Покупатель оформляет заказ, соискатель отправляет резюме, сотрудник передаёт документы в отдел кадров. Нужно ли во всех этих случаях получать согласие на обработку персональных данных?
Не всегда. Закон № 152-ФЗ предусматривает разные основания обработки. В одних ситуациях достаточно договора или обязанности, установленной законом. В других потребуется согласие — причём важно правильно определить его содержание, форму и способ получения.
На практике ошибки возникают в обе стороны: бизнес либо собирает согласия на всё подряд, либо считает, что договор с клиентом разрешает любую дальнейшую работу с его данными. Разберём, как разграничить эти ситуации и связать документы с реальными процессами компании.
Сначала основание обработки, затем согласие
Статья 6 закона № 152-ФЗ перечисляет основания обработки персональных данных. Согласие — одно из них. Среди других оснований — необходимость исполнения договора с человеком, заключения договора по его инициативе и выполнения обязанностей, предусмотренных законодательством.
Статья 9 устанавливает требования к согласию и подтверждению его получения. Для специальных категорий данных и биометрии дополнительно проверяют статьи 10 и 11.
Поэтому правильный порядок такой:
- Определить конкретную цель обработки.
- Установить, какие данные для неё действительно необходимы.
- Найти применимое правовое основание и проверить специальные требования.
- Если основание — согласие, определить его форму и порядок получения.
- Организовать подтверждение согласия, соблюдение его условий и работу с отзывом.
Например, номер телефона может использоваться для уточнения доставки и для рекламных звонков. Это разные цели. Основание, позволяющее связаться по заказу, нельзя автоматически переносить на рекламу.
Когда согласие может не потребоваться
Исполнение договора с человеком
Интернет-магазину нужен адрес покупателя для доставки заказа, а исполнителю услуги — контакт заказчика для согласования времени. Если обработка необходима для исполнения договора, стороной которого является человек, отдельное согласие не является единственным возможным основанием.
Закон также предусматривает заключение договора по инициативе субъекта данных. Но не каждая форма «Оставьте телефон» автоматически относится к этому случаю: нужно учитывать содержание обращения и дальнейшее использование контакта.
Договорное основание не разрешает собирать избыточные сведения, хранить их без ограничения или использовать для любых новых целей. Например, для доставки обычного товара не следует запрашивать паспортные данные без обоснованной необходимости.
Выполнение обязанности по закону
Работодатель обрабатывает предусмотренные законом сведения для кадрового учёта, расчёта выплат и обязательной отчётности. Для такой обработки согласие не нужно получать только ради наличия дополнительной подписи.
Однако статус работодателя не даёт права на любое использование данных сотрудника. Публикация его фотографии на рекламном сайте, передача сведений внешнему сервису и дополнительные анкеты требуют самостоятельной оценки.
Другие предусмотренные законом основания
В статье 6 есть и другие основания, но их нельзя заменять общим объяснением «нам это нужно для бизнеса». Необходимо проверить условия конкретной нормы и возможность её применения к процессу.
Доказывать наличие основания обязан оператор. Поэтому отказ от согласия должен быть результатом правового анализа, а не способом убрать лишний чекбокс.
Типовые ситуации: что проверить бизнесу
| Ситуация | Как подойти к вопросу |
|---|---|
| Покупатель оформляет доставку | Определить данные, необходимые для заключения и исполнения договора. Не смешивать эту цель с рекламой |
| Посетитель оставляет заявку | Проверить содержание формы и обращения: запрос на заключение договора, консультацию или другую задачу |
| Компания рассылает акции по email или SMS | Получить предварительное согласие на рекламу и определить основание обработки контактов |
| Соискатель направляет резюме | Оценить источник, условия направления резюме, цель и основание обработки. Не считать открытый доступ разрешением на любое использование |
| Резюме сохраняют для будущих вакансий | Отдельно определить цель кадрового резерва, основание, срок хранения и порядок исключения; обычно оформляют соответствующее согласие |
| Работодатель ведёт обязательный кадровый учёт | Проверить предусмотренные законом обязанности и необходимый состав данных |
| На сайте размещают имя и фотографию сотрудника | Проверить основания распространения данных, требования к согласию по статье 10.1 и использование изображения |
Таблица помогает определить вопросы для проверки. Она не заменяет анализ конкретной формы, договора или кадрового процесса.
Политика, согласие, реклама и распространение — разные задачи
Политика обработки персональных данных
Политика раскрывает подход оператора к обработке: цели, данные, основания, условия работы и права человека. Само наличие политики не означает, что посетитель дал согласие.
