Согласие теперь — только отдельным документом
В своей профессиональной деятельности, я довольно часто получаю вопрос от клиентов “как составить согласие на обработку персональных данных”? Или “у вас же есть “согласие на обработку персональных данных образец” ?
Необходимо учитывать, что форма документа должна учитывать специфику деятельности компании, объем и цели собираемых данных, а также вариант их отзыва пользователем и уничтожения! Невозможно для всех компаний разработать “образец”!
Казус. Поправками к ч. 1 ст. 9 Закона № 152-ФЗ предусмотрено: согласие на обработку персональных данных должно быть оформлено отдельно от иных информации/документов, которые субъект подписывает. Нельзя «спрятать» согласие в оферту, правила сервиса, договор поставки или трудовой договор. Ранее полученные согласия остаются действительными, но новые — только отдельно. Штраф за обработку без надлежащего согласия для юрлиц — до 700 000 ₽ (ч. 2 ст. 13.11 КоАП РФ с учётом изменений 2025 года).
Кейc из практики. Интернет-магазин использовал «коробочный» шаблон оферты, где абзацем 17 было написано «пользователь соглашается на обработку ПДн». С 01.09.2025 оператор оформил новый бланк согласия, но не внедрил его на все формы (оставили старую оферту в виджете обратного звонка). Проверка Роскомнадзора: по заявке «обратного звонка» согласие не отдельное → предписание + штраф по ч. 2 ст. 13.11 КоАП РФ.
Новый режим обезличенных данных и передача в ГИС
Отвечая на вопрос “обработка персональных данных без согласия”? Ведь согласно приказу Роскомнадзора № 140 от 19.06.2025 года, при обезличивании персональных данных, их можно обрабатывать без получении согласия. Могу сказать что это возможно, но при соблюдении определенных параметров:
Кейс из практики. SaaS-платформа обучала модели рекомендаций на пользовательских логах, считая, что «хеш — это уже анонимно». После 01.09.2025 запрос Роскомнадзора: покажите метод обезличивания и результат тестов «невозможности повторной идентификации». Выяснилось, что соль/перечень полей позволяет деанонимизацию при сшивке. Итог: предписание привести метод в соответствие Приказу № 140 и прекратить обработку до исправления.
Штрафы и спецсоставы с 30.05.2025: утечки, неуведомления, «оборотные» наказания
Отвечаю на вопрос : “Какие штрафы за персональные данные 2025” и “Утечка персональных данных, какой штраф мне грозит”?, а также ” Как уведомить Роскомнадзор об утечке?”
Важно! КоАП РФ обновлён: выросли базовые штрафы (например, по общему составу для юрлиц 150–300 тыс. ₽ вместо 60–100 тыс.), введены спецсоставы:
- неуведомление о намерении обрабатывать ПДн; неуведомление об утечке;
- собственно утечка (с прогрессией по масштабам и спецкатегориям/биометрии);
- для повторных утечек — оборотные штрафы (1–3% выручки, но не менее 20 млн и не более 500 млн ₽ — по соответствующим частям). Дела юрлиц/ИП рассматривает арбитражный суд;
- 50% скидки на штраф больше нет.
Кейс из практики. Маркетплейс не подал уведомление в РКН об обработке ПДн (ст. 22 152-ФЗ) и «всплыл» после утечки Excel-файла с телефонами клиентов. Получил два протокола: за отсутствие уведомления (100–300 тыс. ₽ для юрлица/ИП) и за неуведомление об утечке (1–3 млн ₽), плюс протокол по факту самой утечки — санкции по шкале в зависимости от количества затронутых субъектов.
Что теперь должно быть в «Согласии на обработку персональных данных»
Получение согласия через сайт, не может быть оформлено по “образцу”! Каждый сайт собирает и обрабатывает персональные данные для целей своей деятельности. Поэтому, просто написать в поисковике “согласие на обработку персональных данных образец”, скачать попавшийся текст и разместить его на своем сайте – это ошибка, которая может обойтись очень дорого!
Обязательные требования.
- Конкретные цели, перечень данных и действий (сбор, запись, систематизация, хранение, уточнение, извлечение, передача и т. д.), срок, перечень третьих лиц/категорий, способы отзыва;
- Формат — отдельный документ на бумаге или в ЭДО/электронной форме (подписан простой/усиленной ЭП, по правилам). Запрещены «заглушки» вида «на все и сразу».
Кейс из практики. Сервис доставки оформлял согласие «на обработку любых данных для любых целей». Проверка: цели расплывчаты, третий круг лиц не конкретизирован, срок «бессрочно». Предписание: переработать согласия; штраф по ч. 2 ст. 13.11 КоАП РФ.
