Согласие на обработку ПДн отдельно от договора: правила 2025–2026

С 1 сентября 2025 года часть 1 статьи 9 Федерального закона № 152-ФЗ прямо требует оформлять согласие на обработку персональных данных отдельно от иной информации и документов, которые человек подтверждает или подписывает. Поправку внёс Федеральный закон от 24 июня 2025 года № 156-ФЗ [1].

Изменение касается формы согласия. Оно больше не должно быть одним из пунктов договора, анкеты, пользовательского соглашения или другого общего документа. При этом согласие не стало обязательным основанием для любой работы с персональными данными. Перед переделкой формы нужно понять, на каком основании обрабатывается каждый набор сведений.

Что именно изменилось с 1 сентября 2025 года

В действующей редакции статьи 9 согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Закон также требует оформлять его отдельно от информации и документов, которые подтверждает или подписывает субъект персональных данных [2].

Поэтому абзац о согласии внутри договора или анкеты уже не решает задачу. Общая подпись под всем документом тоже плохо показывает отдельное волеизъявление. В электронной форме оператору важно отличать отправку заявки, принятие условий договора и согласие на самостоятельную цель обработки.

Требование об отдельности не означает, что для каждой операции нужен собственный чекбокс. Несколько действий можно описать в рамках одной понятной цели, если согласие остаётся конкретным и предметным. Маркетинговую рассылку и публикацию сведений смешивать с обработкой заявки не стоит: для них действуют самостоятельные требования.

Сначала определите правовое основание

Статья 6 152-ФЗ содержит несколько оснований обработки. Согласие — только одно из них. Данные можно обрабатывать для выполнения функций, полномочий и обязанностей, возложенных на оператора законодательством. Отдельное основание действует, когда обработка нужна для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является человек, либо для заключения договора по его инициативе [3].

Это различие влияет и на интерфейс, и на документы. Если интернет-магазину нужны имя, телефон и адрес для оформления и доставки заказа, основанием может быть договор. Подписка на рекламные сообщения является другой целью и требует отдельного решения пользователя.

Таблица помогает начать разбор, но не заменяет карту целей обработки. Одна и та же форма может запускать несколько процессов: создать заявку в CRM, отправить уведомление менеджеру, сформировать договор и добавить адрес в рекламную базу. Для каждого процесса следует зафиксировать цель, данные, получателей, срок и основание.

Как отделить согласие на сайте

Закон не задаёт единственный дизайн электронной формы. Рабочая реализация должна позволять доказать, что человек видел конкретный текст и совершил однозначное действие именно в отношении согласия. Обычно для этого используют отдельный документ по ссылке, отдельный непредустановленный чекбокс и отдельную запись события.

Рядом с элементом подтверждения лучше прямо назвать действие: «Даю согласие на обработку персональных данных». Ссылка ведёт на текст согласия, а не только на политику обработки. Политика объясняет правила работы оператора в целом; согласие фиксирует волеизъявление конкретного человека для определённой цели.

Если обработка заявки основана на договоре или действиях перед его заключением, обязательная галочка согласия может быть лишней. В таком случае форма должна понятно сообщать, какие данные нужны для ответа или исполнения заказа, а политика обработки остаётся доступной на странице сбора данных. Часть 2 статьи 18.1 152-ФЗ требует публиковать политику на страницах сайта, где ведётся сбор [4].

Регистрация и личный кабинет

Пользовательское соглашение регулирует работу сервиса, а согласие относится к обработке данных. Их можно показать в одном сценарии регистрации, однако подтверждения должны различаться. В журнале также полезно хранить разные события: принятие версии пользовательского соглашения и получение версии согласия.

Автоматически отмеченная галочка плохо подтверждает сознательный выбор. Надёжнее дать пользователю самому поставить отметку и не менять содержание документа по уже опубликованному адресу без сохранения старой версии.

Бумажные анкеты и договоры

Для бумажного процесса согласие готовят самостоятельным документом. Его не помещают абзацем в трудовой договор, анкету клиента или заявление на услугу. Отдельный лист удобно снабдить собственным названием, датой, версией и местом для подписи.

Если компания использует пакет документов, экземпляр согласия можно выдавать или показывать вместе с остальными листами. Отдельность определяется не расстоянием между файлами, а самостоятельным содержанием и отдельным подтверждением.

Что писать в согласии

Здесь важно различать обычное согласие и согласие в письменной форме. Подробный перечень реквизитов в части 4 статьи 9 относится к случаям, когда федеральный закон требует именно письменное согласие. В такой документ входят данные субъекта и оператора, цель, перечень данных, действия, сведения об обработчике по поручению при его наличии, срок, способ отзыва и подпись [2].

