Вместе с юристом Mindbox разбираем, когда бизнесу нужно запрашивать у клиента разрешение на обработку персональных данных, как составить документ и за что можно получить штраф.
9 сентября 2026
Согласие на обработку персональных данных: когда нужно и как составить
Каждый раз, когда клиент оставляет телефон или почту, бизнес обязан объяснить, зачем ему эти данные, и подтвердить, что на их сбор есть юридическое основание. Одно из таких оснований — согласие на обработку персональных данных.
Вместе с лидом юридической команды Mindbox Кирой Лукашиной разобрались, что должно быть в тексте согласия, за какие ошибки в нем компанию могут оштрафовать, и составили шаблон документа.
Содержание:
Что такое согласие на обработку персональных данных
Согласие на обработку персональных данных (ПД) — онлайн или офлайн подтверждение того, что человек знает, какую информацию о нем и зачем собирает компания.
Тот, кто собирает данные и распоряжается ими, называется оператором — обычно это компания или предприниматель. Тот, чьи данные собирают, называется субъектом. Оператором становится любой бизнес, который работает с клиентами-физлицами: от небольшого интернет-магазина до федеральной розничной сети. Например, когда покупатель регистрируется в программе лояльности пиццерии, компания становится оператором, а покупатель — субъектом.
Стандартное согласие разрешает бизнесу использовать данные клиента внутри своих процессов: отправлять рассылки, начислять бонусы, передавать партнерам по доставке. Но когда компания собирается сделать данные клиента публично доступными, одного стандартного разрешения недостаточно — нужно разрешение на распространение ПД. Например, такой документ понадобится, чтобы разместить мнение покупателя с именем и фото на сайте или в соцсетях.
В разрешении на распространение нужно явно указать, какие данные будут доступны широкой публике и на каких площадках. Клиент может ограничить список: например, разрешить публикацию имени или запретить использовать фотографию.
Какую ответственность несет бизнес за нарушения обработки персональных данных
Ответственность за нарушения в сфере персональных данных регулирует КоАП. В кодексе нет отдельного штрафа за отсутствие согласия, но это автоматически означает обработку данных без законного основания. За такие нарушения штрафуют бизнес, который запустил рассылку, добавил в программу лояльности или отправил рекламу через мобильный пуш без разрешения клиента.
Если использовать данные без правового основания или в целях, не указанных при сборе, компании грозит штраф 150 000 — 300 000 рублей. Санкции увеличиваются, если организация не исправила ошибки. Например, каждый следующий штраф за сбор данных без разрешения человека может достигать 500 000 рублей.
Правила сбора согласия пользователей на обработку персональных данных с годами могут меняться, но логика остается прежней: компания должна законно работать с данными клиентов. Это повышает доверие аудитории к бизнесу.
В каких случаях получать согласие обязательно, а в каких — нет
Данные пользователей используются в программах лояльности, email-рассылках, персональных предложениях, аналитике поведения на сайте. Каждый раз, когда бизнес собирает такую информацию, возникает вопрос: «Нужно ли согласие на их обработку?». Ответ зависит от того, можно ли по этим данным определить человека, и от того, есть ли в законе основание обрабатывать данные без отдельного согласия клиента.
По статье 6 152-ФЗ, чтобы работать с персональными данными человека, не обязательно каждый раз спрашивать у него разрешение. Закон предусматривает несколько оснований, например:
- Договор. Например, интернет-магазин оформляет заказ на доставку, данные для его исполнения можно обрабатывать без отдельного согласия: договор уже дает на это право.
- Законный интерес. Когда персональные данные нужны компании для исполнения требований закона. Например, банк обязан проверить клиента на признаки мошенничества, поэтому обработка его персональных данных тоже может проходить без согласия.
