Согласие на обработку персональных данных: что должно быть по закону
Какое согласие нужно по 152-ФЗ: пять признаков, отдельное оформление с 1 сентября 2025 года, когда обязательна письменная форма, реквизиты по части 4 статьи 9, доказательство, отзыв и штрафы по статье 13.11.
Коротко: согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным, а с 1 сентября 2025 года его оформляют отдельно от других документов (ч. 1 ст. 9 ФЗ-152). Письменная форма нужна только там, где её требует федеральный закон, в остальных случаях подойдёт любая форма, по которой можно подтвердить, что согласие получено. Согласие нужно не во всех случаях: оно лишь одно из оснований обработки. Доказывать, что согласие получено, должен оператор.
Главное о согласии
- Пять признаков: конкретное, предметное, информированное, сознательное, однозначное (ч. 1 ст. 9).
- Отдельно от иных информации и документов, которые человек подтверждает или подписывает. Требование действует с 01.09.2025.
- Форма любая, если можно подтвердить факт получения. Письменная — только когда её требует федеральный закон (ч. 4 ст. 9).
- Бремя доказывания на операторе (ч. 3 ст. 9). Нет доказательства — подтвердить основание обработки нечем.
- Согласие можно отозвать. Обработка на других основаниях (пп. 2–11 ч. 1 ст. 6) при этом может продолжиться (ч. 2 ст. 9).
- Это не политика и не уведомление. У каждого из трёх документов своя роль.
Что такое согласие и где оно среди других оснований
Закон допускает обработку персональных данных в случаях, перечисленных в части 1 статьи 6. Согласие — первое из них (п. 1). Дальше идут обработка по закону, исполнение договора, защита жизни и здоровья, законные интересы оператора, публикация данных по закону и другие (пп. 2–11). Для специальных категорий и биометрии действуют свои правила: статьи 10 и 11 (ч. 2 ст. 6).
Поэтому первый вопрос звучит не «как оформить согласие», а «нужно ли оно здесь». Бухгалтерия, договор с клиентом или кадровый учёт часто держатся на других основаниях. Когда согласие не нужно, разобрано в статье об обработке персональных данных без согласия.
Согласие нужно, когда другого основания нет, и там, где закон прямо его называет. Случаи, которые закон выделяет особо, — в разделе о форме ниже.
Пять признаков согласия
Часть 1 статьи 9 требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Слова «предметным» и «однозначным» добавил в 2022 году закон № 266-ФЗ от 14.07.2022. Закон не расшифровывает каждый признак. Ниже наше прочтение, а не цитата нормы.
| Признак | Как мы это читаем |
|---|---|
| Конкретное | Дано для определённой цели, а не «для любых нужд». Это согласуется с принципом статьи 5: цели обработки конкретные и заранее определённые (ч. 2 ст. 5) |
| Предметное | Понятно, на какие именно данные и действия оно дано. Список данных конкретный, а не «любая информация обо мне» |
| Информированное | Человек видит, кто оператор, зачем нужны данные и что с ними будут делать. Подробности удобно вынести в политику и дать на неё ссылку |
| Сознательное | Человек понимает, что именно он делает: ставит отметку, подписывает бланк. Согласие не прячется среди других действий |
| Однозначное | Двух прочтений нет. Молчание и бездействие согласием не выглядят. Для договора закон прямо запрещает считать условием бездействие человека (п. 5 ч. 1 ст. 6) |
Отдельное оформление: что изменилось с 1 сентября 2025
Закон № 156-ФЗ от 24.06.2025 (ст. 5 и ч. 2 ст. 7) дополнил часть 1 статьи 9 одним предложением: согласие должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. Другие части статьи 9 этот закон не менял. Проверка полномочий представителя и «любая форма» остались как были.
