Как дать согласие на обработку персональных данных и когда оно необходимо

Оглавление

1. Что такое согласие на обработку персональных данных
2. Можно ли дать согласие на обработку персональных данных
3. В какой форме можно дать согласие
4. Почему согласие должно быть отдельным документом
5. Что должно содержать согласие
6. Как дать согласие на сайте
7. Можно ли обрабатывать персональные данные без согласия
8. Можно ли отозвать согласие
9. Согласие на распространение персональных данных
10. Типичные ошибки при оформлении согласия
11. Проверочный чек-лист
12. Заключение

Персональные данные используются практически во всех сферах жизни: при трудоустройстве, оформлении заказа в интернет-магазине, регистрации на сайте, получении банковских услуг, записи на консультацию или заполнении различных онлайн-форм. Поэтому вопрос о том, можно ли дать согласие на обработку персональных данных, возникает достаточно часто.

В большинстве ситуаций человек действительно может предоставить такое согласие. Однако само по себе наличие галочки на сайте или фразы «нажимая кнопку, вы соглашаетесь...» еще не означает, что согласие оформлено надлежащим образом.

Федеральный закон № 152-ФЗ «О персональных данных» устанавливает требования к согласию субъекта персональных данных. В частности, согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года оно также должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает человек.

Разберем, когда согласие необходимо, как его можно предоставить, что в нем должно быть указано и в каких случаях обработка персональных данных возможна без отдельного согласия.

Что такое согласие на обработку персональных данных

Персональными данными считается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу. К таким данным в зависимости от ситуации могут относиться имя, фамилия, номер телефона, адрес электронной почты, адрес проживания и другие сведения.

Согласие на обработку персональных данных — это выраженное человеком разрешение оператору осуществлять предусмотренные законом и самим согласием действия с его персональными данными.

Например, человек заполняет форму на сайте компании:

• указывает имя;
• оставляет номер телефона;
• вводит адрес электронной почты;
• отправляет заявку.

Если для обработки этих данных необходимо согласие, оно должно быть получено оператором надлежащим образом.

Важно понимать, что согласие не является универсальным разрешением «делать с персональными данными все что угодно». Цели обработки, состав данных и другие существенные условия должны быть определены.

Можно ли дать согласие на обработку персональных данных

Да, физическое лицо может дать согласие на обработку своих персональных данных. Закон предусматривает, что человек самостоятельно принимает решение о предоставлении своих персональных данных и дает согласие свободно, своей волей и в своем интересе.

При этом согласие должно соответствовать установленным требованиям. Закон прямо указывает, что оно должно быть:

Таким образом, ответ на вопрос «можно ли дать согласие?» — положительный. Но важно не только получить согласие, а сделать это в форме и порядке, которые позволяют подтвердить факт его получения и содержание.

В какой форме можно дать согласие

По общему правилу согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, если федеральным законом не установлена специальная форма.

В зависимости от ситуации это может быть:

• бумажный документ;
• электронный документ;
• действие в информационной системе, позволяющее подтвердить факт получения согласия;
• иная форма, допустимая законом и позволяющая доказать получение согласия.

Однако есть ситуации, когда закон требует именно письменного согласия. В таких случаях электронный документ может признаваться равнозначным бумажному документу при соблюдении требований законодательства об электронной подписи.

Можно ли дать согласие онлайн

Да, во многих ситуациях согласие предоставляется в электронной форме. Например, пользователь может заполнить форму на сайте и совершить предусмотренное интерфейсом действие, которое позволяет оператору подтвердить факт получения согласия.

Но интернет-форма должна быть организована таким образом, чтобы можно было определить, кто, когда и на что именно дал согласие.

Для оператора важно иметь возможность доказать получение согласия. Закон прямо возлагает на оператора обязанность доказать получение согласия либо наличие другого законного основания для обработки персональных данных.

Почему согласие должно быть отдельным документом

Это особенно важный вопрос для сайтов, интернет-магазинов и различных онлайн-сервисов.

В актуальной редакции статьи 9 152-ФЗ закреплено, что согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые субъект персональных данных подтверждает или подписывает.

На практике это означает необходимость внимательно пересмотреть конструкции, в которых согласие фактически прячется внутри другого документа.

