Конструктор согласия на обработку персональных данных

1. Что такое согласие и почему оно не является простой формальностью

Персональные данные по ст. 3 Закона № 152-ФЗ — это любая информация, которая относится прямо или косвенно к определённому или определяемому физическому лицу. Это не только паспорт. К персональным данным могут относиться ФИО, телефон, адрес электронной почты, дата рождения, адрес доставки, фотография, сведения о заказе, данные банковской карты в части, позволяющей связать их с клиентом, IP-адрес в связке с аккаунтом, переписка в личном кабинете и другие сведения.

Обработка персональных данных — тоже широкое понятие. Закон относит к ней сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение. То есть даже если организация «просто хранит анкеты», она уже обрабатывает персональные данные.

Согласие — это одно из оснований обработки. В ч. 1 ст. 9 Закона № 152-ФЗ закреплено, что согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Именно эти слова важны при проверке документа. Нельзя написать «согласен на всё» и считать, что вопрос закрыт.

хорошее согласие отвечает на четыре базовых вопроса: кто обрабатывает данные, какие именно данные, для какой цели и что именно с ними будет делать.

На практике согласие нужно не только крупным компаниям. Его используют интернет-магазины, клиники, салоны красоты, онлайн-школы, кадровые агентства, арендодатели, организаторы мероприятий, блогеры с платными курсами, работодатели и сервисы с личным кабинетом. Документ может быть бумажным или электронным. Но в любом случае оператор должен доказать, что человек действительно согласился, а не просто оказался в базе.

2. Когда согласие нужно, а когда есть другое законное основание

Распространённое заблуждение: персональные данные всегда можно обрабатывать только по согласию. На самом деле ст. 6 Закона № 152-ФЗ содержит несколько оснований. Согласие по п. 1 ч. 1 ст. 6 — важное основание, но не единственное.

Например, обработка может быть допустимой без отдельного согласия, если она необходима для исполнения договора, стороной которого является субъект персональных данных. Это п. 5 ч. 1 ст. 6 Закона № 152-ФЗ. Интернет-магазин вправе использовать имя, телефон и адрес доставки клиента для передачи товара. Исполнитель услуг вправе хранить данные заказчика, чтобы выполнить договор и подтвердить исполнение. Работодатель обрабатывает многие сведения работника на основании ТК РФ, налогового и бухгалтерского законодательства.

Но это не означает, что согласие можно не оформлять вообще. Оно часто требуется для дополнительных целей: рекламной рассылки, публикации фотографии и отзыва, передачи данных партнёрам, обработки биометрических данных, обработки сведений о здоровье, размещения информации в открытом доступе.

Классический пример — клиент оставил телефон для доставки заказа. Это не значит, что он разрешил отправлять ему рекламные SMS. Для рекламы по сетям электросвязи применяется ст. 18 Федерального закона «О рекламе»: рекламные сообщения допускаются только при наличии предварительного согласия абонента или адресата. При споре обязанность доказать согласие обычно лежит на том, кто рассылку отправляет или организует. Такой подход стабильно используется ФАС России и судами при рассмотрении дел о рекламных сообщениях.

Короткий вывод: сначала нужно определить правовое основание обработки. Если данные нужны для договора или закона, согласие может быть не главным основанием. Если данные нужны для маркетинга, публикации, передачи партнёрам или расширенного использования, согласие лучше оформить отдельно.

3. Какие нормы закона проверить перед подготовкой документа

Перед тем как скачать образец или открыть онлайн-конструктор, нужно понимать, какие нормы относятся к вашей ситуации. Универсальный шаблон не может одинаково хорошо закрыть сайт, трудовые отношения, медицинскую анкету и публикацию отзывов.

Основные нормы Закона № 152-ФЗ:

1. ст. 3 — понятия персональных данных, оператора и обработки;
2. ст. 5 — принципы обработки: законность, ограничение конкретными целями, недопустимость избыточности;
3. ст. 6 — условия обработки персональных данных;
4. ст. 9 — согласие субъекта персональных данных;
5. ст. 10 — специальные категории персональных данных;
6. ст. 10.1 — персональные данные, разрешённые субъектом для распространения;
7. ст. 11 — биометрические персональные данные;
8. ст. 12 — трансграничная передача персональных данных;
9. ст. 14 — права субъекта персональных данных;
10. ст. 18.1 — обязанности оператора по организации обработки;
11. ст. 22 — уведомление Роскомнадзора об обработке персональных данных.