Что значит «отдельно», закон не расшифровывает. По нашему прочтению согласие не должно быть строкой внутри договора, оферты, пользовательского соглашения или заявления. В интерфейсе сайта это отдельное действие: своя отметка и свой текст. Подробно по сайту — в статье о согласии на сайте, по сравнению редакций — в статье о согласии с 1 сентября 2025 года, по договорам — в статье о согласии клиента.
Прямой нормы о том, что нужно заново собирать ранее полученные согласия, в тексте закона № 156-ФЗ мы не нашли: переходных положений для статьи 9 там нет. Официальных разъяснений по этому вопросу мы не проверяли, поэтому при обновлении форм разумно сразу переводить новые обращения на отдельное согласие.
Форма: любая или письменная
Общее правило — часть 1 статьи 9: согласие даётся в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Письменная форма обязательна только «в случаях, предусмотренных федеральным законом» (ч. 4 ст. 9). Ниже случаи, которые мы сверили по текстам: письменное согласие и согласия с особыми условиями.
| Ситуация | Норма | Что требует закон |
|---|---|---|
| Специальные категории: здоровье, национальная принадлежность, убеждения, интимная жизнь | Ч. 1 и п. 1 ч. 2 ст. 10 | Обработка допускается с согласием в письменной форме или по иному основанию из ч. 2 ст. 10 |
| Биометрические данные, которыми оператор устанавливает личность | Ч. 1 ст. 11 | Только при согласии в письменной форме, кроме случаев ч. 2 ст. 11 |
| Решение, порождающее юридические последствия, только на основе автоматизированной обработки | Ч. 2 ст. 16 | Согласие в письменной форме или случаи, предусмотренные федеральными законами |
| Работник: получение данных у третьей стороны и передача данных третьей стороне | Ст. 86 и 88 ТК РФ | Письменное согласие работника |
| Продвижение товаров и услуг прямыми контактами | Ч. 1 ст. 15 | Предварительное согласие (письменная форма не названа). Оператор доказывает, что оно получено |
| Поручение обработки другому лицу | Ч. 3 ст. 6 | С согласия субъекта, если иное не предусмотрено федеральным законом |
| Распространение данных неопределённому кругу лиц | Ст. 10.1, ч. 9 ст. 9 | Отдельное согласие, оформленное отдельно от иных согласий. Требования к содержанию устанавливает Роскомнадзор. Молчание согласием не считается |
Это случаи из 152-ФЗ и Трудового кодекса, которые мы сверили. Другие федеральные законы могут добавлять свои требования, поэтому для отраслевых случаев проверяйте профильный закон. Разборы по ситуациям: биометрия, медицина, распространение, рассылка и реклама, работник.
Письменная форма не обязательно бумажная. Электронный документ, подписанный электронной подписью в соответствии с федеральным законом, признаётся равнозначным бумажному согласию с собственноручной подписью (ч. 4 ст. 9). Про электронную форму, устное и подтверждение действием — в статье об электронном согласии.
Обязательные реквизиты письменного согласия
Часть 4 статьи 9 говорит, что письменное согласие должно включать «в частности» девять позиций. Слова «в частности» значат, что список не закрыт: его можно дополнить. Позиции 2 и 6 нужны, только если есть представитель или обработчик, остальные пропускать нельзя.
| № | Что указать |
|---|---|
| 1 | ФИО, адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган |
| 2 | Те же сведения о представителе и реквизиты доверенности или иного документа о полномочиях (если согласие даёт представитель) |
| 3 | Наименование или ФИО и адрес оператора, получающего согласие |
| 4 | Цель обработки |
| 5 | Перечень персональных данных, на обработку которых дано согласие |
| 6 | Наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора (если обработка будет поручена) |
| 7 | Перечень действий с данными и общее описание способов обработки |
| 8 | Срок действия согласия и способ отзыва, если иное не установлено федеральным законом |
| 9 | Подпись субъекта |
Нарушение требований к составу сведений в письменном согласии прямо названо в части 2 статьи 13.11 КоАП. Какие именно пробелы суд сочтёт нарушением, текст статьи не уточняет. Полный текст образца с разбором каждой строки — в статье об образце согласия.