Политика обработки персональных данных на сайте — обязательна и проверяется
Что важно. Политика (ст. 18.1 152-ФЗ) в открытом доступе: раздел сайта «Политика конфиденциальности»/«Политика обработки персональных данных», фактические процессы, правовые основания, сроки хранения, порядок отзыва согласия, трансграничная передача, куки/идентификаторы. Отсутствие или «шаблон-рыба» — риск штрафа (ч. 3 ст. 13.11 КоАП РФ).
Кейс из практики. Доставщик еды использовал генератор «Политики» без учёта мобильного SDK и пикселей. РКН квалифицировал как недостоверные сведения о целях и получателях → штраф по ч. 3 ст. 13.11 (нарушение обязанностей по размещению корректной политики).
Cookies, пиксели, IDFA/GAID: это персональные данные, если можно идентифицировать пользователя
При сборе и использовании файлов cookkie, также необходимо получать отдельно согласие оформленное отдельно!
Юридический казус. Трекинг-идентификаторы и cookie-файлы часто позволяют определить пользователя/устройство → применяются требования 152-ФЗ:
- правовое основание (согласие/ст. 6), уведомление РКН (ст. 22), раскрытие в политике, отдельное cookie-согласие (баннер), DPIA/оценка рисков при совместной обработке с зарубежными провайдерами.
Кейс из практики. Ритейл-сеть использовала ретаргетинг и CDP, но не показывала cookie-баннер и не включала в политику перечень трекеров. Запрос РКН → предписание + штраф по ч. 2 и ч. 3 ст. 13.11 КоАП РФ (обработка без согласия и некорректная политика).
Уведомление Роскомнадзора: «подавать должны почти все»
Уведомлять ведомство не нужно, только если работа с данными ведётся вручную, для обеспечения безопасности в сфере транспортного комплекса или с целью поддержания общественного порядка и обеспечения безопасности государства.
Важно. По ст. 22 152-ФЗ оператор до начала обработки обязан уведомить РКН (исключений немного).
- С 30.05.2025 неуведомление — отдельный состав с крупным штрафом;
- За неуведомление об утечке — ещё один. Проверьте себя в реестре, актуализируйте сведения (цели/категории/перечень третьих лиц).
Кейс из практики. Небольшой D2C-бренд собирал e-mail для рассылок, но считал «мы маленькие — уведомление не надо». По жалобе потребителя РКН запросил уведомление → отсутствует → протокол по ч. 10 ст. 13.11 КоАП РФ.
Обработчики/подрядчики и передача ПДн третьим лицам
Если стоит задача заключить договор поручения на обработку персональных данных, либо осуществляется передача персональных данных третьим лицам, то договор заключить с перечислением целей и т.д. – необходимо обязательно!
Кейс из практики 2025 года. Интернет-школа выгружала CRM-данные подрядчику-аналитику без договора и без отражения передачи в уведомлении РКН. Итог: предписание, корректировка уведомления, штраф за обработку без правового основания.
Трансграничная передача и локализация
Установлена локализация персональных данных в России.
Кейс из практики 2025 года. Сайт использовал зарубежную систему рассылок; база подписчиков хранилась вне РФ без должной локализации. На проверке — предписание вернуть первичную запись на российскую инфраструктуру.
HR-процессы: согласие работников и видео-наблюдение
Новелла “биометрические персональные данные”.
Кейс из практики 2025 года. Склад использовал распознавание лиц без отдельного согласия на биометрию → предписание остановить обработку и оформить отдельные согласия.
E-commerce/маркетинг: чек-лист соответствия 2025
- Отдельные согласия на ПДн для всех форм (заявки, обратный звонок, рассылка, чат-бот).
- Cookie-баннер и реестр трекеров (что ставите, кто получатель, на каком основании).
- Политика ПДн с реальными процессами, а не «рыба».
- Договоры с обработчиками (CRM-подрядчик, кол-центр, e-mail-сервис).
- Уведомление РКН: цель/категории/трансграничка — в актуальном виде.
- Реагирование на инциденты: регламент + форма уведомления РКН об утечке.
- DPIA/оценка рисков для новых проектов (особенно ИИ/поведенческая аналитика).
Кейс из практики. После аудита интернет-магазин убрал «скрытые согласия», внедрил баннер, прописал SDK, заключил допсоглашения с кол-центром/логистами, подал/обновил уведомление РКН — прошёл контроль без протокола.
Что и как проверяет Роскомнадзор в 2025
- Наличие отдельного согласия с 01.09.2025.
- Корректность обезличивания (методы по Приказу № 140).
- Уведомления (ст. 22 152-ФЗ): подано ли; актуально ли; указан ли перечень получателей.
- Реакция на утечки и факт уведомления РКН.
- Политика обработки персональных данных на сайте и соответствие факту.
