Согласие на обработку ПДн требуется гораздо реже, чем думает бизнес

Откройте форму заказа почти любого интернет-магазина. Под полями две-три галочки: согласие на обработку персональных данных, согласие на рассылку, согласие с офертой. Пока все не отмечены, кнопка «Оплатить» серая. Спросите, зачем так, и ответ почти всегда будет один: юрист сказал, что без согласия нельзя, а лишнее согласие точно не повредит.

Тогда встречный вопрос: на каком основании магазин будет доставлять заказ, если покупатель отзовёт согласие на следующий день? Правильный ответ - на основании договора купли-продажи. И сразу непонятно, зачем было согласие.

Главное: согласие - лишь одно из оснований обработки, причём самое хрупкое, потому что человек может отозвать его в любой момент. Если ваш процесс держится только на согласии, он держится на честном слове клиента.

Каталог всех оснований мы уже разбирали в отдельной статье. А теперь о другом: почему бизнес собирает согласия там, где они не нужны, и во что ему это обходится.

Содержание

• Миф 1. «Без согласия обрабатывать персональные данные нельзя»

• Миф 2. «Лишнее согласие не помешает — это перестраховка»

• Миф 3. «Отзовут согласие — удалим, и дело с концом»

• Миф 4. «Без галочки согласия заказ не оформить»

• Миф 5. «Сотрудник должен подписать согласие на всё»

• Миф 6. «Камеры и копия паспорта — это биометрия, нужны письменные согласия»

• Где согласие обычно требуется

• Где «зависит»

• Как провести ревизию согласий за один день

• Итого

Миф 1. «Без согласия обрабатывать персональные данные нельзя»

Откуда миф, понятно: перечень законных случаев обработки открывается именно согласием (п. 1 ч. 1 ст. 6 152-ФЗ). Но дальше в той же части идут ещё одиннадцать действующих пунктов, и никакой иерархии закон между ними не выстраивает.

Для обычного бизнеса рабочих из них три:

• Закон обязывает. Налоговая отчётность, воинский учёт, сведения в СФР - вы делаете это не по доброй воле работника (п. 2 ч. 1 ст. 6).

• Договор. Доставить заказ, оформить заявку, которую клиент сам отправил, выставить счёт (п. 5 ч. 1 ст. 6).

• Законный интерес. Обработка должна быть необходима для прав и законных интересов оператора, и при этом не должны нарушаться права человека (п. 7 ч. 1 ст. 6). Возврат просроченной задолженности сам пункт упоминает прямо, в остальных случаях интерес придётся обосновать.

Среди остальных пунктов - суд и исполнительное производство, защита жизни и здоровья, журналистика, исследования с обязательным обезличиванием (п. 3, 3.1, 6, 8, 9 ч. 1 ст. 6).

Что говорит регулятор

Обратите внимание на подсказку к форме уведомления. Роскомнадзор там прямо пишет: 152-ФЗ не является правовым основанием обработки. В качестве оснований РКН приводит, например, согласие, договор и требования законодательства, а полный перечень - это ч. 1 ст. 6. В самом уведомлении основание указывают для каждой цели отдельно (ч. 3.1 ст. 22 152-ФЗ).

Как правильно: от цели к основанию

Начинать надо не с бланка согласия, а с вопроса «зачем нам эти данные». Для каждой цели ищем основание, и согласие проверяем последним. Это не порядок из закона - закон приоритетов не задаёт, - а рабочий метод, который не даёт собрать лишнее:

Результат удобно держать в таблице «цель — данные — основание с номером пункта — документ — срок». Её же вы потом перенесёте в политику об обработке ПДН и в уведомление.

Миф 2. «Лишнее согласие не помешает — это перестраховка»

Согласие не нейтральная бумага. Как только вы его берёте, закон начинает предъявлять к нему требования, и каждое - новое место, где можно ошибиться.

