Согласие на обработку персональных данных: основания и оформление

Разберём порядок для коммерческой компании: обращение через сайт, договор, рассылку и работу с подрядчиком. Актуально на 9 октября 2026 года; проверен закон в редакции от 26 июля 2026 года. Основной источник — Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных», прежде всего статьи 6, 9 и 15. Специальные категории, биометрия и распространение данных требуют отдельной проверки.

Когда основанием служит согласие

Статья 6 предусматривает разные основания допустимой обработки. В подходящей ситуации это исполнение установленной законом обязанности, договора с человеком или другое предусмотренное законом основание. Поэтому начинать с универсального согласия «на все данные компании» неправильно: оно скрывает различия между кадровым учётом, исполнением заказа и рекламной рассылкой.

Составьте список операций. Для каждого процесса запишите цель, сведения, источник, получателей и предполагаемое основание. Например, расчёт по заключённому договору и последующее приглашение на рекламное мероприятие имеют разные деловые цели. Законность первой операции не доказывает законность второй. Новое использование оценивают самостоятельно.

Если основанием выбрано согласие, оно должно соответствовать фактической обработке. Нельзя получить разрешение отвечать на обращение, а затем считать его разрешением на любые рассылки, передачу партнёрам и бессрочное хранение. Отдельные действия могут регулироваться также другими законами; правовое основание по 152-ФЗ не заменяет такую проверку.

Важно различать основание и подтверждающий документ. Политика объясняет порядок обработки, договор регулирует отношения сторон, согласие выражает волю человека на конкретную обработку. Один документ может упоминать другие, но от этого их функции не становятся одинаковыми. Компания должна знать, что именно доказывает каждый сохранённый файл или журнал.

Что включить в согласие на обработку персональных данных

По статье 9 согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Для редактора формы это означает понятное описание оператора и цели, а также согласованность текста с полями и маршрутом данных. Формулировка «любые действия в любых целях» не даёт человеку содержательной информации о происходящем.

Начните с оператора: какая организация получает сведения и организует обработку. Общий бренд группы может не совпадать с юридическим лицом, которое принимает заявку. Если человек обращается к одной организации, а данные автоматически уходят другой для собственной задачи, нужно оценить модель передачи и её основание, а не ограничиться названием бренда.

Дальше перечислите данные и действия. Не копируйте весь возможный перечень из образца. Если форма собирает имя, телефон и содержание вопроса, включение паспортных сведений в общий текст требует объяснения реального процесса. И наоборот: если вложенный файл может содержать дополнительные сведения, компания должна учесть это в организации обработки и информировании пользователя.

Для согласия в письменной форме закон содержит отдельный перечень реквизитов в части 4 статьи 9. Среди них сведения о субъекте и операторе, цель, перечень данных и действий, срок, способ отзыва, подпись, а при поручении обработки — сведения об исполнителе. Этот перечень нельзя автоматически переносить в каждую обычную веб-форму как обязанность собрать паспорт: сначала определяют, требуется ли письменная форма именно в данной ситуации.

Срок и прекращение обработки должны быть понятны и исполнимы. Для одного обращения, действующего договора и самостоятельной рекламной базы условия могут отличаться. Удобный для отдела продаж ответ «храним всегда» необходимо проверить по цели, основанию и обязательным срокам. Продолжение хранения на другом основании описывают отдельно от действия согласия.

Как оформить согласие отдельно от других документов

Действующая часть 1 статьи 9 требует оформлять согласие отдельно от иных информации и документов, которые подтверждает или подписывает человек. Для сайта это причина проверить связку «оферта, политика, согласие, подписка» в одном подтверждении. Компания должна различать документы и действия пользователя, а не соединять все условия в одну неделимую фразу.

Один практически понятный вариант — самостоятельный текст согласия, доступный пользователю до подтверждения, и отдельное действие, которое относится к этому тексту. Это пример организации интерфейса, а не утверждение, что закон устанавливает единственную техническую конструкцию с определённым числом чекбоксов. Решение оценивают с учётом основания и требуемой формы.

Отметка, установленная за пользователя заранее, и необходимость согласиться с рекламой ради обычного обращения требуют отдельной оценки свободного волеизъявления. Задача компании — получить осознанное подтверждение конкретной обработки. Нельзя подменять его тем, что человек просто посетил страницу или ознакомился с названием документа.

Текст согласия должен быть доступен на мобильном устройстве до отправки. Проверьте, открывается ли ссылка, не перекрывается ли она другим элементом, читается ли документ и сохраняется ли ввод после возвращения. Рабочая проверка интерфейса связана с доказательством информированности: неработающая ссылка разрушает замысел даже при правильно составленном тексте.

Как подтвердить получение согласия

Часть 3 статьи 9 возлагает доказательство получения согласия либо наличия другого основания на оператора. Поэтому сохранённый контакт полезно связать с конкретным событием подтверждения. Для электронного процесса компания определяет, как восстановить содержание текста, действие человека и связь этого события с полученными данными.