Если субъект недееспособен, согласие даёт законный представитель (ч. 6 ст. 9). После смерти субъекта согласие дают наследники, если он не дал его при жизни (ч. 7 ст. 9). Про несовершеннолетних и школу — в статьях о согласии за ребёнка и в школе и детском саду.
Доказательство, срок и отзыв
Доказывает оператор. Обязанность предоставить доказательство получения согласия или наличия иного основания возложена на оператора (ч. 3 ст. 9). Наша рекомендация: хранить текст формы с версией, дату и время, данные, по которым отметку можно связать с человеком, а для бумаги — подписанный экземпляр. О хранении — в статье о хранении согласий.
Срок. Для письменного согласия срок действия и способ отзыва указывают в самом тексте (п. 8 ч. 4 ст. 9). Данные хранят не дольше, чем требуют цели обработки, если срок не установлен федеральным законом или договором, стороной, выгодоприобретателем или поручителем по которому является субъект (ч. 7 ст. 5). Подробнее — в статье о сроке действия согласия.
Отзыв. Согласие можно отозвать (ч. 2 ст. 9). Оператор должен прекратить обработку и, если сохранение данных больше не требуется, уничтожить их в срок не более 30 дней с даты поступления отзыва, если иное не предусмотрено договором или соглашением либо если без согласия обрабатывать данные нельзя (ч. 5 ст. 21). Если есть другое основание из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11, обработку можно продолжить (ч. 2 ст. 9). Образец и порядок — в статье об отзыве согласия, общий порядок прекращения — в статье о прекращении обработки.
Согласие, политика и уведомление: три разных документа
| Согласие | Политика | Уведомление | |
|---|---|---|---|
| Что это | Основание обработки, получаемое от человека | Документ о том, как оператор обрабатывает данные | Сообщение оператора в Роскомнадзор о начале обработки |
| Кому адресовано | Конкретному человеку | Всем, кто пришёл на сайт или к оператору | Роскомнадзору |
| Норма | Ст. 9, п. 1 ч. 1 ст. 6 | Ч. 2 ст. 18.1: публикуется, на сайте — на страницах сбора | Ст. 22. Для каждой цели указывают правовое основание (ч. 3.1) |
| Заменяет ли другие | Нет | Нет | Нет |
Политика не заменяет согласие, а подача уведомления не заменяет ни то ни другое. Если вы указали в уведомлении основание «согласие», оно должно быть получено. Обзор уведомления — в статье об уведомлении об обработке персональных данных, обязанности сайта — в статье о персональных данных на сайте.
Какую статью читать под вашу ситуацию
| Ситуация | Где разобрано |
|---|---|
| Нужен текст и разбор полей | Образец согласия на обработку персональных данных |
| Что поменялось в 2025 году | Согласие с 1 сентября 2025 года |
| Сотрудники | Согласие работника, согласие соискателя |
| Дети | Согласие за ребёнка, согласие родителей в школе |
| Клиенты и договоры | Согласие клиента |
| Сайт, формы, cookie, рассылки | Согласие на сайте, согласие на cookies, согласие на рассылку |
| Публикация данных | Согласие на распространение |
| Особые данные | Биометрия, медицинское согласие |
| Иностранные граждане | Согласие иностранного гражданина |
| Электронная форма | Электронное согласие |
| Срок, отзыв, хранение | Срок действия, отзыв, хранение |
| Согласие вообще не нужно? | Обработка без согласия |
Штрафы за согласие по статье 13.11 КоАП
| Нарушение | Граждане | Должностные лица и ИП | Организации |
|---|---|---|---|
| Ч. 1: обработка в случаях, не предусмотренных законодательством о персональных данных, либо несовместимая с целями сбора | 10–15 тыс. ₽ | 50–100 тыс. ₽ | 150–300 тыс. ₽ |
| Ч. 2: обработка без письменного согласия там, где оно обязательно, либо с нарушением состава сведений в письменном согласии | 10–15 тыс. ₽ | 100–300 тыс. ₽ | 300–700 тыс. ₽ |