Четыре требования, которые появляются вместе с согласием

Отдельный документ. С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ). Пункт в оферте или абзац в договоре больше не годятся. На сайте это обычно выглядит так: текст согласия - на отдельной странице или во всплывающем окне, а дать его человек может только отдельным действием, собственной галочкой. Десять лишних согласий - десять документов, которые надо сверстать, хранить и обновлять.

Конкретность и свобода. Согласие даётся «свободно, своей волей и в своём интересе» и должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9). Согласие «на любые действия в любых целях» под эти признаки не подходит. А согласие, без которого не продают товар, трудно назвать свободным.

Доказывание. Получение согласия доказывает оператор (ч. 3 ст. 9). Значит, нужно хранить, кто, когда и под каким текстом поставил галочку, - по каждому клиенту и каждой версии формы. Для договорной цели опорой служит сам договор - если обрабатываются только те данные и только так, как нужно для его заключения и исполнения.

Ложный выбор. Если человек не может отказаться - например, от передачи сведений в налоговую, - просить у него «согласие» может ввести его в заблуждение. Закон требует обратного: если федеральный закон делает предоставление данных обязательным, оператор разъясняет последствия отказа (ч. 2 ст. 18).

Чем это заканчивается

Главный риск: если обработка держалась только на согласии, а оно оказалось недействительным, обработка остаётся без основания. Это ч. 1 ст. 13.11 КоАП - для организации от 150 до 300 тыс. ₽. Если согласие по закону должно было быть письменным, счёт идёт уже по ч. 2 (об этом ниже, в разделе «Где согласие обычно требуется»).

Как правильно: текст вместо галочки

Там, где основание - договор или закон, чекбокс согласия можно заменить честным текстом рядом с формой: «Данные, которые вы указываете, мы используем, чтобы выполнить заказ. Подробнее - в Политике обработки персональных данных». Галочка «согласен» здесь основания не добавляет. Остальные обязанности оператора - политика, защита, сроки хранения - от этого, конечно, никуда не деваются.

Миф 3. «Отзовут согласие — удалим, и дело с концом»

Представьте фитнес-клуб. Клиент с годовым абонементом присылает письмо: «Отзываю согласие на обработку моих персональных данных». Администратор открывает его карточку в CRM и замирает над кнопкой «Удалить». Удалишь - завтра клиент придёт на тренировку, а турникет его не пустит. Не удалишь - вдруг это нарушение?

Ответ зависит от того, на чём держалась обработка.

Если есть другое основание - продолжаете, но только в его пределах. При отзыве согласия оператор вправе обрабатывать данные дальше, если есть основания из п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11 (ч. 2 ст. 9 152-ФЗ). Действующий абонемент - это договор, п. 5. Обслуживание продолжается, а вот рассылка акций прекращается: для неё основания, кроме согласия, нет.

Если другого основания нет - прекращаете обработку и, если данные больше не нужны для целей обработки, уничтожаете их в течение 30 дней с даты получения отзыва (ч. 5 ст. 21). Продолжать «как было» - это обработка без основания, та же ч. 1 ст. 13.11 КоАП.

Где спотыкаются

Есть нюанс, на котором спотыкаются чаще всего. Если в политике и в уведомлении Роскомнадзору у всех целей стоит «на основании согласия», ваши же документы говорят против вас. Доказывать наличие другого основания придётся оператору (ч. 3 ст. 9), и расхождение между бумагой и практикой придётся объяснять.

Отсюда практический вывод: основание для каждой цели лучше определить заранее и записать, а не вспоминать в день, когда пришёл отзыв.

Миф 4. «Без галочки согласия заказ не оформить»

Вернёмся к форме из начала. Для самого заказа согласие, как правило, не нужно: обработка необходима для исполнения договора, стороной которого является покупатель (п. 5 ч. 1 ст. 6). Имя, телефон, адрес доставки - обычно ровно то, без чего договор не исполнить.

Что не так с обязательной галочкой

Она создаёт сразу несколько проблем.