Как привести документы в порядок (структура «под ключ»)
А. Согласие на обработку персональных данных (отдельный файл)
- Точное наименование оператора (ИНН/ОГРН, адрес, контакты DPO/ответственного).
- Цели обработки: узкие и проверяемые (например: «обработка заказов в интернет-магазине», «рассылка маркетинговых предложений по e-mail»).
- Состав данных по целям (ФИО, e-mail, телефон, адрес доставки, данные заказа; для маркетинга — идентификаторы cookies/IDFA/GAID).
- Действия с ПДн (полный перечень из ст. 3 152-ФЗ + трансграничка при наличии).
- Получатели (конкретные организации либо категории + ссылки на политику).
- Срок хранения/критерии удаления, порядок отзыва.
- Подпись: собственноручная или электронная (в т. ч. простая ЭП при надлежащем присоединении).
- Связка с политикой/реестром трекеров и уведомлением РКН.
Б. Политика обработки ПДн (для сайта/мобильного приложения)
- Отдельные разделы по источникам данных (формы, лог-файлы, SDK), правовым основаниям, cookies/пикселям, трансграничной передаче, правам субъектов.
- Карта обработчиков и перечень категорий получателей.
- Процедура реализации прав субъекта (доступ, исправление, отзыв, удаление).
- Сроки хранения по целям + фактические практики архивирования/обезличивания.
В. Договоры с обработчиками/партнёрами
- Поручение обработки (цели, состав данных, меры защиты, запрет ре-передачи, возврат/удаление по окончании).
- SLA по инцидентам и утечкам, уведомления в РКН и субъектам.
- Трансграничные условия и локализация хранения.
Г. Техпроцедуры
- Метод обезличивания по Приказу № 140 + протоколы верификации.
- Регламент управления согласиями (центр предпочтений, логи).
- План реагирования на утечки (24–72 часа на первичную оценку и уведомления).
Частые вопросы (и короткие ответы)
Нужно ли перевыбирать согласия, выданные до 01.09.2025?
Нет, ранее выданные действуют, но новые должны оформляться отдельно. Проверьте шаблоны на всех точках сбора.
Можно ли использовать обезличенные данные для обучения моделей без согласий?
Да, при корректном обезличивании и соблюдении ст. 13.1; будьте готовы доказать невозможность повторной идентификации.
Что будет, если не подать уведомление в РКН?
Отдельный состав КоАП: 100 000–300 000 ₽ для ИП/юрлиц, плюс риски по другим частям ст. 13.11 при нарушениях.
Если произошла утечка — уведомлять всегда?
Да, теперь за неуведомление — отдельный миллионный штраф; масштаб утечки влияет на размер санкций.
Юридические основания и документы (основные источники)
-
ФЗ от 24.06.2025 № 156-ФЗ: дополнил ч. 1 ст. 9 152-ФЗ требованием отдельного согласия; вступило в силу с 01.09.2025.
-
Материалы РБК/Гарант по новому требованию отдельного согласия и разъяснениям практики.
-
ФЗ от 08.08.2024 № 233-ФЗ: новая ст. 13.1 о составе обезличенных данных и их передаче в государственную ИС; ключевые положения действуют с 01.09.2025.
-
Приказ Роскомнадзора № 140 от 19.06.2025: требования и методы обезличивания (вступил в силу 01.09.2025).
-
ФЗ от 30.11.2024 № 420-ФЗ и актуальная ст. 13.11 КоАП РФ: усиление ответственности с 30.05.2025, спецсоставы, оборотные штрафы.
Почему Вам выгодно делегировать это юристу-практику с ИТ-уклоном
- Мы не переписываем «рыбу», а проектируем правовые основания из процессов:
- какие данные, где и зачем Вы берёте;
- что храните; что передаёте;
- какие SDK и куки реально стоят в коде.
- Готовим комплект под проверку РКН: согласия, политика, договоры-поручения, DPIA-шаблон, журнал инцидентов, чек-лист по обезличиванию (Приказ № 140).
- Настраиваем cookie-баннер и центр предпочтений (consent management) так, чтобы маркетинг не «упал», а риски — да.
- Разгребаем «хвосты»: подача/актуализация уведомления РКН, реестр обработчиков, трансграничка.
Примерный «пакет 2025» (что получите на выходе)
- Политика обработки персональных данных (для сайта и мобильного приложения).
- Отдельные согласия: клиентское (онлайн-формы), маркетинговое, HR, видео/биометрия, колл-трекинг.
- Договоры и допсоглашения с обработчиками (CRM, кол-центр, логистика, рассылки, аналитика).
- Регламенты: управление согласиями, обработка запросов субъектов, план реагирования на утечки.
- Документы по обезличиванию: метод, обоснование, протокол проверки (Приказ № 140).
- Подготовка и подача/актуализация уведомления Роскомнадзора (ст. 22 152-ФЗ).
