Откройте форму заказа почти любого интернет‑магазина. Под полями две‑три галочки: согласие на обработку персональных данных, согласие на рассылку, согласие с офертой. Пока все не отмечены, кнопка «Оплатить» серая. Спросите, зачем так, и ответ почти всегда будет один: юрист сказал, что без согласия нельзя, а лишнее согласие точно не повредит.
Тогда встречный вопрос: на каком основании магазин будет доставлять заказ, если покупатель отзовёт согласие на следующий день? Правильный ответ — на основании договора купли‑продажи. И сразу непонятно, зачем было согласие.
Главное: согласие — лишь одно из оснований обработки, причём самое хрупкое, потому что человек может отозвать его в любой момент. Если ваш процесс держится только на согласии, он держится на честном слове клиента.
Каталог всех оснований мы уже разбирали в отдельной статье. А теперь о другом: почему бизнес собирает согласия там, где они не нужны, и во что ему это обходится.
Содержание
Миф 1. «Без согласия обрабатывать персональные данные нельзя»
Миф 6. «Камеры и копия паспорта — это биометрия, нужны письменные согласия»
Миф 1. «Без согласия обрабатывать персональные данные нельзя»
Откуда миф, понятно: перечень законных случаев обработки открывается именно согласием (п. 1 ч. 1 ст. 6 152-ФЗ). Но дальше в той же части идут ещё одиннадцать действующих пунктов, и никакой иерархии закон между ними не выстраивает.
Для обычного бизнеса рабочих из них три:
Закон обязывает. Налоговая отчётность, воинский учёт, сведения в СФР — вы делаете это не по доброй воле работника (п. 2 ч. 1 ст. 6).
Договор. Доставить заказ, оформить заявку, которую клиент сам отправил, выставить счёт (п. 5 ч. 1 ст. 6).
Законный интерес. Обработка должна быть необходима для прав и законных интересов оператора, и при этом не должны нарушаться права человека (п. 7 ч. 1 ст. 6). Возврат просроченной задолженности сам пункт упоминает прямо, в остальных случаях интерес придётся обосновать.
Среди остальных пунктов — суд и исполнительное производство, защита жизни и здоровья, журналистика, исследования с обязательным обезличиванием (п. 3, 3.1, 6, 8, 9 ч. 1 ст. 6).
Что говорит регулятор
Обратите внимание на подсказку к форме уведомления. Роскомнадзор там прямо пишет: 152-ФЗ не является правовым основанием обработки. В качестве оснований РКН приводит, например, согласие, договор и требования законодательства, а полный перечень — это ч. 1 ст. 6. В самом уведомлении основание указывают для каждой цели отдельно (ч. 3.1 ст. 22 152-ФЗ).
Как правильно: от цели к основанию
Начинать надо не с бланка согласия, а с вопроса «зачем нам эти данные». Для каждой цели ищем основание, и согласие проверяем последним. Это не порядок из закона — закон приоритетов не задаёт, — а рабочий метод, который не даёт собрать лишнее:
Результат удобно держать в таблице «цель — данные — основание с номером пункта — документ — срок». Её же вы потом перенесёте в политику об обработке ПДН и в уведомление.
Миф 2. «Лишнее согласие не помешает — это перестраховка»
Согласие не нейтральная бумага. Как только вы его берёте, закон начинает предъявлять к нему требования, и каждое — новое место, где можно ошибиться.
Четыре требования, которые появляются вместе с согласием
Отдельный документ. С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ). Пункт в оферте или абзац в договоре больше не годятся. На сайте это обычно выглядит так: текст согласия — на отдельной странице или во всплывающем окне, а дать его человек может только отдельным действием, собственной галочкой. Десять лишних согласий — десять документов, которые надо сверстать, хранить и обновлять.
Конкретность и свобода. Согласие даётся «свободно, своей волей и в своём интересе» и должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9). Согласие «на любые действия в любых целях» под эти признаки не подходит. А согласие, без которого не продают товар, трудно назвать свободным.
Доказывание. Получение согласия доказывает оператор (ч. 3 ст. 9). Значит, нужно хранить, кто, когда и под каким текстом поставил галочку, — по каждому клиенту и каждой версии формы. Для договорной цели опорой служит сам договор — если обрабатываются только те данные и только так, как нужно для его заключения и исполнения.