Потребительское право. Продавец не вправе отказывать в заключении договора из-за отказа предоставить персональные данные - кроме случаев, когда их предоставление требует закон или они непосредственно связаны с исполнением договора (ч. 4 ст. 16 Закона «О защите прав потребителей»). Норма про данные, а не про согласие напрямую, но логика та же: условие покупки не должно выходить за рамки нужного для покупки.

Практика. Страховщик включил в договор пункт «подписывая договор, страхователь предоставляет страховщику и третьим лицам право обрабатывать персональные данные…». Роспотребнадзор оштрафовал его по ч. 2 ст. 14.8 КоАП как за условие, ущемляющее права потребителя.

Суды указали, что у потребителя не было выбора - дать согласие или отказаться, а цели выходили за пределы страхования. Верховный суд жалобу к рассмотрению не передал (Определение ВС РФ от 05.10.2018 № 306-АД18-16256). Штраф по этой статье для организации небольшой - от 10 до 20 тыс. ₽. Но это уже второй надзорный орган, который может прийти к вам по поводу согласий.

Реклама — всегда отдельно

Самое уязвимое место - когда согласие на рассылку склеено с согласием на обработку или стоит обязательной галочкой. Для рекламы по телефону, SMS и email нужно предварительное согласие адресата (ч. 1 ст. 18 Закона «О рекламе»), а для прямых контактов с целью продвижения - предварительное согласие по ч. 1 ст. 15 152-ФЗ. Доказывать согласие придётся в обоих случаях: по 152-ФЗ - оператору, по Закону «О рекламе» - рекламораспространителю. Обычно это одна и та же компания, но не всегда.

Обратите внимание: заранее отмеченная галочка - плохое доказательство. Согласие должно быть однозначным (ч. 1 ст. 9), а договор с человеком не может делать его бездействие условием заключения договора (п. 5 ч. 1 ст. 6).

Как правильно: форма заказа

Если форма собрана в конструкторе, проверьте, что он не ставит обязательный чекбокс сам.

Миф 5. «Сотрудник должен подписать согласие на всё»

Первый рабочий день. Новичку кладут на стол стопку: трудовой договор, пять приказов и «согласие на обработку персональных данных» на две страницы - с паспортом, данными детей, сведениями о здоровье. Он подписывает не читая, потому что так делают все.

Большая часть этого согласия не нужна. Работодатель обрабатывает данные работника, потому что обязан по закону (п. 2 ч. 1 ст. 6) и исполняет трудовой договор (п. 5 ч. 1 ст. 6).

Даже сведения о здоровье, которые относятся к спецкатегории, можно обрабатывать без согласия, если это делается по трудовому законодательству (п. 2.3 ч. 2 ст. 10 152-ФЗ). Но только в пределах, которые задаёт ТК: о здоровье можно запрашивать лишь то, что относится к возможности выполнять трудовую функцию (абз. 7 ст. 88 ТК РФ).

Где согласие работника действительно нужно

Вот четыре самых частых случая, когда согласие работника понадобится; перечень не исчерпывающий - биометрия и спецкатегории вне исключений описаны ниже. В первых трёх ТК прямо требует письменную форму:

• Передача третьей стороне, кроме случаев, предусмотренных ТК или другим федеральным законом, и предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ).

• Передача в коммерческих целях (абз. 3 ст. 88 ТК РФ).

• Получение сведений у третьих лиц, если получить их можно только там, - например, запрос характеристики с прошлого места работы. Работника уведомляют заранее и берут письменное согласие (п. 3 ч. 1 ст. 86 ТК РФ).

• Публикация: фото и ФИО на сайте, поздравления на стенде у проходной, который видят посетители. Когда данные доступны неопределённому кругу лиц, это распространение, для него нужно отдельное согласие на распространение - отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ), если нет иного основания - например, публикации по федеральному закону. Письменной формы закон здесь не требует, но согласие работника на бумаге проще доказать.

