Согласие на обработку персональных данных: образец 2026 и новые правила в Нурсултан

Согласие на обработку персональных данных — самый частый документ, который просят составить и самый частый, который составляют неправильно. Одни ставят галочку в конце договора и считают вопрос закрытым. Другие скачивают «бланк» с первого сайта и не замечают, что в нём нет половины сведений, которые требует закон. В 2026 году такая небрежность стоит денег: штрафы для юридических лиц — от сотен тысяч рублей.

Ключевое изменение последнего времени: с 01.09.2025 согласие оформляется отдельно от иных документов, которые подписывает или подтверждает человек. Пункт «согласен на обработку» внутри договора, анкеты или оферты больше не годится. Ниже разбираем, когда согласие вообще нужно (а нужно далеко не всегда), что должно в нём быть по ч. 4 ст. 9 152-ФЗ, как оформить его на бумаге, с электронной подписью и на сайте, чем отличается согласие на распространение и как его отзывать. Есть два образца — для работника и для клиента. Материал рассчитан на организации и предпринимателей в Нурсултан и по всей России.

Когда согласие нужно, а когда без него можно

Частая ошибка — считать, что без согласия данные обрабатывать нельзя вообще. Это не так. Согласие — только пункт 1 части 1 статьи 6 152-ФЗ. Остальные основания (пп. 2–11) позволяют работать без подписи человека. Главные:

Договор как основание не безразмерный: по п. 5 ч. 1 ст. 6 он не может ограничивать права субъекта. Запрашивать лишнее нельзя и по ст. 5: объём данных должен соответствовать целям. А если данные собраны по договору, а вы хотите использовать их для рассылки, это другая цель и нужно отдельное согласие.

Проверьте, не требует ли закон именно письменного согласия: это спецкатегории данных (здоровье, национальность, убеждения и т. п. — ч. 2 ст. 10) и биометрия для установления личности (ч. 1 ст. 11).

Что изменилось с 01.09.2025: согласие отдельно от всего остального

Федеральный закон от 24.06.2025 № 156-ФЗ изменил часть 1 статьи 9. С 01.09.2025 она требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным и чтобы оно оформлялось отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект.

На практике это означает следующее.

• Нельзя писать «подписывая договор, вы даёте согласие на обработку» и тем более прятать согласие в пункт 12.4 оферты.
• Нельзя совмещать согласие с анкетой, заявлением о приёме на работу, согласием с условиями сервиса или подтверждением ознакомления с правилами.
• Можно дать человеку отдельный лист (или отдельное окно на сайте) с одним смыслом: «разрешаю обработку моих данных для таких-то целей». Подписать его можно в один день с договором, но это самостоятельный документ.

Из чего состоит согласие: перечень сведений по ч. 4 ст. 9

Когда закон прямо требует письменного согласия, оно должно включать, в частности, девять групп сведений (перечень в законе открытый, но эти пункты обязательны). За нарушение состава сведений по ч. 2 ст. 13.11 КоАП наказывают так же, как за обработку вовсе без письменного согласия.

Чаще всего упускают три вещи: размытую цель (тогда согласие перестаёт быть «конкретным и предметным»), формулу «и другие сведения» вместо перечня данных и подрядчика, которому вы передаёте данные по поручению: его нужно назвать в согласии.

Формы согласия: бумага, электронная подпись, сайт

Часть 1 ст. 9 разрешает любую форму, позволяющую подтвердить факт получения согласия, если иное не установлено федеральным законом. Письменная форма — исключение для тех случаев, где закон её прямо называет. Отсюда три основных способа.

Согласие на сайте: что можно и что нельзя

Для обычных данных (имя, телефон, e-mail в форме заявки) согласие чекбоксом допустимо, если вы можете подтвердить, что человек его дал. Ведите журнал: дата и время, версия текста, адрес страницы, идентификатор записи. Это практика, но она нужна, чтобы выполнить ч. 3 ст. 9.

• Можно: отдельный чекбокс «Я даю согласие на обработку моих персональных данных на условиях политики» рядом с кнопкой, не связанный с другими подтверждениями; ссылка на политику и на текст согласия.
• Нельзя: предустановленная галочка и «нажимая кнопку, вы соглашаетесь» — это не однозначное и не сознательное волеизъявление. Для согласия на распространение закон прямо говорит, что молчание или бездействие согласием не считается (ч. 8 ст. 10.1).
• Нельзя: один чекбокс «Принимаю условия оферты и даю согласие на обработку данных» — это нарушение правила об отдельности.
• Нельзя: чекбокс там, где нужна письменная форма (спецкатегории, биометрия)

Образец согласия работника

Для работников большая часть обработки идёт без согласия: по закону и по трудовому договору (пп. 2 и 5 ч. 1 ст. 6). Согласие нужно, когда вы делаете что-то сверх этого, например передаёте данные третьей организации или обрабатываете сведения о здоровье. Не включайте его в трудовой договор: оно должно быть отдельным листом.