Согласие нужно, когда нет ни договора, ни законного интереса. Например, запрашивать разрешение необходимо, если компания хочет присылать клиенту рекламные рассылки или передавать его данные третьим лицам для целей, не связанных с исполнением договора. Поэтому прежде чем собирать согласие, стоит сначала проверить, не решает ли задачу договор или законный интерес — это упростит работу с данными и снизит юридические риски.
Раньше согласие было самым «сильным» и универсальным основанием — компании закрывали им почти любую обработку данных, не разбираясь в альтернативах. Но подход регулятора меняется: РКН настоятельно рекомендует бизнесу отказываться от согласий там, где они не нужны, и есть иные основания для обработки личной информации клиентов.
На практике согласие все чаще называют самым «токсичным» основанием — тем, к которому нужно прибегать в последнюю очередь, если ничего другого не подходит.
Разберем, в каких случаях без согласия не обойтись, а в каких можно работать без него.
Ситуация
Нужно ли согласие
Посетитель сайта оставил заявку на обратный звонок
Согласие не обязательно. Вместо него есть договор (например, правила обработки заявок) или законный интерес, но нужно проинформировать пользователя об условиях обработки его данных
На сайте настроен сбор cookie
Согласие нужно. Его можно получить через cookie-баннер до начала сбора данных
Покупатель оформляет карту лояльности
Согласие не обязательно. Основание в этом случае — договор, то есть правила программы лояльности, с которыми соглашается клиент, но в них нужно прописать условия обработки персональных данных
Бизнес запускает рекламную email-рассылку
Согласие нужно. Клиент должен дать разрешение на обработку персональных данных для рекламных коммуникаций
Человек заказал доставку
Согласие не требуется. Данные нужны для исполнения заказа по договору
Госорган направил официальный запрос на предоставление данных
Согласие не требуется. Здесь есть законный интерес — обработка данных прямо предусмотрена законом
Что должно быть в согласии на обработку персональных данных
В 152-ФЗ нет четкой формы согласия на обработку персональных данных, и компания сама выбирает, как оно будет выглядеть. Анкета на бумаге, форма на странице сайта, SMS — допустимые варианты. Но к содержанию документа требования жесткие: оно должно быть четким и понятным клиенту, без обтекаемых фраз и двусмысленных формулировок, а перечень данных должен быть точным.
Согласие на обработку персональных данных также не может быть частью другого документа. Встраивать его в оферту или пользовательское соглашение запрещено.
Есть несколько пунктов, которые обязательно нужно включить в текст согласия на обработку персональных данных:
- Наименование организации и ее юридический адрес.
- Цели, ради чего бизнес собирает информации, без размытых формулировок.
- Данные, на которые компания берет согласие, например, имя, номер телефона, email.
- Информация о партнерах, которым передаются персональные данные для достижения цели, если такие партнеры есть.
- Действия по обработке, которая компания будет выполнять. Например, операции: сбор, хранение, передача, удаление и другие действия, которые указаны в 152-ФЗ. Способ: автоматизированный — данные обрабатывает система, неавтоматизированный — сотрудник работает с бумажными анкетами вручную, смешанный — оба варианта обработки.
- Срок обработки данных и способы отзыва согласия.
Требования к сроку действия и хранения согласия
Организация самостоятельно выбирает срок действия согласия, однако он не может быть вечным. Стандартная практика: согласие действует до того, как клиент его отзовет, или до момента достижения цели. Например, разрешение на рассылку можно использовать до момента, когда клиент от нее отпишется.
Пользователь может запретить компании обрабатывать информацию о нем в любой момент. После отзыва согласия компания прекращает работу с данными, если только у нее нет другого законного повода их хранить. Например, если клиент отозвал согласие на обработку данных для рекламных рассылок, это не значит что нужно полностью удалить все его данные из базы. Их можно продолжать использовать для других обоснованных целей: участия в программе лояльности и выполнения заказов. В тексте согласия важно указать, как пользователь может отозвать согласие: например, подать письменное заявление на юридический адрес компании или написать на email.