| Ч. 1.1: повторное нарушение по ч. 1 | 15–30 тыс. ₽ | 100–200 тыс. ₽, ИП как юрлицо: 300–500 тыс. ₽ | 300–500 тыс. ₽ |
| Ч. 2.1: повторное нарушение по ч. 2 | 15–30 тыс. ₽ | 300–500 тыс. ₽, ИП отдельно: 500 тыс. – 1 млн ₽ | 1–1,5 млн ₽ |
Суммы — из текста статьи 13.11. Верхняя граница — не фиксированная сумма. В частях 1 и 2 у ИП своей строки нет, он отвечает как должностное лицо (примечание к ст. 2.4 КоАП); в части 1.1 по примечанию 1 к ст. 13.11 — как юридическое лицо; в части 2.1 у него своя строка. Отдельной части именно за нарушение требования «согласие отдельно» мы в статье 13.11 не нашли, какую часть применят в таком случае, текст прямо не говорит. Общий обзор — в статье о штрафах за персональные данные.
Частые ошибки
- Согласие вшито в договор, оферту или соглашение. По нашему прочтению, после 1 сентября 2025 года это противоречит требованию об отдельном оформлении.
- Одно согласие «на всё». Цели разные, а согласие должно быть конкретным.
- Нет доказательств. Отметка на сайте стоит, но лога нет, версии текста нет, связать с человеком нечем.
- В письменном согласии нет позиций из ч. 4 ст. 9: нет срока, способа отзыва или данных обработчика.
- Согласие собирают там, где оно не нужно, а основание в уведомлении указано другое. Сайт, уведомление и политика расходятся.
- Отзыв игнорируют. Для рекламных рассылок обработку нужно прекратить немедленно по требованию человека (ч. 2 ст. 15).
Как мы помогаем
ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист по образованию, работаем дистанционно по всей России.
- Документы по 152-ФЗ — 9 900 ₽ за пакет. Разбор вашего бизнеса (какие данные, зачем, где хранятся, у кого доступ, есть ли сайт и зарубежные сервисы), политика, согласия для форм и сотрудников, локальные акты. Состав называем после разбора и до оплаты, правки включены, пока вы не напишете «принимаю».
- Аудит сайта на 152-ФЗ — 4 900 ₽. Проверяем формы и согласия, политику, сервисы, место хранения базы. Отчёт за 3 рабочих дня. Документы для сайта (политика, согласия для форм, уведомление об использовании cookie) — 3 900 ₽, исправление нарушений — от 9 900 ₽.
- Уведомление в Роскомнадзор — 4 900 ₽. Основание обработки в нём и согласия должны совпадать.
Пакет «Старт» — уведомление, документы по 152-ФЗ и документы для сайта — стоит 14 900 ₽ вместо 18 700 ₽. Все услуги ФТИ собраны на одной странице.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта персональных данных на обработку
- Федеральный закон № 152-ФЗ, статья 6 — условия обработки: согласие и другие основания
- Федеральный закон № 152-ФЗ, статья 10 — специальные категории персональных данных
- Федеральный закон № 152-ФЗ, статья 11 — биометрические персональные данные
- Федеральный закон № 152-ФЗ, статья 10.1 — данные, разрешённые для распространения
- Федеральный закон № 152-ФЗ, статья 15 — продвижение товаров и услуг, предварительное согласие
- Федеральный закон № 152-ФЗ, статья 16 — решения на основании автоматизированной обработки
- Федеральный закон № 152-ФЗ, статья 21 — отзыв согласия, сроки прекращения обработки
- Федеральный закон от 24.06.2025 № 156-ФЗ — статья 5 о дополнении части 1 статьи 9, статья 7 о вступлении в силу с 01.09.2025
- Федеральный закон от 14.07.2022 № 266-ФЗ — изменения в 152-ФЗ, в том числе признаки согласия в части 1 статьи 9
- Трудовой кодекс РФ, статья 86 — обработка персональных данных работника, письменное согласие на получение у третьей стороны
- Трудовой кодекс РФ, статья 88 — передача персональных данных работника
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных
Частые вопросы
Обязательно ли согласие на обработку персональных данных?
