Согласие на обработку персональных данных: чек-лист реквизитов, виды и отзыв

Согласие на обработку персональных данных — документ или иное подтверждённое волеизъявление субъекта, которым он разрешает оператору собирать, хранить, использовать или иначе обрабатывать его персональные данные для конкретной, заранее названной цели. Это одно из оснований обработки, перечисленных в части 1 статьи 6 152-ФЗ: закон называет одиннадцать таких оснований, и согласие стоит среди них первым, но не единственным.

Если применимо любое из остальных десяти оснований — обработка нужна для исполнения договора с самим субъектом, для исполнения обязанности, возложенной законом, для защиты жизни и здоровья человека и так далее — отдельное согласие оператор запрашивать не обязан оценка. Согласие требуется там, где ни одно из этих условий не выполняется: типичный случай — рассылки и коммерческие предложения, передача данных партнёрам за пределами исполнения договора, использование данных сверх заявленной цели сбора.

Полный разбор всех оснований — на странице 152-ФЗ простыми словами.

По умолчанию согласие можно дать в любой форме, позволяющей подтвердить факт его получения, — отметкой на сайте, в переписке. Формулировка обязана быть конкретной, предметной, информированной, сознательной и однозначной (ст. 9 ч. 1 152-ФЗ) факт. Письменная форма обязательна только в случаях, прямо названных законом, — они разобраны в разделе «Виды согласия» ниже.

Часть 4 статьи 9 152-ФЗ вводит письменную форму согласия для случаев, прямо предусмотренных законом (спецкатегории данных, биометрия и другие — см. раздел «Виды согласия»), и требует определённого набора сведений в тексте. Сведённый по нескольким независимым источникам чек-лист из девяти пунктов выглядит так:

Этот перечень — про обязательные реквизиты письменного согласия на обработку. У согласия на распространение персональных данных (ст. 10.1) — другой, самостоятельный набор требований к содержанию, см. таблицу ниже.

152-ФЗ не описывает единую универсальную форму согласия — вид, форма и норма зависят от того, что именно оператор делает с данными.

↔ таблицу можно прокрутить вбок

Согласие на распространение — отдельная тема, путать её с согласием на обработку не стоит: разные основания, разные реквизиты, разный порядок отзыва. Оператор обязан дать субъекту возможность определить перечень данных по каждой категории для распространения — «всё скопом» здесь прямо запрещено законом факт.

Субъект вправе отозвать согласие на обработку персональных данных в любой момент — часть 2 статьи 9 152-ФЗ не ограничивает это право сроком или условием факт. После отзыва оператор вправе продолжить обработку без согласия, только если применимо одно из других оснований — из пунктов 2–11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11 152-ФЗ; иначе отзыв означает, что дальнейшая обработка по этому основанию незаконна.

По части 5 статьи 21 152-ФЗ при получении отзыва оператор обязан прекратить обработку персональных данных (или обеспечить прекращение, если обработку по его поручению ведёт другое лицо) и, если хранить данные дальше не требуется для целей, ради которых их собирали, — уничтожить их или обеспечить уничтожение.

Срок на это — не более 30 дней с даты поступления отзыва, если иной срок не установлен договором или иным соглашением между оператором и субъектом либо если у оператора нет права продолжать обработку без согласия по другому законному основанию факт.

• «Согласие на всё скопом» без конкретной цели. Формулировка вида «согласен на обработку моих данных в любых целях» противоречит требованию части 1 статьи 9 — согласие должно быть конкретным и предметным факт.
• Предзаполненный чекбокс, молчание как согласие. Для согласия на распространение запрещено прямо — молчание или бездействие субъекта ни при каких обстоятельствах не считается согласием (ст. 10.1) факт. Для обычного согласия на обработку прямой нормы нет, но тот же принцип «свободно, своей волей» и практика Роскомнадзора трактуют предзаполненную галочку как нарушение однозначности оценка.
• Согласие внутри текста договора или оферты. С 1 сентября 2025 года это нарушение части 1 статьи 9 в редакции 156-ФЗ — согласие обязано быть отдельным документом (см. врезку в разделе «Что такое согласие»).
• Согласие как обязательное условие получения услуги. Отказывать в заключении, исполнении, изменении или расторжении договора из-за отказа предоставить персональные данные нельзя — но это требование не 152-ФЗ, а части 4 статьи 16 Закона РФ «О защите прав потребителей» (действует с 1 сентября 2022 года) факт. Для биометрических данных отдельно действует часть 3 статьи 11 152-ФЗ: оператор не вправе отказывать в обслуживании субъекту, который отказался предоставить биометрию или дать согласие на её обработку, если такое согласие не обязательно по федеральному закону.

Ниже — не бланк, а разбор блоков, из которых собирается корректно оформленное согласие, если свести чек-лист выше к структуре документа:

1. Данные субъекта (и представителя, если согласие даёт он) — ФИО, адрес, реквизиты документа, удостоверяющего личность.
2. Данные оператора (и обработчика, если обработка ему поручена) — наименование, адрес.
3. Цель обработки — конкретная, без формулировок «в любых целях».
4. Перечень персональных данных, на обработку которых даётся согласие.
5. Перечень действий и способов обработки данных.
6. Срок действия согласия и порядок его отзыва.
7. Подпись субъекта — собственноручная или электронный аналог.

За обработку персональных данных без письменного согласия, когда оно обязательно по закону, а также за согласие, оформленное с нарушением требований к составу сведений — то есть с неполным чек-листом реквизитов, — предусмотрена часть 2 статьи 13.11 КоАП РФ:

Эти суммы действуют с 30 мая 2025 года — их повысил Федеральный закон от 30.11.2024 № 420-ФЗ, в разы по сравнению с прежними значениями статьи 13.11 КоАП. Отдельная, гораздо более крупная категория санкций — оборотные штрафы за утечки ПДн — относится к другому составу, не к отсутствию или дефекту согласия; разбор — на странице штрафы за утечку персональных данных.

Если нарушение сопровождается утечкой, оператору может понадобиться и уведомление Роскомнадзора — см. уведомление РКН об утечке.