Например, не стоит автоматически считать правильным вариант, когда согласие полностью включено в:

• пользовательское соглашение;
• договор;
• условия заказа;
• иной документ, который пользователь одновременно принимает или подписывает.

Согласие должно быть выделено как самостоятельное волеизъявление в соответствии с требованиями закона.

Что должно содержать согласие

Содержание согласия зависит от ситуации. Если закон требует письменной формы, статья 9 152-ФЗ перечисляет сведения, которые должны быть указаны в таком согласии. Среди них — сведения о субъекте, операторе, цели обработки, перечне данных, действиях с данными, сроке действия согласия и способе его отзыва.

В письменном согласии, в частности, должны быть предусмотрены:

• сведения о субъекте персональных данных;
• сведения об операторе;
• цель обработки персональных данных;
• перечень персональных данных;
• сведения о лице, обрабатывающем данные по поручению оператора, если такая обработка поручена;
• перечень действий с персональными данными;
• общее описание способов обработки;
• срок действия согласия;
• способ отзыва согласия;
• подпись субъекта персональных данных.

Если согласие получает представитель субъекта, оператор также должен проверить полномочия представителя.

Почему нельзя писать слишком общие формулировки

Фраза вроде «согласен на обработку всех моих персональных данных любым способом и для любых целей» не отражает принцип конкретности и предметности согласия.

Гораздо правильнее определить, какие данные используются, для какой цели они необходимы и какие действия с ними предполагается совершать.

Как дать согласие на сайте

Для обычного сайта типовая ситуация выглядит следующим образом: пользователь хочет получить консультацию, оформить заказ, зарегистрироваться или отправить заявку.

Перед отправкой формы оператору необходимо организовать получение согласия таким образом, чтобы пользователь мог понять:

• кто является оператором;
• какие данные запрашиваются;
• для какой цели они нужны;
• что будет происходить с этими данными;
• на что именно распространяется согласие.

Особое внимание следует уделить технической фиксации факта получения согласия. Оператору важно сохранять сведения, позволяющие при необходимости подтвердить факт и содержание предоставленного согласия.

Пример структуры формы

Условно форма заявки может содержать:

1. поле «Имя»;
2. поле «Телефон»;
3. поле «Электронная почта»;
4. информацию об операторе;
5. ссылку на документ, описывающий обработку персональных данных;
6. отдельное действие для предоставления согласия;
7. кнопку отправки заявки.

Конкретная реализация зависит от цели обработки и характера сайта. Для интернет-магазина, кадрового сервиса, медицинской организации, образовательной платформы и обычной формы обратной связи требования и риски могут различаться.

Нужно ли согласие на каждую форму

Не следует автоматически использовать один универсальный текст согласия для всех форм сайта. Если разные формы преследуют разные цели и предполагают обработку разных категорий данных, содержание согласия должно соответствовать конкретной ситуации.

Кроме того, не вся обработка обязательно основывается именно на согласии. Закон предусматривает и другие основания для обработки персональных данных.

Можно ли обрабатывать персональные данные без согласия

Да, в предусмотренных законом случаях обработка персональных данных может осуществляться без отдельного согласия.

Согласие является одним из оснований обработки, но не единственным. Статья 6 152-ФЗ содержит перечень случаев, когда обработка допускается при наличии предусмотренных законом оснований.

Например, обработка может быть необходима:

• для исполнения договора или заключения договора по инициативе субъекта персональных данных;
• для выполнения обязанностей, установленных законом;
• для осуществления прав и законных интересов оператора или третьих лиц при соблюдении установленных условий;
• в других случаях, прямо предусмотренных законодательством.

Поэтому отсутствие отдельного согласия еще не означает автоматически незаконность обработки. Необходимо установить конкретное правовое основание.

При этом если законом предусмотрено обязательное получение согласия, оператор должен учитывать соответствующее требование и не подменять его другим документом без законных оснований.

Можно ли отозвать согласие

Да, субъект персональных данных вправе отозвать свое согласие. Закон прямо предусматривает такую возможность.

Однако отзыв согласия не означает, что оператор при любых обстоятельствах обязан немедленно прекратить любую обработку данных. Закон допускает продолжение обработки без согласия при наличии предусмотренных им иных оснований.

