Согласие на обработку персональных данных: кому и зачем нужно

Согласие на обработку персональных данных нужно тому, кто обрабатывает чужие данные и не может опереться ни на одно из других оснований из ст. 6 ФЗ-152. Это касается и организаций, и ИП, и самозанятых: отдельного, более мягкого режима для них закон не предусматривает. При этом согласие — не универсальный «пропуск»: для исполнения договора, выполнения требований закона и большинства кадровых задач оно как раз не требуется, а нужно для необязательных, дополнительных операций (рассылки, аналитика, публикация фото, передача партнёрам).

Главное

• Согласие — лишь одно из 11 оснований обработки по ст. 6 ФЗ-152. Если есть другое основание (исполнение договора, требование закона), отдельное согласие не нужно.
• Согласие обязательно для необязательных, дополнительных операций: рекламных рассылок, веб-аналитики, публикации фото, передачи данных партнёрам.
• С 1 сентября 2025 года согласие должно быть оформлено отдельным документом, не «вшитым» в договор или оферту (ч. 1 ст. 9 ФЗ-152 в редакции ФЗ № 156-ФЗ от 24.06.2025).
• Письменное согласие должно содержать все реквизиты ч. 4 ст. 9 ФЗ-152: данные субъекта и оператора, цель, перечень данных, действия и способы, срок и способ отзыва, подпись.
• Бланкетные формулировки («любые цели», «иные данные») недопустимы: согласие должно быть конкретным и информированным (ст. 5, ст. 9 ФЗ-152).
• Отнесение куки-файлов, IP-адресов и данных веб-аналитики к персональным данным — это позиция Роскомнадзора и судебная практика, а не дословная норма закона; безопаснее исходить из того, что обработка ПДн есть.

Кому нужно согласие, а кому нет

Согласие — одно из оснований, а не единственное

Статья 6 ФЗ-152 предусматривает 11 оснований для обработки персональных данных, и согласие субъекта — лишь первое из них (п. 1 ч. 1 ст. 6). Если есть другое основание — например, обработка нужна для исполнения договора с субъектом или для выполнения требований закона, — отдельное согласие собирать не нужно. Объём собираемых данных при этом должен соответствовать заявленным целям обработки: хранить данные, собранные для несовместимых целей, в одной базе нельзя (ст. 5 ФЗ-152).

Практический вывод: согласие требуется тогда, когда вы выполняете необязательную, дополнительную операцию, у которой нет иного основания. Типичные примеры — рекламные и информационные рассылки, веб-аналитика и куки-файлы, публикация фотографии человека, передача данных партнёрам для их собственных целей.

Самозанятые и ИП — такие же операторы

Отдельного, облегчённого режима для самозанятых ФЗ-152 не устанавливает. Если вы собираете, храните или используете данные клиентов, сотрудников или пользователей сайта, вы оператор персональных данных — это касается и самозанятого, и ИП без работников. Прямой судебной практики именно по самозанятым пока мало, но из текста закона исключений для них не следует, поэтому исходить нужно из общих правил.

Когда согласие именно письменное

Закон не содержит явного исчерпывающего перечня случаев, когда согласие обязано быть письменным, — за двумя ясными исключениями. Это специальные категории персональных данных (например, сведения о здоровье), для которых согласие допускается только в письменной форме (ч. 2 ст. 10 ФЗ-152), и биометрические данные, обработка которых требует письменного согласия (ч. 1 ст. 11 ФЗ-152). В остальных случаях согласие может быть дано в любой форме, позволяющей подтвердить факт его получения; на практике для надёжного доказательства удобнее письменная форма со всеми реквизитами ч. 4 ст. 9.

Что обязательно в письменном согласии

Реквизиты по ч. 4 ст. 9 ФЗ-152

Письменное согласие должно содержать строго определённый набор сведений (ч. 4 ст. 9 ФЗ-152): ФИО, адрес и реквизиты документа, удостоверяющего личность субъекта; наименование (или ФИО) и адрес оператора; цель обработки; перечень персональных данных; перечень действий с данными и общее описание способов обработки; срок действия согласия и порядок его отзыва; подпись субъекта. Если согласие подаёт представитель — добавляются его данные и реквизиты доверенности; если обработка поручается другому лицу — его наименование и адрес. Пропуск любого из обязательных элементов делает согласие дефектным.

Без бланкетных формулировок

Согласие должно быть конкретным, информированным, сознательным и однозначным (ч. 1 ст. 9, ст. 5 ФЗ-152). Формулировки вроде «любые цели», «в целях деятельности», «иные персональные данные» недопустимы: цель и перечень данных нужно описывать конкретно. Срок действия тоже нельзя оставлять пустым — допустимы формулировки «до дня отзыва» или «до достижения целей обработки», но исключить срок целиком нельзя (ч. 4 ст. 9).

