Согласие на обработку персональных данных

По общему правилу ст. 6 ФЗ-152 обработка ПД допускается при наличии хотя бы одного из оснований: согласие субъекта, исполнение договора, публичные интересы и т. п. Письменное согласие по ст. 9 обязательно в специальных случаях: (1) обработка специальных категорий ПД (ст. 10: здоровье, национальность, политические/религиозные взгляды, интимная жизнь); (2) обработка биометрических ПД (ст. 11); (3) трансграничная передача ПД в страны без надлежащей защиты (ст. 12); (4) обработка в целях продвижения товаров/услуг (ст. 15); (5) принятие решений на основании автоматизированной обработки (ст. 16). Для остальных случаев согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, включая электронную (ст. 9 п. 1).

Принципиально — ничем по юридической сути (обе формы выражают волю субъекта), но различаются доказательной базой. Письменное согласие с живой подписью и реквизитами по ст. 9 п. 4 — наиболее надёжная форма: суд и Роскомнадзор принимают её без дополнительных требований. Чекбокс «Согласен с политикой» на сайте юридически корректен, если: (1) пользователь явно совершил действие (не pre-checked checkbox — ст. 9 п. 1 ФЗ-152 в редакции ФЗ № 156-ФЗ от 24.06.2025, действующей с 01.09.2025, требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным, а также оформленным отдельно от иных информации и (или) документов); (2) сохранён лог с timestamp, IP-адресом и версией документа, с которой согласились. Для повышенных рисков (банковские, медицинские данные, биометрия) используйте именно письменную форму или УКЭП.

Ст. 9 п. 4 ФЗ-152 требует указать: (1) ФИО, адрес и реквизиты документа, удостоверяющего личность субъекта; (2) ФИО или наименование и адрес оператора; (3) цель обработки; (4) перечень персональных данных; (5) перечень действий с ПД; (6) срок, в течение которого действует согласие, и порядок его отзыва; (7) подпись субъекта. Наш шаблон автоматически включает все эти пункты. Отсутствие любого из них может стать основанием для признания согласия недействительным — Роскомнадзор выдаст предписание, а суд может взыскать моральный вред с оператора.

По ст. 9 ч. 2 ФЗ-152 субъект вправе отозвать согласие в любое время без объяснения причин (последствия отзыва — обязанность оператора прекратить обработку и уничтожить ПД — установлены ст. 21 ФЗ-152). Отзыв оформляется письменно и направляется оператору любым способом, подтверждающим получение (заказное письмо, email с подтверждением доставки, личное вручение с отметкой). С момента получения отзыва оператор обязан: прекратить обработку, в течение 30 дней уничтожить ПД (или обеспечить уничтожение обработчиком). Исключения: (1) ПД нужны для исполнения договора, заключённого с субъектом; (2) обработка обязательна по закону (налоговое, трудовое законодательство); (3) в судебных целях; (4) для защиты жизни и здоровья субъекта. В этих случаях оператор продолжает обработку в необходимом объёме — но должен письменно уведомить субъекта.

Ответственность по ст. 13.11 КоАП РФ. С 30.05.2025 (ФЗ-420 от 30.11.2024) штрафы существенно ужесточены и дифференцированы по составам. За обработку ПД без согласия или с нарушением требований к нему (ч. 1 ст. 13.11) — для ЮЛ от 150 до 300 тыс. ₽ (ранее до 75 тыс.). За неуведомление Роскомнадзора о намерении обрабатывать ПД (ч. 10) — для ЮЛ и ИП от 100 до 300 тыс. ₽. За неуведомление об утечке (ч. 11) — аналогично от 1 до 3 млн ₽. За саму утечку ПД (от 1 000 субъектов или от 10 000 идентификаторов, ч. 12) — фиксированный штраф 3–5 млн ₽; объёмы свыше — до 15 млн ₽. За повторную утечку обычных ПДн (ч. 15) — оборотный штраф 1–3 % годовой выручки, не менее 20 млн ₽; за повторную утечку специальных категорий или биометрии (ч. 18) — 1–3 % выручки, не менее 25 млн и не более 500 млн ₽. Скидка 50 % за быструю уплату к штрафам ст. 13.11 больше не применяется. Роскомнадзор проводит плановые и внеплановые проверки; инциденты с утечками необходимо уведомлять в течение 24 часов и предоставлять детали в течение 72 часов (ст. 21 ч. 3.1 ФЗ-152 в ред. ФЗ-266 от 14.07.2022). С 11.12.2024 введена уголовная ответственность за незаконное использование ПДн (ст. 272.1 УК РФ): до 4 лет лишения свободы. Добросовестное оформление согласия по ст. 9 п. 4 — базовая защита от штрафа.

Да. По ст. 6 п. 3 ФЗ-152 обработка оператором может поручаться третьему лицу только с согласия субъекта (кроме случаев, предусмотренных п. 1 той же статьи — исполнение договора и пр.). В согласии нужно конкретно указать перечень получателей (либо их категории, если число большое). Особые правила действуют для трансграничной передачи (ст. 12 ФЗ-152): если страна получателя не обеспечивает адекватной защиты ПД (список утверждён Роскомнадзором), требуется отдельное согласие с указанием страны и мер защиты. С сентября 2023 года трансграничная передача в недружественные юрисдикции подлежит обязательному уведомлению Роскомнадзора за 10 рабочих дней до начала.

Частично. В 152-ФЗ возрастные пороги для самостоятельной дачи согласия прямо не установлены — ст. 9 ч. 6 ФЗ-152 предусматривает законного представителя только для недееспособного субъекта. Возрастные пороги применяются по ст. 26, 28 ГК РФ (письма Роскомнадзора от 11.03.2022 № 08-15154 и от 30.03.2023 № 08-26424): за ребёнка до 14 лет согласие даёт законный представитель (родитель, опекун); с 14 до 18 лет — сам несовершеннолетний с письменного согласия законного представителя (ст. 26 п. 1 ГК РФ); с 18 лет — самостоятельно. С 01.10.2023 (ФЗ № 277-ФЗ от 04.08.2023) и поправок 2024 года для операторов социальных сетей установлены особые требования (проверка возраста, отдельное согласие родителя для регистрации ребёнка). Для стандартных согласий (медицинское, образовательное) рекомендуется оформлять два документа: (1) основное от представителя, (2) дополнительное от самого ребёнка, если ему исполнилось 14 лет. Наш шаблон рассчитан на совершеннолетнего субъекта — для несовершеннолетних нужно дополнительно указать в шапке: «действующий как законный представитель (ФИО, документ)».

С 30 мая 2025 года (ФЗ № 420-ФЗ) ответственность резко ужесточена. За первую утечку штраф для организации — от 3 до 15 млн ₽ в зависимости от объёма скомпрометированных данных (отдельная ст. 13.11 КоАП РФ). За повторную утечку вводится оборотный штраф — от 1 до 3 % годовой выручки, но не менее 20-25 млн и не более 500 млн ₽. Отдельно штрафуют за необработку или неуведомление Роскомнадзора об инциденте в установленный срок. Поэтому корректное согласие — лишь часть обязанностей: оператор должен реально защищать данные и уведомлять Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ст. 21 ФЗ-152).