Хранить согласие с доказательствами его получения, например логами, нужно весь срок его действия плюс три года после. Это важно: доказывать факт получения разрешения обязана организация, а не пользователь.
Как составить согласие
Взяли за основу требования 152-ФЗ и сделали шаблон, актуальный на 2026 год. В нем есть все обязательные блоки.
Чтобы адаптировать образец под свою компанию, нужно скопировать его и заполнить детали. Нужно указать категории данных, которые бизнес планирует собирать и хранить, сроки обработки и перечень тех, кому будет передаваться информация.
Где и как зафиксировать разрешение клиента на обработку данных
Организация вправе сама выбрать вариант получения согласия в зависимости от способа коммуникации с клиентом.
Офлайн
Подтверждение по SMS и звонку. Менеджер заносит контактные данные покупателя в CRM-систему, которая автоматически отправляет человеку звонок или SMS с кодом подтверждения и ссылкой на полный текст согласия. Покупатель называет код менеджеру.
При оформлении карты лояльности в «Канте» покупатель получает SMS: внутри — код для кассира и ссылка на текст согласия
Печатная анкета. Используется, если клиент и так подписывает другие документы на бумаге, например при приеме в медицинской клинике. Анкета должна содержать раздел с согласием, и человек подписывает его вместе с остальными данными.
Заполненные бумажные анкеты нужно сохранять, они служат доказательством разрешения на обработку персональной информации
Онлайн
Галочка в форме на сайте. Посетитель проставляет отметку в чекбоксе напротив текста согласия, например, когда дает разрешение отправлять ему письма. Чекбокс нельзя системно отмечать заранее, клиент ставит галочку самостоятельно.
Провайдер облачных сервисов Cloud перед подпиской на рассылку запрашивает согласие и сразу дает ссылку на текст соглашения
Double opt-in. Двухэтапное подтверждение: клиент оставляет контакт на сайте, а затем подтверждает согласие повторно — переходит по ссылке в письме или отвечает на SMS. Такой способ считается наиболее надежным с точки зрения доказательной базы, поскольку исключает, что кто-то укажет контакты за другого человека.
На сайте бренда одежды «21 Gate» пользователь может разрешить компании использовать свои данные сразу во время регистрации: на номер телефона приходит SMS с кодом, который нужно ввести, чтобы отправить форму
По закону согласие должно быть добровольным и свободным. Если компания не дает отправить форму на сайте без галочки «согласен на обработку данных», это уже нарушение, потому что согласие превращается в обязательное условие.
При этом сделать галочку необязательной недостаточно. Если других оснований для обработки информации нет, без разрешения пользователя бизнеса не может работать с его данными. В итоге форма перестанет выполнять свою функцию.
Поэтому РКН все чаще указывает операторам на такие случаи и рекомендует смотреть в сторону других оснований. Например, если данные собираются для отправки заявки или оформления заказа, обычно подходит основание «договор», и вопрос добровольности согласия снимается сам собой.
Топ-6 ошибок при сборе персональных данных
Юристы Mindbox собрали шесть типичных проблем при сборе согласий на обработку персональных данных.
1. В форме сбора контактов нет условий об обработке данных
Разместить политику конфиденциальности на сайте недостаточно. Это общий документ о том, как компания работает с данными. При сборе данных нужно организовать или согласие или указание на другое основание обработки.
Кондитерская собирает заявки на изготовление тортов, но не указала ничего про обработку данных
Как исправить: добавить в форму указание, что для выполнения заказа компания будет обрабатывать данные клиента
2. Согласие собирается там, где оно не нужно
Частая история — интернет-магазин при оформлении заказа просит покупателя поставить галочку «согласен на обработку персональных данных», хотя ФИО, телефон, email и адрес доставки нужны только для того, чтобы собрать и доставить заказ.