Честная формулировка для работника: «Данные для трудовых отношений мы обрабатываем на основании ТК РФ и трудового договора. Отдельно просим согласие на: …» - и короткий список.

Подробнее про согласия сотрудников - в этой статье. Если кадры или бухгалтерия у вас на аутсорсе, это отдельный случай: разбирали его в статье про подрядчиков.

Миф 6. «Камеры и копия паспорта — это биометрия, нужны письменные согласия»

Биометрия - это не любое фото. Закон относит к биометрическим персональным данным сведения о физиологических особенностях человека, которые используются оператором для установления личности (ч. 1 ст. 11 152-ФЗ). Ключевое - последнее условие.

Роскомнадзор ещё в 2013 году разъяснил, как это работает на практике:

• Видеонаблюдение в магазине, офисе, на охраняемой территории - не биометрия, пока запись не передали для установления личности. Посетителей предупреждают табличками, и тогда, по позиции РКН, согласие не требуется. Работников, по позиции РКН, уведомляют о введении видеонаблюдения под роспись в порядке ст. 74 ТК РФ.

• Скан или копия паспорта при заключении договора - не биометрия, если процедуры установления личности по фото нет.

• Фото в личном деле работника - тоже не биометрия.

Что остаётся на вас

Важно: «не биометрия» снимает только особый режим ст. 11. Основание для обработки записи всё равно нужно определить. Для охраны имущества и безопасности это, как правило, законный интерес (п. 7 ч. 1 ст. 6) - с той же проверкой необходимости и баланса прав - или требование закона, если объект обязан вести видеонаблюдение. Табличка лишь информирует людей.

Отдельный вопрос - нужна ли вам копия паспорта вообще. Данные не должны быть избыточными по отношению к заявленной цели (ч. 5 ст. 5), и копия «на всякий случай» под это требование не подходит.

А вот где согласие нужно. Турникет с распознаванием лиц - биометрия в чистом виде, нужно письменное согласие (ч. 1 ст. 11). Исключения из ч. 2 ст. 11 - правосудие, оборона, безопасность и подобное - обычному бизнесу, как правило, не подходят. По позиции РКН туда же относится фото в СКУД, по которому охранник сверяет, что пропуск предъявляет его владелец.

Где согласие обычно требуется

Теперь короткий список ситуаций, в которых другого основания обычно нет. У каждой есть исключения, прямо предусмотренные законом, но обычному бизнесу они, как правило, не подходят:

• Реклама и продвижение прямыми контактами по телефону, SMS, email → предварительное согласие (ч. 1 ст. 15 152-ФЗ; ч. 1 ст. 18 Закона «О рекламе»)

• Биометрия для установления личности → письменное, исключения - ч. 2 ст. 11 (ч. 1 ст. 11)

• Спецкатегории (здоровье, убеждения и т. п.) вне исключений ч. 2 ст. 10 → письменное (п. 1 ч. 2 ст. 10)

• Публикация данных неопределённому кругу лиц → отдельное согласие на распространение (ч. 1 ст. 10.1), если нет иного основания - например, публикации по федеральному закону или деятельности СМИ (п. 11 и п. 8 ч. 1 ст. 6)

• Автоматическое решение без человека с юридическими последствиями, например отказ по скорингу → письменное, если иное не предусмотрено федеральным законом (ч. 2 ст. 16)

• Данные работника третьим лицам вне случаев из закона, в коммерческих целях, получение у третьих лиц → письменное (абз. 2–3 ст. 88, п. 3 ч. 1 ст. 86 ТК РФ)

Для всего остального сначала ищите основание в ч. 1 ст. 6 - по схеме из раздела про миф 1.

Письменная форма и штраф

Письменная форма нужна только там, где её прямо требует федеральный закон (ч. 4 ст. 9). У неё есть обязательное содержание: паспортные данные и адрес субъекта, цель, перечень данных и действий, срок и способ отзыва, подпись.