Например, если обработка необходима для исполнения определенных юридических обязанностей или имеется другое основание, предусмотренное статьей 6, обработка может продолжаться в соответствующей части.

Как отозвать согласие

Способ отзыва должен соответствовать установленному порядку. Если согласие оформлялось письменно, в документе должен быть предусмотрен способ его отзыва.

На практике оператору следует обеспечить понятный механизм обращения субъекта персональных данных. После получения требования необходимо определить, имеется ли законное основание для дальнейшей обработки.

Согласие на распространение персональных данных

Необходимо отличать обычное согласие на обработку персональных данных от согласия на обработку данных, разрешенных субъектом для распространения.

Если человек разрешает предоставление доступа к своим данным неограниченному кругу лиц, применяются специальные правила статьи 10.1 152-ФЗ. Такое согласие оформляется отдельно от других согласий, а субъект должен иметь возможность определить перечень данных, которые он разрешает распространять.

Например, человек может разрешить публикацию своего имени и фотографии на сайте, но не разрешить публикацию номера телефона.

Закон также прямо устанавливает, что молчание или бездействие субъекта персональных данных не может считаться согласием на распространение таких данных.

Обработка и распространение — не одно и то же

Поэтому наличие обычного согласия на обработку не следует автоматически воспринимать как разрешение публиковать персональные данные в открытом доступе.

Типичные ошибки при оформлении согласия

Ошибка 1. Согласие спрятано внутри пользовательского соглашения

После изменения требований законодательства особенно важно разделять согласие на обработку персональных данных и другие документы, которые принимает пользователь.

Ошибка 2. Слишком широкая цель обработки

Формулировки должны позволять понять, зачем оператору нужны данные. Чем конкретнее описана цель, тем проще определить допустимые действия с данными.

Ошибка 3. Не указан состав данных

Если оператор собирает имя, телефон, электронную почту и другие сведения, не следует без необходимости объединять все это в неопределенное понятие «любые персональные данные».

Ошибка 4. Нет возможности доказать получение согласия

Оператор должен быть способен доказать факт получения согласия. Поэтому недостаточно просто разместить текст на сайте — необходимо продумать механизм фиксации волеизъявления пользователя.

Ошибка 5. Согласие используется для любых целей

Например, пользователь оставил заявку на консультацию. Это само по себе не означает автоматического согласия на любые последующие рекламные рассылки. Для целей продвижения товаров, работ и услуг законом установлено отдельное требование о предварительном согласии на соответствующую обработку персональных данных.

Ошибка 6. Отсутствует механизм отзыва

Человек должен иметь возможность воспользоваться своим правом на отзыв согласия в предусмотренном законом порядке.

Проверочный чек-лист

Перед использованием формы согласия на сайте или в организации можно проверить ее по следующему списку:

• Определен оператор персональных данных.
• Понятно, какие данные обрабатываются.
• Определена цель обработки.
• Понятно, какие действия выполняются с данными.
• Согласие соответствует конкретной цели.
• Согласие не спрятано внутри другого документа.
• Предусмотрен способ подтверждения факта получения согласия.
• Определен порядок отзыва согласия.
• Проверено, действительно ли для конкретной обработки необходимо именно согласие.
• Если предполагается распространение данных, оформлено специальное согласие с учетом требований статьи 10.1 152-ФЗ.

Заключение

Дать согласие на обработку персональных данных можно. Однако согласие должно быть добровольным и соответствовать требованиям законодательства. По общему правилу оно может предоставляться в форме, позволяющей подтвердить факт его получения, если закон не требует специальной формы.

Главное правило заключается в том, что согласие не должно превращаться в формальную галочку. Человек должен понимать, кому он предоставляет данные, какие именно сведения обрабатываются, с какой целью это происходит и на что распространяется его согласие.

Для владельцев сайтов и компаний особенно важно учитывать актуальное требование об отдельном оформлении согласия, а также различать обычную обработку персональных данных и их распространение.

При подготовке формы согласия для конкретного сайта, интернет-магазина или организации необходимо учитывать не только 152-ФЗ, но и фактические цели обработки, состав данных, используемые сервисы и другие применимые нормы законодательства.

Вернуться к оглавлению