Например, встречается такая формулировка: «Я, оформляя заказ, даю согласие [название компании] на обработку моих персональных данных, указанных при оформлении заказа, в целях выполнения обязательств по договору купли-продажи, передачи данных транспортной компании для доставки и платежному сервису для приема платежа». Формально это лишнее: обработка данных для исполнения договора — самостоятельное основание, и отдельное согласие на нее не требуется.
Как исправить: для целей, прямо связанных с исполнением заказа (сбор данных для доставки, оплаты, связи по статусу заказа), использовать основание «договор» и не собирать согласие. Отдельное согласие нужно оставить только для того, что договором не покрывается, например для рекламной рассылки или передачи данных партнерам не в рамках доставки и оплаты заказа.
3. В согласии не указаны третьи лица, которым передаются данные
Компания передает данные клиентов партнерам, например, курьерской службе, платежному сервису, колл-центру, но не перечисляет их в тексте соглашения на обработку персональных данных. Указывать в общем «компания может передавать данные третьим лицам» — такая же ошибка.
В тексте есть иные третьи лица, но без указания для чего именно им передают информацию о пользователях
Как исправить: перечислить в тексте соглашения все компании, которым передаются данные, с указанием их категории и точной цели передачи, например для аналитики поведения пользователей. Можно также указать конкретный перечень юрлиц, но это не обязательно.
4. Нет ссылки на полные условия обработки персональных данных
В форме написано «даю разрешение на обработку персональных данных», но пользователю не показывают полные условия: как компания будет обрабатывать его данные, в каких целях и сколько будет их хранить.
Компания по ремонту квартир в форме заявки указывает, что пользователь должен согласиться с обработкой персональных данных, но не расписывает как именно будет их обрабатывать
Как исправить: добавить гиперссылку на полный текст условий или фрагмент политики об обработке персональных данных прямо в форму.
5. Открытый перечень данных о пользователе
Формулировка «включая, но не ограничиваясь» или «иные персональные данные» — нарушение. Закон требует точного перечня: компания должна заранее определить, какую конкретно информацию собирает и зачем, и прописать это явно.
Студия красоты указывает перечень информации о пользователях, но оставляет формулировку «иные сведения»
Как исправить: заменить общие фразы детальным списком, например: «ФИО, телефон, email».
6. Согласие входит в состав других текстов
Компания добавляет разрешение на обработку данных в договор оферты или правила программы лояльности. Это ошибка: все это должно быть в отдельных документах.
Как исправить: вынести соглашение на обработку персональных данных в отдельный документ со своей ссылкой и чекбоксом. Это нужно при условии, что у компании нет других оснований собирать и хранить персональную информацию о клиентах, например правил программы лояльности.
4 вопроса о согласии на обработку персональных данных
Когда согласие на обработку персональных данных не нужно?
Случаи перечислены в ст. 6 152-ФЗ. Согласие не требуется, когда данные нужны, чтобы выполнить условия договора с клиентом или исполнить требования закона. Например разрешение пользователя не требуется, если информацию о нем запросили госорганы или она нужна для спасения его жизни. В каждом конкретном случае оператору стоит сначала проверить, подходит ли для обработки данных договор или есть законный интерес. Получать разрешение клиента нужно, только если подобные основания не подходят.
Сколько действует согласие на обработку персональных данных?
Точный период в законе не указан, компания выбирает его самостоятельно. Обычно соглашение остается в силе, пока не будет достигнута цель обработки или клиент не захочет отозвать разрешение. Например, письма клиенту можно отправлять, пока он от них не отписался, или указать конкретный срок, например один год.
Как долго хранить согласие на обработку персональных данных?
После окончания действия согласия, его нельзя удалять еще три года. Доказывать получение согласия обязана компания, поэтому хранить подтверждение нужно на случай запроса Роскомнадзора или жалобы клиента.
Можно ли объединить согласие на обработку персональных данных с офертой или пользовательским соглашением?
Закон запрещает объединять согласие с другими документами.