Рабочая запись может содержать идентификатор обращения, время, версию текста, страницу и результат отдельного действия пользователя. Состав записи выбирают с учётом задачи и принципа минимизации: доказательство согласия не оправдывает сбор любых технических сведений. Отдельно оценивают достоверность, доступ к журналу и срок хранения подтверждения.

Версии особенно важны. Если сегодня согласие изменено, его новая редакция не показывает, с чем согласился посетитель вчера. Сохраните архив текстов и период их действия. При переносе формы или смене CRM связь между обращением и подтверждением должна сохраниться; простой перенос телефонов в новую таблицу эту задачу не решает.

В случаях обязательной письменной формы обычная отметка в веб-форме не всегда достаточна. Закон отдельно рассматривает электронный документ, подписанный электронной подписью в установленном порядке. Поэтому не обещайте универсальное соответствие за счёт одного механизма подтверждения: сначала определяют правовую ситуацию, затем технологию.

Матрица проверки согласия

Отзыв согласия и дальнейшая обработка

Человек вправе отозвать согласие. Компания заранее устанавливает канал обращения и порядок проверки, какие операции основаны именно на этом согласии. Если рекламная обработка и хранение расчётных документов имеют разные основания, отзыв не должен ни автоматически уничтожать все обязательные документы, ни оставлять рекламную обработку без изменения.

Часть 2 статьи 9 допускает продолжение обработки после отзыва при наличии перечисленных в законе самостоятельных оснований. Применимость основания подтверждают к конкретным данным и действиям. Нельзя просто ответить «у нас договор» и сохранить всю базу: проверяют, какой договор, какая цель и почему соответствующие сведения ещё необходимы.

Срок и действия определяют с учётом вида обработки и обращения. Для прямого продвижения товаров, работ и услуг с помощью средств связи часть 2 статьи 15 требует немедленно прекратить соответствующую обработку по требованию человека. Это специальное правило нельзя заменить общим сроком из статьи 21. Для остальных ситуаций отдельно проверяют применимые положения статьи 21: отзыв согласия, требование прекратить обработку и достижение цели имеют разные условия. В карточке запроса фиксируйте событие, правило и результат исполнения, включая действия подрядчика.

Завершение процедуры должно отражаться в системах. Исключение из рассылки, закрытие доступа или уничтожение проверяют фактически. Отписка в одном сервисе не означает автоматически прекращения такой же обработки в выгруженной таблице. Поэтому важна карта получателей и копий, составленная до появления запроса.

Пример проверки формы обращения

Условная компания принимает через сайт имя, телефон и вопрос о консультации. Менеджер получает заявку в CRM. Затем контакты автоматически добавляются в рекламную рассылку. Этот пример описывает возможную схему, а не клиентский кейс Сколково Бизнес.

Сначала компания разделяет ответ на обращение и рекламную коммуникацию. Для каждого процесса проверяет цель и основание. Затем сопоставляет форму, тексты и события подтверждения. Согласие только на обработку обращения нельзя распространять на рекламную задачу. Прямое продвижение по средствам связи допускается по части 1 статьи 15 только с предварительным согласием; доказательство его получения лежит на операторе. Дополнительно проверяют применимые требования законодательства о рекламе.

Следующий шаг — доказательство. Для тестового обращения находят запись в CRM, соответствующую версию согласия и событие подтверждения. Затем проверяют прекращение нужного процесса: кто обрабатывает отказ, какие системы меняет и как подтверждает результат. Такая проверка выявляет реальные разрывы, которые чтение текста само по себе не показывает.

При изменении сайта новый текст сначала связывают с изменённым процессом. Не исправляйте документы отдельно от маршрута данных. Подготовку всей схемы можно начать с аудита по 152-ФЗ, общего разбора требований к компании и материала о политике сайта.

Вопросы и ответы

Политика обработки данных заменяет согласие?

Нет. Политика описывает подход оператора, а согласие выражает волю человека. При выбранном основании компания отдельно подтверждает получение согласия и его содержание.

Всегда ли нужен паспорт в согласии?

Нет. Перечень реквизитов письменного согласия нельзя автоматически превращать в поля любой веб-формы. Сначала проверяют, какой вид и форма согласия требуются для конкретной обработки.

Можно ли соединить согласие с договором?

Статья 9 требует отдельного оформления от других подтверждаемых или подписываемых информации и документов. Самостоятельный документ и ясно различимое подтверждение оценивают с учётом конкретного процесса.

Можно ли после отзыва хранить документы по договору?

Продолжение возможно при наличии применимого самостоятельного основания. Компания проверяет состав сохраняемых данных, необходимую цель и срок; отзыв не оправдывает бессрочное хранение всех сведений.

Какая программа нужна для доказательства согласия?

152-ФЗ не устанавливает единственную CRM. Значение имеет возможность подтвердить основание, содержание текста и получение согласия в соответствующей форме. Технологию выбирают под эти требования.

Источники

152-ФЗ: статьи 6 и 21 и другие применимые положения.

Статья 9: требования к согласию, отдельное оформление и доказательство.

Статья 5: цели, достаточность и хранение.

Статья 21: прекращение, блокирование и уничтожение.

Статья 15: предварительное согласие на прямое продвижение и немедленное прекращение по требованию.