Если речь идёт о работниках, дополнительно применяются ст. 86–90 ТК РФ. Если используется изображение гражданина — ст. 152.1 ГК РФ. Если затрагивается частная жизнь — ст. 152.2 ГК РФ. Если идёт рекламная рассылка — ст. 18 Закона «О рекламе». Если согласие оформляется в электронной форме с юридическим эффектом письменного документа, нужно учитывать Закон № 63-ФЗ «Об электронной подписи».

Судебная практика подтверждает общий подход: формальное наличие подписи не спасает оператора, если фактическое использование данных выходит за пределы цели или нарушает права гражданина. Постановление Пленума ВС РФ от 23.06.2015 № 25 применяется судами при оценке защиты нематериальных благ, изображения гражданина и частной жизни. Постановление Пленума ВС РФ от 15.11.2022 № 33 важно для вопросов компенсации морального вреда, в том числе когда нарушение прав на частную жизнь или персональные данные повлекло нравственные страдания.

4. Что обязательно включить в письменное согласие

Если закон или ситуация требуют письменную форму, нужно ориентироваться на ч. 4 ст. 9 Закона № 152-ФЗ. В ней перечислены обязательные сведения. Это не рекомендация, а юридический минимум.

В письменном согласии обычно должны быть:

• ФИО, адрес субъекта персональных данных, данные документа, удостоверяющего личность;
• сведения о представителе, если согласие подписывает представитель;
• наименование или ФИО и адрес оператора;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых даётся согласие;
• наименование или ФИО лица, которое обрабатывает данные по поручению оператора, если такое лицо привлекается;
• перечень действий с персональными данными;
• общее описание способов обработки;
• срок действия согласия;
• способ отзыва согласия;
• подпись субъекта персональных данных.

Самые слабые места — цель, перечень данных, третьи лица и срок. Плохая формулировка выглядит так: «Даю согласие на обработку персональных данных для любых законных целей оператора». Такая фраза слишком широкая. Лучше писать конкретно: «для заключения и исполнения договора оказания услуг», «для обработки заявки и обратной связи», «для направления рекламных сообщений», «для размещения отзыва на сайте».

если из согласия нельзя понять, зачем собираются данные, то документ выглядит не как согласие, а как попытка получить заранее неограниченное разрешение.

Типовой образец можно использовать как основу, но его нужно адаптировать. В документе для клиники будут одни данные и цели, для онлайн-школы — другие, для работодателя — третьи. Шаблон, который подходит для заявки на консультацию, не подходит для биометрии или публикации фото.

5. Как правильно описать цель обработки

Цель обработки — главный элемент согласия. По ст. 5 Закона № 152-ФЗ обработка должна ограничиваться достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора данных.

Хорошая цель должна быть понятна обычному человеку. Не стоит писать канцелярские конструкции вроде «в целях реализации уставной деятельности оператора» или «в целях информационного взаимодействия». Такие формулы слишком общие.

Лучше разделять цели:

• регистрация на сайте и предоставление доступа к личному кабинету;
• заключение и исполнение договора;
• обработка заявки и обратная связь;
• доставка товара;
• участие в акции или мероприятии;
• направление рекламных и информационных сообщений;
• публикация отзыва, имени или фотографии.

Если целей несколько, их иногда лучше оформить разными согласиями. Например, согласие на обработку данных для исполнения договора не стоит смешивать с согласием на рекламу. Человек может купить товар, но не хотеть получать рекламные сообщения. Если рекламная галочка заранее проставлена или спрятана в общий текст, доказать добровольность будет труднее.

Онлайн-форма на сайте должна быть устроена так, чтобы пользователь совершал активное действие: поставил галочку, нажал кнопку, подтвердил регистрацию. Предустановленная галочка — плохая практика. Для рекламы особенно важно отдельное согласие, потому что ст. 18 Закона «О рекламе» требует предварительного согласия, а не последующего молчаливого одобрения.

Конструктор согласий может быть полезен, если он задаёт вопросы по целям. Например: «Будет ли рассылка?», «Будет ли публикация данных?», «Передаются ли данные подрядчикам?», «Используются ли медицинские сведения?». Если конструктор просто предлагает скачать общий файл без таких вопросов, документ может оказаться слабым.