Фраза «Ознакомлен с политикой» подтверждает ознакомление, но не должна автоматически подменять волеизъявление на обработку. Подробнее о содержании документа — в статье о политике конфиденциальности сайта.
Согласие на обработку
Оно выражает разрешение человека обрабатывать определённые данные для определённых целей. Если компания использует это основание, необходимо обеспечить конкретность, понятность и доказуемость согласия.
Согласие на рекламу
Для рекламы по сетям электросвязи действует статья 18 закона № 38-ФЗ. Наличие договора с клиентом или его контакта в CRM не заменяет предварительное согласие на рекламу.
Уведомление о готовности заказа и предложение купить новый товар решают разные задачи. Содержание сообщения нужно оценивать отдельно, даже если оба письма отправляются одному клиенту.
На сайте разумно разделить обязательные действия по заявке и добровольную подписку на рекламу. Отказ от рекламной подписки не должен превращаться в техническое препятствие для обычного заказа.
Согласие на распространение
Публикация данных для неопределённого круга лиц требует отдельного внимания к статье 10.1. Предусмотренное ею согласие оформляется отдельно от иных согласий на обработку.
Например, общее согласие сотрудника для кадровой работы не стоит использовать как универсальное разрешение на размещение его данных на сайте. Для фотографии дополнительно оценивают правила использования изображения гражданина.
Что означает отдельное оформление согласия
С 1 сентября 2025 года статья 9 прямо требует оформлять согласие отдельно от иной информации и документов, которые человек подтверждает или подписывает.
Поэтому согласие не следует прятать в текст договора, оферты или пользовательского соглашения и считать полученным вместе с их принятием. Оно должно быть выделено как самостоятельное волеизъявление.
Для сайта практическое решение — отдельный текст согласия по доступной ссылке и самостоятельное действие пользователя, если согласие действительно требуется. Оформление проверяют вместе с логикой формы: что именно подтверждает человек и что фиксируется системой.
Это не означает, что каждое согласие обязательно печатать и подписывать от руки. По общему правилу закон допускает форму, позволяющую подтвердить получение согласия, если для конкретной ситуации не установлено иное.
Также из требования об отдельном оформлении не следует универсальное правило «один чекбокс на каждое поле». Количество документов и действий определяется целями, требованиями закона и понятностью выбора. Разные по смыслу решения, например отправку заявки и согласие на рекламу, объединять в одно обязательное действие не следует.
Когда требуется письменная форма
В предусмотренных федеральным законом случаях необходимо согласие в письменной форме. Например, такое основание предусмотрено для обработки специальных категорий данных и биометрии, при этом закон устанавливает исключения и другие допустимые случаи обработки.
Письменное согласие имеет специальный состав сведений по части 4 статьи 9: данные субъекта и оператора, цель, перечень данных и действий, необходимые сведения о лице, обрабатывающем данные по поручению, срок, способ отзыва и подпись. При представительстве дополнительно проверяют полномочия и сведения о представителе.
Электронный документ может быть равнозначен бумажному согласию, если подписан электронной подписью в соответствии с законом. Обычную отметку на сайте нельзя автоматически считать соблюдением письменной формы: нужно оценить механизм подписания и применимые требования.
При этом реквизиты письменного согласия не нужно механически переносить в любую интернет-форму. Запрашивать паспорт у посетителя ради подписки на новости только потому, что он указан в статье 9, — неверный подход.
Какие сведения включать в согласие
Содержание зависит от процесса и требуемой формы. При подготовке нужно как минимум ответить на вопросы:
- кто получает согласие и обрабатывает данные;
- для какой конкретной цели оно запрашивается;
- какие сведения необходимы для этой цели;
- какие действия и способы обработки предполагаются;
- кому поручается обработка и какие передачи нужно отразить;
- как определяются срок обработки и прекращение использования данных;
- как человек может отозвать согласие.
Для случаев обязательной письменной формы дополнительно проверяют все реквизиты части 4 статьи 9. Для согласия на распространение действуют специальные требования РКН.
Полезно сопоставить текст с документами и функциями сайта: какие поля видит человек, куда поступает информация, какие сервисы получают доступ и что происходит после отправки формы.
Как подтвердить получение согласия на сайте
Статья 9 возлагает обязанность доказать получение согласия на оператора. Поэтому одного файла с текстом согласия на сайте недостаточно.
Для электронной формы стоит организовать фиксацию:
- действия, которым пользователь выразил согласие;
- даты и времени этого действия;
- формы или сценария, в котором согласие получено;
- редакции текста, доступной пользователю в этот момент;
- связи события с соответствующим обращением, аккаунтом или контактом.
