный путь, отдельный чекбокс именно под согласие на обработку, с конкретной целью, перечнем данных, указанием на возможную передачу партнёру и способом отзыва, плюс журнал фиксации.

Частые вопросы

Можно ли получить согласие одной галочкой вместе с офертой. Нет. Часть 1 статьи 9 требует оформлять согласие отдельно от иных документов, которые подписывает субъект. Объединённая галочка не отвечает этому требованию, и согласие становится уязвимым.

Годится ли электронное согласие без бумаги. Да, согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, если закон не требует письменной формы. Когда же письменная форма обязательна, электронный документ, подписанный электронной подписью по закону, равнозначен подписи на бумаге.

Что будет, если человек заявит, что согласия не давал. По части 3 статьи 9 доказывать получение согласия обязан оператор. Без журнала и привязки к конкретному действию пользователя позиция оператора слабая, поэтому фиксацию согласия нужно выстраивать заранее.

Корректно составленное согласие это не шаблон из интернета, а документ под конкретные цели и процессы компании. Мы готовим формы согласия, проверяем оформление под требования статьи 9 и выстраиваем доказуемую фиксацию. Подробнее об услуге и контактах.