Если письменное согласие обязательно, а его нет или в нём не хватает обязательных сведений, это ч. 2 ст. 13.11 КоАП: для организации от 300 до 700 тыс. ₽, при повторе - от 1 до 1,5 млн ₽ (ч. 2.1).

Где «зависит»

Законный интерес (п. 7). Основание рабочее, но критериев «права субъекта не нарушаются» закон не даёт. Если опираетесь на него, запишите, какой именно интерес и почему он не ущемляет человека. Для рекламных звонков и рассылок п. 7 не подходит: на них есть специальная норма, ч. 1 ст. 15.

Контактные лица контрагентов. Менеджер поставщика - не сторона вашего договора, поэтому п. 5 к нему применим с оговорками. Прямого ответа в законе нет. Рабочий вариант по умолчанию - законный интерес (п. 7): вам нужно связываться с контрагентом, а деловая переписка права его менеджера обычно не ущемляет. Запишите это основание в реестр целей. Собирать бумажное согласие с каждого менеджера контрагента обычно избыточно, но в спорном случае лучше сверить подход с юристом.

Поручение обработки подрядчику. Норма буквально говорит о поручении «с согласия субъекта, если иное не предусмотрено федеральным законом» (ч. 3 ст. 6). При этом сам подрядчик-обработчик согласие получать не обязан (ч. 4 ст. 6). Как это применять, разбирали в статье про подрядчиков.

Фото в СКУД. Позиция РКН об отнесении такого фото к биометрии сформулирована в 2013 году. Технологии с тех пор изменились, и безопаснее исходить из неё, пока не появится новая.

Как провести ревизию согласий за один день

Шаг 1. Соберите всё, где вы берёте согласие: формы на сайте, в приложении, в CRM, бланки при приёме на работу, договоры, оферты.

Шаг 2. Для каждого согласия назовите цель одной фразой. Если целей несколько - разделите.

Шаг 3. Для каждой цели найдите основание по схеме из мифа 1. Согласие - только если не подошло ничего другое.

Шаг 4. Уберите согласия там, где после проверки цели, состава данных и получателей основание - договор или закон, и замените их информированием (см. «Как правильно» в мифе 2).

Шаг 5. Оставшиеся согласия проверьте: отдельный документ, конкретная цель, для рекламы - неотмеченная галочка, для случаев из списка «где согласие обычно требуется» - нужная форма (разделы про мифы 2 и 4 и список выше).

Шаг 6. Обновите политику и уведомление в Роскомнадзор: основание для каждой цели должно совпадать с тем, что вы сделали на практике (см. миф 1).

Итого

Согласие - хороший инструмент там, где у человека есть реальный выбор: получать рекламу или нет, публиковать фото или нет. Там, где выбора нет, согласие превращается в ритуал, который добавляет требований и рисков, но не защищает.

Чек-лист:

☐ У каждой цели обработки названо основание с номером пункта ч. 1 ст. 6

☐ Нигде в документах основанием не указан «152-ФЗ»

☐ Для заказа и заявок на покупку нет обязательной галочки согласия

☐ Согласие на рекламу - отдельная неотмеченная галочка

☐ Каждое согласие оформлено отдельным документом

☐ Согласие работников не используется как основание для того, что работодатель обязан делать по закону

☐ Для передачи данных работников, публикаций и биометрии согласия есть и в нужной форме - если к вам не относится исключение из закона

☐ Есть порядок на случай отзыва: что продолжаем, что прекращаем, что уничтожаем в течение 30 дней

☐ Основания в политике и уведомлении РКН совпадают с практикой

Это практическое объяснение, а не юридическая консультация. Спорные случаи лучше сверить с юристом.

Если хотите узнавать больше про 152-ФЗ и держать руку на пульсе, можно подписаться на мой телеграм-канал или MAX-канал. Там сейчас разбираем по пунктам заполнение уведомления в РКН.