Отдельный документ с 1 сентября 2025 года

Ключевое изменение: с 1 сентября 2025 года согласие должно быть оформлено отдельно от иных документов, которые субъект подписывает или подтверждает (ч. 1 ст. 9 ФЗ-152 в редакции ФЗ № 156-ФЗ от 24.06.2025). «Вшить» согласие в текст договора, анкеты или оферты больше нельзя. Ранее полученные согласия задним числом не пересматриваются, но согласия с расплывчатыми формулировками имеет смысл переоформить.

Особые случаи: рассылки, сайт, распространение

Рассылки и аналитика на сайте

Обработка данных для рекламных рассылок и веб-аналитики — это, как правило, необязательная операция, под которую нужно согласие. На сайте оно собирается видимым, не предустановленным заранее чекбоксом рядом с формой, а не «галочкой по умолчанию»: бездействие согласием не является. Куки-файлы, IP-адреса и данные систем веб-аналитики Роскомнадзор и суды на практике относят к персональным данным — это толкование регулятора, а не дословная норма ФЗ-152, поэтому безопаснее исходить из того, что обработка ПДн происходит. Подробнее об этом — в разборе согласия на обработку ПДн на сайте.

Согласие на распространение

Если вы хотите сделать данные человека общедоступными (опубликовать, передать неограниченному кругу лиц), нужно отдельное согласие на распространение по особым требованиям (ст. 10.1 ФЗ-152 и Приказ Роскомнадзора № 18 от 24.02.2021). Обычное согласие по ст. 9 права на распространение не даёт. В таком согласии указываются конкретные информационные ресурсы — их точные веб-адреса, а не общие слова «Интернет» или «соцсети», и явно фиксируется, устанавливает ли субъект запреты и условия — молчание здесь недопустимо.

Пошагово: как понять, нужно ли согласие

1. Определите, обрабатываете ли вы чужие персональные данные. Если собираете, храните или используете данные клиентов, сотрудников или пользователей сайта — вы оператор.
2. Проверьте основание по ст. 6 ФЗ-152: есть ли договор, требование закона или иное основание помимо согласия.
3. Если основание есть — отдельное согласие на эту операцию не нужно; следите за минимизацией данных (ст. 5).
4. Если основания нет (рассылка, аналитика, публикация фото, передача партнёрам) — собирайте согласие.
5. Определите форму: для специальных категорий и биометрии — только письменная (ст. 10, ст. 11); в остальных случаях форма любая, но письменная надёжнее для доказывания.
6. Включите все реквизиты ч. 4 ст. 9 и сформулируйте цель и перечень данных конкретно, без бланкетных фраз.
7. Оформите согласие отдельным документом, а не пунктом договора или оферты (ч. 1 ст. 9 в редакции 2025 года).

Частые вопросы

Нужно ли самозанятому согласие на обработку данных клиентов? Если данные клиента вы обрабатываете для исполнения договора с ним, отдельное согласие на это не требуется — основанием служит ст. 6 ФЗ-152. Согласие понадобится для дополнительных операций, например для рассылок или публикации отзыва с именем клиента. Самозанятый в этом смысле — обычный оператор, без особого режима.

Можно ли объединить согласие с договором или офертой? Нет, с 1 сентября 2025 года согласие должно быть оформлено отдельно от иных документов, которые субъект подписывает или подтверждает (ч. 1 ст. 9 ФЗ-152 в редакции ФЗ № 156-ФЗ от 24.06.2025).

Нужно ли нотариально заверять согласие? Нет. ФЗ-152 не требует нотариального удостоверения. Для письменной формы достаточно собственноручной подписи субъекта или квалифицированной электронной подписи.

Что обязательно должно быть в письменном согласии? По ч. 4 ст. 9 ФЗ-152 — данные субъекта (ФИО, адрес, документ), наименование и адрес оператора, цель обработки, перечень данных, перечень действий и способов, срок действия, способ отзыва и подпись субъекта.

Как отозвать согласие? Субъект вправе отозвать согласие в любое время. После отзыва оператор обязан прекратить обработку и уничтожить данные в течение 30 дней, если нет иного законного основания для дальнейшей обработки (ч. 5 ст. 21 ФЗ-152). Эти сроки актуальны на июнь 2026 года.

Что дальше

Когда вы определили, что согласие нужно, удобнее всего составить согласие на обработку персональных данных в генераторе: он собирает все обязательные реквизиты ч. 4 ст. 9 ФЗ-152, не пропускает срок и способ отзыва, блокирует бланкетные формулировки и поддерживает отдельные ветки для сотрудника, клиента сайта, несовершеннолетнего и распространения. Помимо самого согласия оператору обычно требуется опубликовать политику обработки данных на сайте (ст. 18.1) и проверить, нужно ли уведомить Роскомнадзор до начала обработки (ст. 22). Если ваш случай — сбор данных через сайт, посмотрите отдельный разбор: согласие на обработку ПДн на сайте.