Согласие на обработку персональных данных: образец, бланк, конструктор

Статья 9 Федерального закона № 152-ФЗ устанавливает, что субъект персональных данных принимает решение о предоставлении своих персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе. Согласие должно быть конкретным, предметным и однозначным.

С 1 сентября 2022 года действуют обновлённые требования к согласию, введённые Федеральным законом от 14.07.2022 № 266-ФЗ. Основные изменения:

• Согласие должно содержать конкретные цели обработки — общие формулировки вроде «в маркетинговых целях» недопустимы;
• Для каждой цели обработки требуется отдельное согласие или отдельный раздел в общем документе;
• Субъект должен иметь возможность определить перечень персональных данных по каждой цели обработки;
• Молчание или бездействие субъекта не может считаться согласием.

Согласие на обработку персональных данных может быть дано в любой позволяющей подтвердить факт его получения форме:

• Письменная форма — собственноручная подпись на бумажном документе. Обязательна в случаях, предусмотренных федеральным законом (обработка специальных категорий ПДн, биометрических данных, трансграничная передача);
• Электронная форма — через информационную систему с использованием электронной подписи (простой, усиленной неквалифицированной или квалифицированной);
• В форме действия — постановка галочки (чекбокса) на сайте, нажатие кнопки «Согласен», отправка формы обратной связи;
• Устная форма — допустима, но практически не используется из-за сложности подтверждения.

Важно: оператор обязан доказать факт получения согласия (часть 3 статьи 9 152-ФЗ). Поэтому рекомендуется всегда оформлять согласие в письменной или электронной форме с возможностью подтверждения.

1. Конкретная дата — «Согласие действует до 31.12.2026 года». Такой вариант используется редко, так как требует регулярного продления.

2. Определённый период — «Согласие действует в течение 5 лет с даты подписания». Наиболее распространённый вариант для трудовых отношений.

3. До достижения цели обработки — «Согласие действует до момента полного исполнения обязательств по договору и истечения сроков хранения документов». Рекомендуемый вариант для договорных отношений.

4. До момента отзыва — «Согласие действует до его отзыва субъектом персональных данных». Часто используется для маркетинговых целей.

Субъект персональных данных имеет безусловное право отозвать согласие в любой момент (часть 2 статьи 9 152-ФЗ). Для этого достаточно направить оператору письменное заявление.

После получения отзыва оператор обязан:

• Прекратить обработку персональных данных в течение срока, указанного в согласии, или не позднее 30 дней с момента получения отзыва;
• Уничтожить персональные данные, если обработка не может быть продолжена на ином правовом основании (исполнение договора, требование закона).

Важно: отзыв согласия не означает автоматического уничтожения данных. Если оператор имеет иное правовое основание для обработки (например, хранение бухгалтерских документов в течение 5 лет по НК РФ), обработка продолжается в рамках этого основания.

• Для трудовых отношений: на весь срок трудового договора плюс 3 года после увольнения (срок исковой давности по трудовым спорам);
• Для договоров с клиентами: на срок действия договора плюс срок хранения первичных документов (5 лет по НК РФ);
• Для маркетинговых рассылок: до отзыва согласия, но не более 3 лет с момента последней активности;
• Для образовательных учреждений: на весь период обучения плюс 3 года после выпуска.

1. Фамилия, имя, отчество субъекта персональных данных, его адрес, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе.

2. Фамилия, имя, отчество и адрес представителя, реквизиты доверенности или иного документа, подтверждающего полномочия (если согласие даётся через представителя).

3. Наименование или ФИО оператора, получающего согласие, его адрес.

4. Цель обработки персональных данных — должна быть конкретной и однозначной.

5. Перечень персональных данных, на обработку которых даётся согласие.

6. Наименование или ФИО лица, осуществляющего обработку по поручению оператора (если обработка поручается третьему лицу), его адрес.

7. Перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых способов обработки.

8. Срок действия согласия и способ его отзыва, а также последствия отзыва.

9. Подпись субъекта персональных данных.

• Отсутствие конкретных целей — формулировка «для любых законных целей» недопустима;
• Избыточный перечень данных — включение данных, не относящихся к заявленной цели;
• Отсутствие указания на третьих лиц — если данные передаются контрагентам, их нужно указать;
• Предзаполненная галочка на сайте — согласие должно быть активным действием;
• Объединение с другими документами — согласие не должно быть частью договора без возможности отдельного отказа.

Обработка без согласия (часть 2 статьи 13.11 КоАП РФ):

• Граждане — от 6 000 до 10 000 рублей;
• Должностные лица — от 20 000 до 40 000 рублей;
• Юридические лица — от 30 000 до 150 000 рублей.

Повторное нарушение (часть 2.1 статьи 13.11 КоАП РФ):

• Граждане — от 10 000 до 20 000 рублей;
• Должностные лица — от 40 000 до 100 000 рублей;
• Юридические лица — от 300 000 до 500 000 рублей.

Непредоставление информации субъекту ПДн (часть 4 статьи 13.11 КоАП РФ):

• Граждане — от 2 000 до 4 000 рублей;
• Должностные лица — от 8 000 до 12 000 рублей;
• Юридические лица — от 40 000 до 80 000 рублей.

Необеспечение записи, систематизации, накопления, хранения ПДн с использованием баз данных на территории РФ (часть 8 статьи 13.11 КоАП РФ):

• Юридические лица — от 2 000 000 до 6 000 000 рублей (первичное), до 18 000 000 рублей (повторное).

Роскомнадзор проверяет не только наличие согласия, но и его содержание. Наиболее частые претензии:

• Согласие не содержит всех обязательных реквизитов;
• Цели обработки сформулированы слишком широко;
• Согласие получено на обработку избыточных данных;
• Отсутствует механизм отзыва согласия;
• Согласие подписано неуполномоченным лицом (для несовершеннолетних).