6. Как определить перечень персональных данных

Перечень данных должен соответствовать цели. По ст. 5 Закона № 152-ФЗ нельзя обрабатывать избыточные персональные данные. Это один из ключевых принципов.

Для формы обратной связи обычно достаточно имени, телефона, электронной почты и текста сообщения. Для доставки товара может понадобиться адрес. Для договора с физическим лицом могут потребоваться паспортные данные, адрес регистрации и банковские реквизиты. Для трудовых отношений перечень шире, но он должен быть связан с трудовой функцией и обязанностями работодателя.

Не стоит включать в согласие всё подряд: паспорт, СНИЛС, ИНН, сведения о семье, здоровье, месте работы, доходах, фотографии и банковские данные. Если оператор не может объяснить, зачем ему конкретная категория данных, её лучше не собирать.

В договоре между физическими лицами согласие иногда включают отдельным разделом. Например, при аренде квартиры, займе, подряде или купле-продаже автомобиля стороны обрабатывают паспортные и контактные данные друг друга для заключения и исполнения договора, расчётов и защиты прав при споре. Формулировка должна быть простой: стороны используют данные только в связи с договором и не передают их третьим лицам без основания.

В договоре между юридическими лицами персональные данные тоже могут быть. Данные самой компании не являются персональными данными, но ФИО директора, контакты менеджера, данные бухгалтера, доверенного лица или курьера — являются. Поэтому в договор часто добавляют положение, что каждая сторона обеспечивает законность передачи персональных данных своих представителей и работников другой стороне.

Пример формулировки: «Стороны вправе обрабатывать персональные данные представителей и контактных лиц друг друга в целях заключения, исполнения, изменения и прекращения договора, обмена документами, ведения переписки, осуществления расчётов и защиты прав».

7. Срок действия согласия и порядок его отзыва

Срок действия согласия нельзя писать механически. Он должен быть связан с целью обработки. Для разовой заявки может быть один срок, для договора — другой, для рекламы — до отзыва, для кадровых документов — с учётом обязательных сроков хранения.

В согласии нужно указать не только срок, но и способ отзыва. Ч. 2 ст. 9 Закона № 152-ФЗ закрепляет право субъекта персональных данных отозвать согласие. После отзыва оператор должен прекратить обработку или обеспечить её прекращение, если нет иного законного основания для продолжения обработки.

Важный нюанс: отзыв согласия не всегда означает немедленное уничтожение всех данных. Если оператор обязан хранить документы по закону, например бухгалтерские, налоговые, кадровые или документы по договору, он может продолжить хранение в пределах такого основания. Это прямо согласуется с конструкцией ст. 6, 9, 10 и 11 Закона № 152-ФЗ.

Рабочая формулировка может быть такой: «Согласие действует до достижения целей обработки либо до его отзыва субъектом персональных данных. Отзыв согласия направляется оператору в письменной форме по адресу места нахождения оператора либо в электронной форме на адрес электронной почты, указанный в согласии. После получения отзыва оператор прекращает обработку персональных данных, за исключением случаев, когда дальнейшая обработка допускается законодательством Российской Федерации».

Для сайта желательно предусмотреть электронный способ отказа. Если согласие получено онлайн, логично дать возможность отозвать его онлайн или через электронную почту. Для рекламной рассылки должен быть простой механизм отказа: ссылка отписки, ответное сообщение, личный кабинет или обращение на email.

8. Онлайн-согласие: как оформить на сайте или в приложении

Онлайн-согласие законно, если можно доказать содержание и факт волеизъявления. Самая слабая конструкция — фраза в футере сайта: «Продолжая использовать сайт, вы соглашаетесь на обработку персональных данных». Для обычного информирования этого может быть мало, а для рекламы, передачи партнёрам или распространения данных — почти всегда рискованно.

Нормальная форма на сайте включает текст рядом с кнопкой и чекбокс. Например: «Нажимая кнопку “Отправить”, я даю согласие на обработку персональных данных, указанных в форме, в целях рассмотрения обращения и обратной связи». Рядом должна быть ссылка на полный текст согласия и политику обработки персональных данных.

Если есть рекламная рассылка, нужен отдельный чекбокс: «Я согласен получать рекламные сообщения по электронной почте, SMS и в мессенджерах». Эту галочку лучше не делать обязательной для отправки обычной заявки, если рассылка не нужна для исполнения услуги.