Не всегда. Согласие — одно из оснований обработки (п. 1 ч. 1 ст. 6). Есть и другие: закон, договор, защита жизни и здоровья, законные интересы оператора и иные (пп. 2–11). Согласие нужно, когда другого основания нет и когда закон прямо называет согласие обязательным.
Должно ли согласие быть письменным?
Только если письменную форму требует федеральный закон (ч. 4 ст. 9). В остальных случаях подойдёт любая форма, по которой можно подтвердить, что согласие получено (ч. 1 ст. 9). Письменная форма нужна, например, для специальных категорий данных (ст. 10) и биометрии (ст. 11).
Что значит «оформлено отдельно» с 1 сентября 2025 года?
Закон № 156-ФЗ добавил в часть 1 статьи 9 требование оформлять согласие отдельно от иных информации и документов, которые человек подтверждает или подписывает. Расшифровки в законе нет. По нашему прочтению согласие не должно быть строкой внутри договора, оферты или пользовательского соглашения: нужен отдельный документ или отдельная отметка со своим текстом.
Можно ли получить согласие устно или молчаливо?
Часть 1 статьи 9 допускает любую форму, позволяющую подтвердить факт получения согласия, если закон не требует письменной. Но бремя доказывания лежит на операторе (ч. 3 ст. 9), а устное согласие подтвердить трудно. Молчание при этом не выглядит однозначным согласием. Подробнее в статье об электронном согласии.
Кто должен доказывать, что согласие получено?
Оператор (ч. 3 ст. 9). Он же доказывает наличие иного основания, если ссылается на пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11. Поэтому текст формы, версию, дату и время получения стоит хранить.
Что должно быть в письменном согласии?
Часть 4 статьи 9 называет девять позиций «в частности»: данные субъекта и документа, данные представителя, оператор, цель, перечень данных, обработчик по поручению, действия и способы обработки, срок и способ отзыва, подпись. Список не закрыт, но сокращать его нельзя.
Можно ли отозвать согласие, и что тогда с данными?
Можно (ч. 2 ст. 9). Оператор прекращает обработку и, если сохранение данных больше не требуется, уничтожает их в срок не более 30 дней с даты поступления отзыва, если иное не предусмотрено договором или соглашением (ч. 5 ст. 21). При наличии другого основания обработку можно продолжить.
Какой штраф за обработку без согласия?
По части 2 статьи 13.11 КоАП за обработку без письменного согласия там, где оно обязательно, организациям 300–700 тыс. ₽, должностным лицам 100–300 тыс. ₽, гражданам 10–15 тыс. ₽. Обработку вообще без основания квалифицируют по части 1: организациям 150–300 тыс. ₽. Это диапазоны, а не фиксированные суммы.
Нужно ли переоформлять согласия, собранные до 1 сентября 2025 года?
В тексте закона № 156-ФЗ переходных положений про ранее полученные согласия нет. Официальных разъяснений мы не проверяли. Практичный путь: новые обращения оформлять отдельным согласием уже сейчас, а старые формы пересмотреть при ближайшем обновлении документов.
Сколько стоит подготовить согласия и политику?
Пакет «Документы по 152-ФЗ» — 9 900 ₽: разбор, политика, согласия для форм и сотрудников, локальные акты, правки до вашего «принимаю». Для сайта документы отдельно — 3 900 ₽, аудит сайта — 4 900 ₽. Консультация бесплатная, состав пакета называем до оплаты.