Согласие на обработку персональных данных: бланк и образец заполнения

Когда согласие нужно, а когда нет

По общему правилу обработка персональных данных требует согласия субъекта, но часть 1 ст. 6 ФЗ-152 перечисляет случаи, когда данные обрабатывают и без него. Собирать согласие отдельным документом нужно там, где иного основания нет.

• Магазин, онлайн-сервис или клуб оформляет клиента и хочет вести маркетинговые рассылки помимо исполнения конкретного заказа.
• Работодатель обрабатывает данные сотрудника сверх трудового договора и требований закона — размещает фото на сайте, передаёт в НПФ или страховую по ДМС.
• Сайт собирает данные через форму обратной связи, регистрацию или подписку.
• Медцентр, автошкола, образовательный центр заводят карточку клиента с контактами и историей обращений.

Согласие не требуется, если данные обрабатываются для исполнения договора, стороной которого является сам субъект (доставка заказа по его адресу), в рамках трудовых отношений по ТК РФ, для исполнения обязанности, возложенной законом, либо по иным основаниям из ч. 1 ст. 6. В этих случаях требование согласия у клиента — лишняя бумага, которая не добавляет законности.

Что изменилось с 1 сентября 2025 года

Часть 1 ст. 9 ФЗ-152 в редакции Федерального закона от 24.06.2025 № 156-ФЗ требует, чтобы согласие было оформлено отдельно от иных информации и документов. Формула «нажимая кнопку, я соглашаюсь с условиями оферты и даю согласие на обработку персональных данных» с этой даты не работает: согласие должно существовать как самостоятельный документ — отдельный бумажный лист с подписью или отдельный электронный документ.

Само согласие по-прежнему даётся свободно, своей волей и в своём интересе. Электронный документ, подписанный электронной подписью, приравнивается к письменному согласию с собственноручной подписью.

Обязательные пункты согласия

Часть 4 ст. 9 ФЗ-152 задаёт девять пунктов письменного согласия — восемь блоков сведений и подпись субъекта. Это минимум — оператор вправе добавить своё, но не вправе выкинуть что-то из перечня.

Цель и перечень данных — самая частая точка провала. Размытая цель («для внутренних нужд компании») и открытый перечень («и иные данные») делают согласие оспоримым: субъект даёт разрешение на конкретную обработку, а не карт-бланш. В образце цель сформулирована так:

Персональные данные обрабатываются в целях заключения и исполнения договора возмездного оказания образовательных услуг, ведения клиентского учёта и информирования меня о расписании занятий и новых курсах оператора.

Согласие на обработку и согласие на распространение — это разные документы

Обычное согласие по ст. 9 разрешает оператору работать с данными для своей цели. Если оператор хочет ещё и распространять данные — публиковать в открытом доступе, передавать неограниченному кругу лиц (отзыв на сайте с фамилией, фото сотрудника в разделе «Команда»), — нужен второй, отдельный документ по ст. 10.1 ФЗ-152.

Эта норма введена Федеральным законом от 30.12.2020 № 519-ФЗ и действует с 1 марта 2021 года. Согласие на распространение оформляется по форме, установленной Роскомнадзором, и «в составе» общего согласия недействительно. Молчание или бездействие субъекта согласием на распространение не считается: данные, к которым оператор открыл доступ без такого документа, считаются распространёнными с нарушением закона.

Отдельные документы нужны и для особых видов данных: специальные категории — сведения о здоровье, национальности, политических и религиозных взглядах (ст. 10 ФЗ-152) и биометрические данные (ст. 11 ФЗ-152). Их нельзя обрабатывать по общему согласию из этого бланка.

Срок действия и как отозвать согласие

Закон не устанавливает единого срока: его называет сам оператор в тексте согласия, и это обязательный пункт по пп. 8 ч. 4 ст. 9. Обычная формулировка привязывает срок к цели, а не к календарной дате, — так согласие не «протухает» раньше, чем оператор закончил обработку. В образце это выглядит так:

Настоящее согласие действует с даты его подписания до достижения целей обработки персональных данных либо до дня его отзыва субъектом персональных данных.

Отозвать согласие субъект вправе в любой момент — этого права его лишить нельзя (часть 2 ст. 9 ФЗ-152). После отзыва оператор прекращает обработку и уничтожает данные в срок не более 30 дней, если у него не осталось другого правового основания из ч. 1 ст. 6 (часть 5 ст. 21 ФЗ-152). На запрос субъекта о его данных оператор отвечает в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней (часть 1 ст. 20 ФЗ-152) — это не 30 календарных дней, как часто пишут.

Частые ошибки

• Согласие внутри договора или оферты. С 1 сентября 2025 года это прямое нарушение ч. 1 ст. 9 ФЗ-152: согласие, спрятанное в другом документе, не имеет силы, и обработка оказывается без основания.
• Размытая цель и открытый перечень данных. «Для любых целей» и «иные данные» превращают согласие в оспоримое — оно должно быть конкретным и предметным.
• Распространение по общему согласию. Публикация фото или отзыва клиента в открытом доступе без отдельного согласия по ст. 10.1 — самостоятельное нарушение.
• Согласие там, где оно не нужно. Требовать согласие для обработки, которая идёт по договору или по закону (ч. 1 ст. 6), — не ошибка закона, но лишний документ, который вводит клиента в заблуждение о реальном основании.
• Нет способа отзыва. Если в согласии не указано, как его отозвать, документ не соответствует пп. 8 ч. 4 ст. 9.

Смотрите также:

• Персональные данные: как защищать и обрабатывать по 152-ФЗ — обзор обязанностей оператора, прав субъекта и штрафов
• Положение о персональных данных работников — внутренний документ работодателя-оператора
• Образец соглашения о неразглашении информации — защита конфиденциальных сведений между сторонами