Оператору важно сохранять доказательства:

• дату и время согласия;
• версию текста согласия;
• форму, через которую пользователь отправил данные;
• технические сведения подтверждения;
• факт отдельного согласия на рекламу, если оно было;
• факт отзыва, если пользователь отказался.

Политика обработки персональных данных на сайте не заменяет согласие там, где согласие требуется законом. Политика объясняет правила обработки, а согласие фиксирует волю конкретного человека. Поэтому лучше иметь и политику, и отдельные тексты согласий под конкретные формы.

Онлайн-конструктор может помочь создать документы для сайта, но важно проверить, чтобы он не смешивал политику, согласие на обработку, согласие на рекламу и согласие на распространение в один неразборчивый текст. Юридически это разные вещи.

9. Согласие на рекламные рассылки

С рекламой связаны одни из самых частых претензий. Для рассылки по электронной почте, SMS, мессенджерам и звонкам нужно учитывать не только Закон № 152-ФЗ, но и ст. 18 Закона «О рекламе». Реклама по сетям электросвязи допускается только при условии предварительного согласия абонента или адресата.

Покупка товара, регистрация в личном кабинете или участие в акции сами по себе не всегда доказывают согласие на рекламу. Оператор должен показать, что человек именно согласился получать рекламные сообщения. Поэтому в форме лучше писать не расплывчатое «информационные сообщения», а прямо указывать рекламный характер.

Пример: «Я даю согласие на получение рекламных и информационных сообщений о товарах, услугах, акциях и специальных предложениях ООО “Пример” по электронной почте, SMS, телефонной связи и через мессенджеры». Далее нужно указать, как отказаться от рассылки.

Суды и ФАС России обычно исходят из того, что обязанность доказать согласие лежит на лице, которое распространяет рекламу. Недостаточно сказать: «Номер был в базе» или «Пользователь когда-то оформлял заказ». Нужны журнал согласий, дата, источник, версия текста, сведения о канале подтверждения.

Типовые ошибки:

• рекламное согласие спрятано в пользовательское соглашение;
• галочка заранее проставлена;
• нет отдельного отказа от рассылки;
• согласие на звонок по заявке используется как согласие на рекламу;
• невозможно доказать, когда и на какой текст согласился пользователь.

Поэтому для рекламы лучше сделать отдельный шаблон согласия. Его можно скачать как основу, но затем надо привязать к реальным каналам: email, SMS, телефон, мессенджеры, push-уведомления. Если канал не используется, его не надо включать в документ «про запас».

10. Специальные категории данных, биометрия и изображение

Ст. 10 Закона № 152-ФЗ регулирует специальные категории персональных данных: сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. По общему правилу их обработка запрещена, кроме случаев, прямо предусмотренных законом. Один из таких случаев — письменное согласие субъекта.

Для клиник, психологов, фитнес-центров с медицинскими анкетами, работодателей, образовательных организаций и сервисов с данными о здоровье нужен особенно аккуратный документ. Нельзя использовать короткий типовой текст «согласен на обработку всех данных». Нужно прямо указать категорию сведений, цель обработки, срок, действия и порядок отзыва.

Ст. 11 Закона № 152-ФЗ посвящена биометрическим персональным данным. Это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. Например, изображение лица, используемое системой распознавания, голосовой слепок, отпечатки пальцев. Обычная фотография не всегда является биометрией, но если она применяется для автоматической идентификации, требования становятся строже.

Изображение гражданина защищается отдельно по ст. 152.1 ГК РФ. Обнародование и дальнейшее использование фотографии или видеозаписи гражданина по общему правилу допускаются с его согласия. Исключения есть, но они ограничены: публичные интересы, съёмка в открытом месте, когда изображение не является основным объектом, или позирование за плату. Постановление Пленума ВС РФ от 23.06.2015 № 25 используется судами при оценке таких споров.

Согласие на обработку персональных данных не всегда равно согласию на использование изображения в рекламе. Если клиент разрешил сделать фото для карты посещений, это не значит, что фото можно разместить в соцсетях. Если работник сфотографирован для пропуска, это не значит, что его изображение можно включить в рекламный баннер. Лучше оформить отдельное согласие на изображение.

11. Согласие на распространение персональных данных

Ст. 10.1 Закона № 152-ФЗ устанавливает специальный порядок для персональных данных, разрешённых субъектом для распространения. Речь идёт о данных, которые оператор хочет сделать доступными неопределённому кругу лиц: разместить на сайте, в каталоге, в соцсетях, в открытом списке участников, в публичной карточке сотрудника, в рейтинге, на странице отзывов.

