Согласие на обработку персональных данных

Согласие по статье 9 152-ФЗ: что это и когда без него нельзя

Согласие на обработку персональных данных — волеизъявление человека, которым он разрешает оператору, то есть компании или предпринимателю, собирать, хранить и использовать его данные для заранее названной цели. Правила записаны в статье 9 закона 152-ФЗ: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Человек даёт его свободно и в своём интересе, а не по принуждению.

Согласие — только одно из оснований обработки. Статья 6 перечисляет двенадцать действующих: договор с человеком, требование закона, законный интерес оператора и другие. Данные для доставки заказа обрабатывают в рамках договора, включая его заключение по инициативе человека (пункт 5 части 1), а подписку на рассылку или заявку, не связанную с договором, без согласия не обойти. Доказывать получение согласия должен оператор (часть 3 статьи 9).

Состав согласия: что указать в тексте и как это выглядит на форме

Единой формы закон не утверждает, но перечисляет сведения для согласия в письменной форме (часть 4 статьи 9). Письменное согласие — с подписью или электронной подписью — нужно там, где закон требует его прямо, например для данных о здоровье (статья 10). Для обычной формы на сайте достаточна любая форма, позволяющая подтвердить факт получения согласия, и отметка в чекбоксе подходит. Состав сведений разумно держать тот же.

Отдельный документ: что изменилось с 1 сентября 2025 года

Федеральный закон от 24.06.2025 № 156-ФЗ дополнил часть 1 статьи 9: согласие оформляется отдельно от иных информации и документов, которые человек подтверждает или подписывает. Для сайта это означает три вещи.

• Текст согласия лежит на своей странице или в своём окне, а не внутри оферты, пользовательского соглашения или политики.
• У согласия собственный чекбокс. Одна галочка «Принимаю условия и даю согласие на обработку данных» не годится.
• Чекбокс по умолчанию пустой: предустановленная галочка плохо подтверждает, что решение было сознательным.

Чекбокс закон не требует, но требует уметь доказать факт согласия. Поэтому сайт сохраняет запись: дату и время, адрес страницы, IP-адрес, версию текста. Такую логику закладывают при разработке сайта, а не дописывают потом.

Согласие в формах сайта: заявка, подписка, заказ — разбор на примере

Допустим, у интернет-магазина три формы, на каждой лид оставляет контакты.

• «Заказать звонок». Одно согласие на обработку имени и телефона для обратной связи по заявке.
• Подписка на рассылку. Отдельное согласие на обработку e-mail и получение рекламы. Рассылку регулирует ещё статья 18 Закона «О рекламе»: реклама по сетям электросвязи допускается только с предварительного согласия адресата.
• Оформление заказа. Данные для оплаты и доставки обрабатывают на основании договора (пункт 5 части 1 статьи 6). Отдельная галочка нужна для того, что к договору не относится, — например, для рассылки.

Теперь цена ошибки. Если проверка находит обработку без законного основания, для юридического лица это часть 1 статьи 13.11 КоАП: штраф от 150 000 до 300 000 ₽, при повторе — от 300 000 до 500 000 ₽. Если письменное согласие обязательно, а его нет или в нём не хватает сведений, применяют часть 2: от 300 000 до 700 000 ₽, при повторе — от 1 000 000 до 1 500 000 ₽.

Срок хранения, отзыв и удаление: что делать с согласием дальше

Срок действия согласия закон не фиксирует: его пишет оператор в тексте, а для письменного согласия указать срок и способ отзыва прямо требует пункт 8 части 4 статьи 9. Но хранить данные «навсегда» нельзя — только пока этого требуют цели обработки (часть 7 статьи 5). Заказ выполнен, гарантия истекла — данные уничтожают или обезличивают, если закон не требует хранить их дольше. Первичные бухгалтерские документы, например, хранят не менее пяти лет после отчётного года (статья 29 Закона № 402-ФЗ).

Отозвать согласие человек вправе в любой момент; способ отзыва указывают в самом согласии.

После отзыва обработка на другом законном основании, например по действующему договору, может продолжаться (часть 2 статьи 9).

Согласие, политика, cookie-баннер и оферта: четыре разных документа

Эти документы путают, потому что все висят на сайте и все касаются данных. Политика обработки персональных данных — публичный рассказ о том, как оператор работает с данными; её публикуют на страницах сбора (часть 2 статьи 18.1), и согласие она не заменяет. Cookie-баннер отвечает за файлы cookie, а не за заявки. Оферта и пользовательское соглашение задают условия сделки и правила сервиса; согласие в них не вшивают.

Раскладку документов сайта см. в инструкции по защите персональных данных. Проверить, что формы, тексты и логи сходятся с законом, поможет приведение сайта в соответствие с 152-ФЗ в BigPanda.

Частые вопросы