Переносить паспортные данные из этого перечня в каждую форму обратной связи не нужно. Для обычного электронного согласия действует требование конкретности, предметности, информированности, сознательности и однозначности. Оператор выбирает форму, которая позволяет подтвердить получение согласия.

Даже когда письменная форма законом не установлена, человеку полезно показать:

• кто является оператором и как с ним связаться;
• для какой цели нужны данные;
• какие категории данных будут обрабатываться;
• что компания будет с ними делать и кому поручит обработку, если это относится к процессу;
• как долго действует согласие и как его отозвать;
• дату или номер редакции текста.

Формулировки должны соответствовать реальной системе. Если заявка уходит с сайта в CRM и затем используется отделом продаж, документ описывает этот маршрут понятными словами. Универсальная фраза «любые действия любыми способами для любых целей» не делает согласие информированным.

Какие согласия стоит развести

Согласие на рекламные сообщения лучше отделять от заявки, заказа и регистрации. Статья 18 закона «О рекламе» требует предварительного согласия адресата для рекламы по сетям электросвязи, а обязанность доказать его получение лежит на рекламораспространителе [5]. Пользователь должен отправить рабочую заявку и без подписки.

Согласие на обработку данных, разрешённых для распространения, оформляется отдельно от других согласий. Это прямое правило статьи 10.1 152-ФЗ [6]. Оно актуально, когда сведения становятся доступными неопределённому кругу лиц: например, профиль эксперта публикуется на открытой странице сайта.

Передача данных подрядчику или другому получателю сама по себе не всегда означает, что нужен отдельный документ. Решение зависит от цели, правового основания, роли получателя и условий поручения обработки. Сначала описывают маршрут данных, затем проверяют договоры с обработчиками и текст действующего согласия.

Журнал электронных согласий

Статья 9 возлагает на оператора обязанность доказать получение согласия или наличие другого правового основания [2]. Скриншот текущей формы не показывает, какой текст видел пользователь год назад. Для воспроизводимого доказательства нужен журнал событий и архив версий документов.

Для каждого подтверждения полезно сохранять:

• уникальный идентификатор события, заявки или учётной записи;
• дату и время с часовым поясом;
• вид согласия, цель и код процесса;
• номер версии и неизменяемую архивную копию текста; контрольную сумму можно хранить дополнительно;
• адрес страницы и идентификатор формы;
• действие пользователя, которым выражено согласие;
• результат записи в CRM или другой системе;
• событие отзыва, дату его обработки и затронутые процессы.

IP-адрес и сведения о браузере иногда усиливают доказательную цепочку, но закон не называет их универсальными обязательными полями журнала. Такие сведения сами могут относиться к персональным данным. Их сбор следует обосновать, отразить в документах и ограничить разумным сроком.

Версии согласия хранят неизменяемо. При редакции создают новый номер, а старый текст оставляют связанным с прежними событиями. Иначе журнал покажет факт нажатия, но не позволит восстановить содержание волеизъявления.

Как выглядит доказательная цепочка

По идентификатору заявки сотрудник находит событие, видит время и страницу, открывает зафиксированную версию согласия и проверяет результат записи. Если человек отозвал согласие, в цепочке появляется отдельное событие, а связанные процессы получают задачу на прекращение обработки там, где другое основание отсутствует.

Запись в браузере пользователя или только в системе веб-аналитики для такой задачи ненадёжна. Журнал лучше вести на стороне оператора, ограничить к нему доступ и включить его в резервное копирование.

Как проверить формы и документы

1. Составьте перечень страниц, приложений и бумажных документов, где человек вводит или подтверждает сведения.
2. Для каждого поля укажите цель обработки и систему, куда оно попадает.
3. Выберите правовое основание для каждой цели. Не подменяйте договор или обязанность оператора формальной галочкой.
4. Найдите согласия, встроенные в договоры, анкеты, оферты и пользовательские соглашения.
5. Отделите тексты согласий и действия подтверждения там, где обработка действительно основана на согласии.
6. Разведите рабочую заявку, рекламу и распространение сведений.
7. Проверьте, совпадают ли цели, поля, получатели и сроки в форме, согласии, политике и фактических интеграциях.
8. Настройте версии документов и журнал подтверждений.
9. Протестируйте отправку без обязательных необоснованных отметок, отказ от рекламы и отзыв согласия.
10. Повторяйте проверку после добавления виджетов, новых форм и маршрутов в CRM.