Это практические ориентиры для настройки доказательств, а не установленный законом единый список технических журналов. Конкретный механизм выбирают с разработчиком под архитектуру проекта. Не нужно собирать дополнительные идентификаторы без необходимости только ради более подробного журнала.
Чекбокс не следует отмечать заранее. Пользователю нужно предоставить доступ к тексту до подтверждения, а системе — сохранять факт его выбора. При обновлении документа важно не терять предыдущие редакции, на основании которых получались согласия.
Скриншот формы помогает показать её устройство, но сам по себе не доказывает, что конкретный человек совершил нужное действие.
Семь ошибок при работе с согласиями
1. Одно согласие на любые цели
Ответ на заявку, рекламная рассылка, публикация отзыва и кадровый резерв не становятся одной задачей только потому, что данные хранятся в общей системе. Цели нужно разграничить и определить основания для каждой.
2. Политика подменяет согласие
Ссылка на политику нужна для раскрытия информации. Если обработка основана на согласии, отдельно проверяют, как оно выражено и подтверждено.
3. Согласие включено в договор
Необходимо учитывать требование отдельного оформления. Договорные положения о порядке работы с данными могут существовать, но не заменяют отдельное согласие там, где именно оно является необходимым основанием.
4. Документ не соответствует сервисам
В тексте обещано отсутствие передачи, но заявки поступают в CRM, сервис рассылок или внешнюю систему обработки. Нужно проверить роли участников и условия передачи, а затем согласовать документы с фактическим процессом.
Для иностранных сервисов согласие также не заменяет требования к локализации и отдельный порядок трансграничной передачи.
5. Открытые данные считают свободными для использования
Публичный профиль, резюме или рабочий контакт на сайте не дают универсального разрешения на дальнейший сбор, хранение, рекламу и распространение. Для выбранной цели требуется самостоятельное правовое основание.
6. Согласие используют вместо проверки допустимости сбора
Подпись человека не устраняет требования к соразмерности и законности обработки. Например, сведения о судимости регулируются специальной частью 3 статьи 10: одного согласия недостаточно, чтобы бизнес мог произвольно запрашивать их у любого кандидата.
Для фото и видеозаписей также нельзя автоматически применять один режим. Биометрическими они становятся с учётом того, используются ли соответствующие характеристики для установления личности. Само наличие фотографии не отвечает на все вопросы.
7. Согласие получили, но дальше им не управляют
Компания не знает, на какой текст согласился пользователь, продолжает рассылку после отказа или сохраняет резюме без установленного основания и срока. Законность зависит не только от формы в момент сбора, но и от последующей работы.
Что делать, если согласие отозвали
Сначала нужно определить, к каким данным и целям относится отзыв и остаются ли другие законные основания обработки.
Например, отказ от рекламы не означает, что компания должна уничтожить все документы об исполненном заказе вопреки обязанностям хранения. Но продолжать рекламное использование контакта на основании самого факта покупки нельзя.
Практический порядок:
- Зарегистрировать обращение и установить его содержание.
- Проверить, какие системы, данные и получатели затронуты.
- Определить, какую обработку необходимо прекратить, а какую можно или нужно продолжить на другом основании.
- Выполнить необходимые действия в своих системах и у лиц, работающих по поручению, зафиксировать результат.
Для отзыва согласия часть 5 статьи 21 предусматривает прекращение обработки и, когда сохранение больше не требуется, уничтожение данных в срок не более 30 дней с учётом установленных законом условий и исключений. Отдельное требование прекратить обработку рассматривают с учётом части 5.1: срок — не более десяти рабочих дней, с предусмотренными законом исключениями и возможностью мотивированного продления не более чем на пять рабочих дней.
Для отказа от рекламы действует специальное правило: её распространение в адрес обратившегося лица необходимо прекратить немедленно. Поэтому нельзя применять единый срок «30 дней» ко всем обращениям. Содержание запроса и применимую норму нужно определить сразу после получения.
Как мы помогаем выстроить работу с согласиями
Сначала выясняем, какие процессы есть у клиента: заявки, продажи, сотрудники, соискатели, рассылки, публикации и цифровые сервисы. Затем определяем основания, готовим необходимые формы и объясняем порядок их использования.