При адаптации следите, чтобы цель и перечень данных совпадали, а блок «лицо по поручению» удалите, если передачи нет.

Образец согласия клиента (покупателя, заказчика)

Исполнение заказа (имя, телефон, адрес доставки) делается по договору (п. 5 ч. 1 ст. 6) и согласия не требует; маркетинговое использование этих же данных требует. Дайте клиенту отдельную форму, а не абзац в оферте.

Согласие на распространение: отдельный документ по ст. 10.1

Распространение — это раскрытие данных неопределённому кругу лиц (п. 5 ст. 3): публикация на сайте, в соцсетях, на стенде, в каталоге. Если человек сам не раскрыл свои данные, вам нужно особое согласие по ст. 10.1, и оно отдельное и от обычного согласия, и от прочих документов (ч. 1 ст. 10.1).

• Человек вправе определить, какие именно данные из каждой категории можно распространять, и установить запреты и условия на передачу и обработку. Отказать ему в установлении запретов оператор не вправе (ч. 9 ст. 10.1).
• Если из согласия не следует, что человек разрешил распространение, или не указаны запреты и условия — данные обрабатывают без права распространения. Молчание и бездействие согласием не являются (чч. 4–5, 8 ст. 10.1).
• Согласие даётся оператору напрямую или через информационную систему Роскомнадзора (чч. 6–7 ст. 10.1). Требования к содержанию такого согласия устанавливает Роскомнадзор — перед использованием проверьте актуальный приказ.
• Опубликовать информацию об условиях обработки и о запретах нужно не позднее 3 рабочих дней с получения согласия (ч. 10 ст. 10.1). Это срок, который чаще всего пропускают.
• Требование прекратить передачу исполняется в течение 3 рабочих дней (ч. 14 ст. 10.1); согласие прекращается с момента получения требования.

Пример: портреты сотрудников на странице «Команда» или фото победителей олимпиады на сайте школы. Для этого нужно отдельное согласие на распространение, а не строка в трудовом договоре. Для несовершеннолетних правила дееспособности определяет гражданское законодательство: в 152-ФЗ правила «с 14 лет» нет.

Отзыв согласия и что делать после него

• Согласие можно отозвать (ч. 2 ст. 9). Способ отзыва описывается в самом согласии (пункт 8 таблицы) и должен быть реальным.
• После отзыва оператор вправе продолжить обработку без согласия, но только при наличии другого основания из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11 (например, договор ещё действует).
• Если других оснований нет, обработку нужно прекратить и, если хранение не требуется, уничтожить данные в срок 30 дней (ч. 5 ст. 21).

Сколько стоит ошибка: ответственность по ст. 13.11 КоАП

Прямо по теме согласия — две части статьи 13.11 КоАП. Обработка без согласия там, где оно необходимо, но письменной формы закон не требует, чаще всего квалифицируется по ч. 1 (обработка в не предусмотренных законом случаях); отсутствие письменного согласия, когда оно обязательно, и нарушение состава его сведений — по ч. 2.

Бремя доказывания лежит на операторе (ч. 3 ст. 9): если на проверке вы не можете показать согласие и его дату, считается, что его нет.

Типовые ошибки

• ✗ Согласие внутри договора, анкеты или оферты. → С 01.09.2025 — отдельным документом или отдельной формой на сайте.
• ✗ «Для любой обработки нужна письменная подпись». → Письменная форма — только там, где закон её требует (спецкатегории, биометрия). Для остального — любая форма, позволяющая подтвердить факт, но отдельно от других документов.
• ✗ Просить согласие там, где достаточно договора или закона. → Определите основание по ст. 6.
• ✗ Размытая цель и «все имеющиеся данные». → Конкретная цель и перечень; лишнее не запрашивайте.
• ✗ Согласие на распространение «в составе общего» и без запретов. → Отдельный документ, возможность установить запреты, публикация условий в течение 3 рабочих дней.

Чем поможет МелданаСБ

Мы готовим правовой и организационный пакет по персональным данным: формы согласий отдельным документом, политику обработки, приказы, поручения на обработку и уведомление в Роскомнадзор. Документы готовит специалист на основе отработанных типовых решений; работаем дистанционно, поэтому для организаций в Нурсултан и других регионах условия одинаковые. Техническую часть (уровень защищённости, модель угроз) ведём в формате методического сопровождения: даём шаблон, указания и проверяем, а документ утверждает заказчик, либо подключаем партнёра-лицензиата ФСТЭК.

Частые вопросы

Дальше по теме: основание для всех публикаций и форм — политика обработки ПДн; без неё сбор данных на сайте нарушает закон. Если вы ещё не подали уведомление, посмотрите услугу по уведомлению в РКН, а бланки и образцы документов собраны в разделе «образцы документов». Текст ст. 9 — на consultant.ru; если сомневаетесь, свяжитесь с нами.