Особое внимание стоит уделить копиям одной формы на разных лендингах. Исправление основного шаблона не всегда обновляет старый квиз, форму внутри виджета или страницу, собранную в другом конструкторе.

Частые ошибки

Согласие спрятано в политике

Ссылка «Я принимаю политику» не показывает отдельное согласие. Политика является публичным документом оператора, а согласие — волеизъявлением человека. Эти документы решают разные задачи.

Одна галочка отвечает за всё

Заявка, регистрация, реклама и публикация профиля собраны в одну длинную фразу. Пользователь не может понять последствия или отказаться от необязательной цели. Процессы лучше разделить по смыслу и по применимым требованиям закона.

Текст меняется без версии

Администратор редактирует страницу согласия по тому же адресу, а журнал хранит только дату нажатия. В спорной ситуации содержание старого согласия восстановить невозможно. Номер версии и архив текста закрывают этот разрыв.

Журнал существует отдельно от CRM

Сайт записал согласие, но при передаче заявки потерял идентификатор события. Отдел продаж видит контакт без основания и версии документа. Сквозной идентификатор должен сохраняться по всему маршруту.

Согласие собирают «на всякий случай»

Лишняя галочка не усиливает законность обработки. Она создаёт дополнительный документ, который нужно доказать, обслуживать и корректно обрабатывать при отзыве. Карта правовых оснований обычно полезнее набора одинаковых чекбоксов.

Ответственность: какие нормы относятся к согласию

У нарушения требования об отдельности нет одной автоматической суммы штрафа для любой ситуации. Состав зависит от формы согласия, правового основания и фактической обработки.

Часть 1 статьи 13.11 КоАП РФ относится к обработке в случаях, не предусмотренных законом, либо несовместимой с целями сбора. Для юридических лиц предусмотрен штраф от 150 000 до 300 000 рублей, при повторном нарушении — от 300 000 до 500 000 рублей [7].

Часть 2 той же статьи применяется к обработке без согласия именно в письменной форме, когда такая форма обязательна, а также к нарушению требований к составу сведений в письменном согласии. Для юридических лиц штраф составляет от 300 000 до 700 000 рублей, при повторном нарушении — от 1 000 000 до 1 500 000 рублей [7].

Эти суммы нельзя механически присваивать любому неверному чекбоксу. Квалификацию определяют по обстоятельствам. Отдельно могут возникать вопросы по рекламе, распространению сведений, публикации политики и другим обязанностям оператора.

Что делать с согласиями, полученными раньше

Федеральный закон № 156-ФЗ не содержит прямой общей обязанности массово переоформлять все согласия, полученные до 1 сентября 2025 года, только из-за нового требования к отдельности [1]. Это не означает, что прежние документы автоматически подходят для дальнейшей обработки. Каждое согласие стоит проверить: оператор должен доказать его получение и соблюдать зафиксированные цель, перечень данных, срок и условия отзыва.

Новые согласия после даты вступления поправки оформляют отдельно. Если компания просит человека повторно подтвердить изменённую цель, новый состав данных или новую редакцию документа, такое подтверждение также следует собирать по действующим правилам.

Практичный порядок — сохранить архив старых версий, зафиксировать дату перехода, обновить активные формы и протестировать журнал. Массовый повторный запрос имеет смысл только после анализа оснований и качества прежних согласий, а не как формальная рассылка всем контактам.

Итог

Главное изменение 2025 года легко сформулировать: если обработка основана на согласии, оно должно существовать отдельно от договора, анкеты и других подтверждаемых документов. Для бизнеса работа начинается не с рисования чекбоксов, а с карты целей и правовых оснований.

После этого становятся понятны технические шаги: отдельные тексты и действия, версии документов, журнал событий, связь с CRM и корректная обработка отзыва. Такая схема одновременно упрощает проверку, делает интерфейс яснее и позволяет восстановить, на что именно согласился человек.

Источники

1. Официальное опубликование правовых актов — Федеральный закон от 24.06.2025 № 156-ФЗ.
2. Федеральный закон № 152-ФЗ — статья 9. Согласие субъекта персональных данных.
3. Федеральный закон № 152-ФЗ — статья 6. Условия обработки персональных данных.
4. Федеральный закон № 152-ФЗ — статья 18.1. Меры оператора и публикация политики.
5. Федеральный закон № 38-ФЗ — статья 18. Реклама по сетям электросвязи.
6. Федеральный закон № 152-ФЗ — статья 10.1. Данные, разрешённые для распространения.
7. КоАП РФ — статья 13.11. Нарушение законодательства о персональных данных.
8. Гражданский кодекс РФ — статья 152.1. Охрана изображения гражданина.