Согласие на обработку персональных данных: что внутри

Что такое согласие на обработку ПДн

Согласие — одно из оснований обработки персональных данных из части 1 статьи 6 152-ФЗ. Оснований там одиннадцать, и согласие лишь первое: обработка ради исполнения договора или обязанности по закону законна и без него. Практический вывод: при оформлении заказа согласие на обработку адреса доставки не нужно, а на рассылку акций нужно.

Формулировка части 1 статьи 9: согласие даётся свободно, своей волей и в своём интересе, должно быть конкретным, предметным, информированным, сознательным и однозначным. «Конкретное» — под названную цель, а не под всё сразу. «Однозначное» — активное действие человека, а не молчание или предустановленная галочка.

Часть 3 той же статьи возлагает обязанность доказать факт получения согласия на оператора. Хранить поэтому нужно не флаг «согласился», а связку из времени, IP и версии текста.

Что обязано быть в тексте

Для письменной формы часть 4 статьи 9 задаёт закрытый перечень сведений. Электронная форма буквально под него не подпадает, но Роскомнадзор ориентируется на тот же состав, поэтому в бланк включают всё.

ФИО, адрес, реквизиты документа субъекта (в веб-форме заменяются идентификацией по телефону или email);
наименование и адрес оператора, получающего согласие;
цель обработки — «обратный звонок по заявке», а не «улучшение сервиса»;
перечень данных: имя, телефон, email, город;
наименование и адрес лица, обрабатывающего данные по поручению оператора (CRM, облако, колл-центр);
перечень действий: сбор, запись, хранение, уточнение, использование, удаление;
срок действия согласия и порядок его отзыва;
подпись субъекта — в вебе её роль выполняет фиксация действия в логе.

Согласие на рекламную рассылку по статье 18 закона «О рекламе» и согласие на распространение данных по статье 10.1 152-ФЗ оформляются отдельно: в один чекбокс их не смешивают. Подтверждение адреса для рассылки закрывают через double opt-in.

Чекбокс и доказательство

Технический минимум для формы за QR-кодом: незаполненный чекбокс, рядом текст с прямой ссылкой на политику конфиденциальности и на сам бланк, кнопка отправки неактивна, пока галочка не поставлена. Текст мелким шрифтом, галочка «по умолчанию» и формулировка «нажимая кнопку, вы соглашаетесь» — три конструкции, которые в проверке разбираются первыми.

В лог записывают дату и время с точностью до секунды, IP-адрес, user-agent, идентификатор версии текста согласия и хеш отправленных полей. Версия важна: текст политики со временем меняется, и через два года нужно доказывать, с чем именно человек согласился. Хранят записи весь срок обработки и три года после, по сроку исковой давности.

Требование о локализации первичной записи баз данных в России разобрано в термине 152-ФЗ. Если форма живёт за динамическим QR-кодом, при смене целевой страницы бланк обновляют вместе с ней — иначе на новой форме останется ссылка на старый текст.

Отзыв и ответственность

По части 2 статьи 9 человек вправе отозвать согласие в любой момент. Оператор прекращает обработку и уничтожает данные в течение 30 дней, если нет другого основания из статьи 6 — например, обязанности хранить документы по сделке. Способ отзыва указывают в самом согласии: почта, форма на сайте, письменное заявление.

Ответственность после ужесточения КоАП с 30 мая 2025 года: обработка без согласия — от 300 000 до 700 000 рублей для юрлица, повторно до 1 500 000; утечка — от 3 до 15 миллионов, при повторе штраф считают от оборота. Плюс статья 272.1 УК за незаконный оборот чужих данных. Опросные формы собирают те же данные, что и заявки — механика в статье про QR-код для опроса.

Частые вопросы

Нужно ли согласие, если форма собирает только телефон?

Да, номер телефона позволяет идентифицировать человека и относится к персональным данным. Исключение одно: обработка нужна для исполнения договора, стороной которого выступает субъект. Заявка на обратный звонок договором не является, поэтому чекбокс с согласием и целью обработки обязателен.

Достаточно ли надписи «нажимая кнопку, вы соглашаетесь»?

Нет. Такая конструкция не даёт однозначного активного действия, которого требует статья 9: нажатие кнопки отправки — действие по отправке заявки, а не по выражению согласия. Роскомнадзор трактует это как отсутствие согласия. Правильный вариант — отдельный незаполненный чекбокс со ссылкой на текст.

Можно ли отказать в услуге тому, кто не поставил галочку?

Только если данные объективно нужны для исполнения договора. С 1 сентября 2022 года отказ в обслуживании потребителю за нежелание предоставить данные, не обязательные для сделки, относится к недопустимым условиям договора по статье 16 закона «О защите прав потребителей». Штраф налагается отдельно от 152-ФЗ.

Какой срок действия ставить в согласии?

Указывают либо конкретный период (например, 5 лет с даты подписания), либо привязку к событию — «до достижения целей обработки или до отзыва». Бессрочное согласие без формулировки об отзыве считается дефектным. Реальный ориентир для маркетинговой базы — 3–5 лет с последующим повторным подтверждением интереса.

Кто отвечает, если данные утекли из стороннего сервиса форм?

Перед человеком отвечает оператор, то есть владелец бизнеса, который собирал данные. Сервис форм выступает обработчиком по поручению из части 3 статьи 6 и отвечает уже перед оператором по договору. Поэтому поручение на обработку оформляют письменно и указывают обработчика в тексте согласия.