Результат работы — документы под реальные задачи и практические рекомендации: где разместить согласие, какое действие предусмотреть, что фиксировать и как организовать отзыв. Техническую реализацию выполняет команда клиента; мы объясняем юридические требования и проверяем согласованные элементы в пределах услуги.
| Формат | Для какой задачи | Что входит | Стоимость |
|---|---|---|---|
| «Базовый» | Подготовить основные документы и порядок работы с данными | Уведомление РКН, политика, необходимые согласия, включая рекламу при её использовании; юридическая проверка сайта и вопросов локализации, практические рекомендации | 35 000 рублей |
| «Универсальный» | Оформить также внутреннюю работу компании | Состав «Базового» пакета, комплект внутренних документов под процессы — обычно около 20–25; пошаговая инструкция и повторная проверка сайта | 50 000 рублей |
Ориентир по подготовке — 5 и 10 рабочих дней соответственно после получения необходимых сведений и согласования объёма. Состав и сроки фиксируем в договоре. Подробнее — на странице услуг по персональным данным и 152-ФЗ.
Если документы уже есть, но непонятно, насколько они соответствуют действующему сайту, приложению или сервису, полезен юридический аудит цифрового продукта. Это отдельный формат проверки фактической обработки, нарушений и способов их устранения.
Получение согласий также не заменяет уведомление Роскомнадзора, когда оно требуется. Эти задачи нужно согласовать между собой, а не выбирать одну вместо другой.
Опыт практики и условия работы
«Софист» работает с 2016 года. Сопровождаем крупные предприятия Татарстана, IT-проекты, стартапы и компании сферы услуг. В работе по персональным данным анализируем процессы, готовим документы и даём рекомендации по их внедрению.
Работу ведёт Василий Кустов. Находимся в Казани и работаем дистанционно с клиентами из других регионов России.
В договоре закрепляем объём, результат, сроки, стоимость, порядок согласования и доработок. Соблюдаем согласованные условия конфиденциальности. Для первоначального разбора обычно достаточно описания процессов, форм и документов — реальные клиентские базы передавать не требуется.
Не обещаем отсутствие любых претензий РКН независимо от дальнейших действий бизнеса. Наша задача — выполнить согласованную юридическую работу и дать применимые рекомендации; внедрение и последующая работа с данными также влияют на соблюдение закона.
Пример: документы для ИИ-стартапа
В проекте с зарубежным AI-сервисом мы изучили движение данных, предложили модель предварительного обезличивания, подготовили локальный акт и акт оценки методов. Затем актуализировали политику и другие документы и дали рекомендации команде.
Этот пример показывает, почему начинать следует с реальной модели обработки. Дополнение согласия общими фразами о внешних сервисах само по себе не решает вопросы архитектуры и передачи данных. Разработка модели обезличивания — самостоятельная работа, её не следует считать включённой в обычную подготовку согласий.
Подробнее о кейсе по обезличиванию для ИИ-стартапа. Другие проекты — в разделе кейсов практики.
Благодарственные письма
Благодарственное письмо «АМИКС»
Отзыв о сотрудничестве с юридической практикой «Софист».
Благодарственное письмо о сотрудничестве
Отзыв о сотрудничестве с юридической практикой «Софист».
Информация о практике и другие отзывы — на странице «О нас».
Частые вопросы
Нужно ли согласие для каждой формы на сайте?
Не автоматически. Сначала определяют цель, состав данных и основание. Для действий, необходимых для заключения или исполнения договора с человеком, может применяться договорное основание. Если компания использует согласие, необходимо правильно организовать его получение и подтверждение.
Можно ли объединить принятие оферты и согласие одной галочкой?
Если согласие требуется, его следует оформлять отдельно от подтверждения оферты. При этом сначала нужно проверить, для каких действий достаточно договора, а для каких необходимо самостоятельное основание.
Всегда ли в согласии нужны паспортные данные?
Нет. Специальный перечень реквизитов предусмотрен для обязательной письменной формы. Его нельзя механически переносить на каждую заявку или подписку и требовать лишние сведения без необходимости.
Можно ли хранить резюме после закрытия вакансии?
Нужно определить самостоятельную цель и основание дальнейшего хранения, срок и порядок прекращения. Для кадрового резерва обычно получают соответствующее согласие. Само поступление резюме на одну вакансию не означает согласия на бессрочное хранение для любых будущих задач.
Согласие сотрудника позволяет публиковать его фото на сайте?
Не любое. Необходимо проверить содержание согласия, правила распространения данных и использования изображения. Кадровое согласие не следует автоматически использовать как разрешение на публичное размещение.
После отзыва нужно немедленно удалить все данные?
Нужно определить объём обращения и оставшиеся законные основания. Часть документов может подлежать обязательному хранению. Для рекламы действует немедленное прекращение, для других действий — применимые требования и сроки закона.
Можно ли взять готовый шаблон?
Можно использовать его как основу, но нужно проверить цели, данные, основания, форму, участников обработки и способ подтверждения. Замена названия компании не обеспечивает соответствия реальным процессам.