Такое согласие должно быть отдельным от иных согласий. Молчание или бездействие не считается согласием. Субъект может установить запреты и условия обработки отдельных категорий данных. Требования к содержанию такого согласия утверждены приказом Роскомнадзора от 24.02.2021 № 18. Этот акт как раз относится к согласию на обработку персональных данных, разрешённых субъектом для распространения.

Практический пример: онлайн-школа публикует список победителей конкурса. Указать имя и результат можно только при наличии корректного основания, а если публикуется фото, город, возраст, работа участника, нужны дополнительные условия. Если участник несовершеннолетний, согласие оформляет законный представитель.

Другой пример: компания размещает на сайте карточки сотрудников с фотографиями, должностями, телефонами и электронной почтой. Для внутреннего кадрового учёта одно основание, для публичной карточки — другое. Работник должен понимать, что сведения будут доступны неопределённому кругу лиц.

В таком согласии желательно указать:

• какие данные разрешены к распространению;
• где они будут размещены;
• для какой цели;
• на какой срок;
• какие данные запрещено распространять;
• как изменить условия или отозвать согласие.

Здесь особенно опасно просто скачать типовой образец и вставить его на сайт. Согласие на распространение должно быть точным. Обычный шаблон на обработку персональных данных не закрывает требования ст. 10.1 Закона № 152-ФЗ.

12. Ответственность, судебная практика и итоговый чек-лист

За нарушения в сфере персональных данных применяется ст. 13.11 КоАП РФ. В ней предусмотрены разные составы: обработка без законного основания, нарушение требований к согласию, обработка несовместимая с целями сбора, невыполнение обязанности по опубликованию политики, нарушение сроков ответа субъекту, незаконная обработка специальных категорий, невыполнение требований по обезличиванию, хранению и уничтожению. Размер штрафа зависит от состава, статуса нарушителя и повторности.

В отдельных ситуациях возможна гражданско-правовая ответственность: требование прекратить нарушение, удалить данные, опровергнуть сведения, компенсировать моральный вред. Здесь важны ст. 151, 152.1, 152.2, 1099–1101 ГК РФ, а также Постановление Пленума ВС РФ от 15.11.2022 № 33 о компенсации морального вреда. Если данные связаны с частной жизнью или изображением, суд оценивает не только факт согласия, но и пределы использования.

По ст. 137 УК РФ ответственность возможна за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия, при наличии признаков состава преступления. Для обычной ошибки в форме сайта это не основной риск, но при публикации чувствительной информации о человеке забывать об этой норме нельзя.

Перед тем как составить согласие, создать его через конструктор или скачать готовый образец, стоит проверить документ по чек-листу:

• указаны оператор и субъект персональных данных;
• цель обработки конкретна и понятна;
• перечень данных не избыточен;
• действия с данными перечислены;
• срок действия и способ отзыва указаны;
• рекламная рассылка вынесена отдельно;
• распространение данных оформлено отдельно;
• специальные категории и биометрия не спрятаны в общий текст;
• передача третьим лицам описана;
• онлайн-форма позволяет доказать факт согласия.

Итог простой: согласие на обработку персональных данных — это не декоративная галочка и не приложение «для галочки». Это юридический документ, который должен быть связан с реальными процессами оператора. Можно использовать типовой шаблон, можно скачать образец, можно собрать документ через онлайн-конструктор, но финальный текст должен отвечать требованиям Закона № 152-ФЗ и учитывать судебную практику.

Если нужно согласие между физическими лицами, документ обычно проще, но цель и пределы обработки всё равно должны быть понятны. Если согласие используется между юридическими лицами в отношении представителей и сотрудников, важно прописать законность передачи данных контактных лиц. Если речь идёт о сайте, рекламе, биометрии, медицинских данных или публикации информации в открытом доступе, универсальный шаблон лучше не использовать без доработки.

Правильно составленное согласие снижает риск штрафов и споров. Неправильное — создаёт иллюзию защиты, но при проверке быстро показывает слабые места. Поэтому задача юриста или предпринимателя не просто найти образец, а адаптировать его под конкретную обработку: цели, данные, сроки, получателей, онлайн-механику и порядок отзыва.