Ложный выбор. Если человек не может отказаться — например, от передачи сведений в налоговую, — просить у него «согласие» может ввести его в заблуждение. Закон требует обратного: если федеральный закон делает предоставление данных обязательным, оператор разъясняет последствия отказа (ч. 2 ст. 18).
Чем это заканчивается
Главный риск: если обработка держалась только на согласии, а оно оказалось недействительным, обработка остаётся без основания. Это ч. 1 ст. 13.11 КоАП — для организации от 150 до 300 тыс. ₽. Если согласие по закону должно было быть письменным, счёт идёт уже по ч. 2 (об этом ниже, в разделе «Где согласие обычно требуется»).
Как правильно: текст вместо галочки
Там, где основание — договор или закон, чекбокс согласия можно заменить честным текстом рядом с формой: «Данные, которые вы указываете, мы используем, чтобы выполнить заказ. Подробнее — в Политике обработки персональных данных». Галочка «согласен» здесь основания не добавляет. Остальные обязанности оператора — политика, защита, сроки хранения — от этого, конечно, никуда не деваются.
Миф 3. «Отзовут согласие — удалим, и дело с концом»
Представьте фитнес‑клуб. Клиент с годовым абонементом присылает письмо: «Отзываю согласие на обработку моих персональных данных». Администратор открывает его карточку в CRM и замирает над кнопкой «Удалить». Удалишь — завтра клиент придёт на тренировку, а турникет его не пустит. Не удалишь — вдруг это нарушение?
Ответ зависит от того, на чём держалась обработка.
Если есть другое основание — продолжаете, но только в его пределах. При отзыве согласия оператор вправе обрабатывать данные дальше, если есть основания из п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11 (ч. 2 ст. 9 152-ФЗ). Действующий абонемент — это договор, п. 5. Обслуживание продолжается, а вот рассылка акций прекращается: для неё основания, кроме согласия, нет.
Если другого основания нет — прекращаете обработку и, если данные больше не нужны для целей обработки, уничтожаете их в течение 30 дней с даты получения отзыва (ч. 5 ст. 21). Продолжать «как было» — это обработка без основания, та же ч. 1 ст. 13.11 КоАП.
Где спотыкаются
Есть нюанс, на котором спотыкаются чаще всего. Если в политике и в уведомлении Роскомнадзору у всех целей стоит «на основании согласия», ваши же документы говорят против вас. Доказывать наличие другого основания придётся оператору (ч. 3 ст. 9), и расхождение между бумагой и практикой придётся объяснять.
Отсюда практический вывод: основание для каждой цели лучше определить заранее и записать, а не вспоминать в день, когда пришёл отзыв.
Миф 4. «Без галочки согласия заказ не оформить»
Вернёмся к форме из начала. Для самого заказа согласие, как правило, не нужно: обработка необходима для исполнения договора, стороной которого является покупатель (п. 5 ч. 1 ст. 6). Имя, телефон, адрес доставки — обычно ровно то, без чего договор не исполнить.
Что не так с обязательной галочкой
Она создаёт сразу несколько проблем.
Потребительское право. Продавец не вправе отказывать в заключении договора из‑за отказа предоставить персональные данные — кроме случаев, когда их предоставление требует закон или они непосредственно связаны с исполнением договора (ч. 4 ст. 16 Закона «О защите прав потребителей»). Норма про данные, а не про согласие напрямую, но логика та же: условие покупки не должно выходить за рамки нужного для покупки.
Практика. Страховщик включил в договор пункт «подписывая договор, страхователь предоставляет страховщику и третьим лицам право обрабатывать персональные данные…». Роспотребнадзор оштрафовал его по ч. 2 ст. 14.8 КоАП как за условие, ущемляющее права потребителя.
Суды указали, что у потребителя не было выбора — дать согласие или отказаться, а цели выходили за пределы страхования. Верховный суд жалобу к рассмотрению не передал (Определение ВС РФ от 05.10.2018 № 306-АД18-16256). Штраф по этой статье для организации небольшой — от 10 до 20 тыс. ₽. Но это уже второй надзорный орган, который может прийти к вам по поводу согласий.
Реклама — всегда отдельно
Самое уязвимое место — когда согласие на рассылку склеено с согласием на обработку или стоит обязательной галочкой. Для рекламы по телефону, SMS и email нужно предварительное согласие адресата (ч. 1 ст. 18 Закона «О рекламе»), а для прямых контактов с целью продвижения — предварительное согласие по ч. 1 ст. 15 152-ФЗ. Доказывать согласие придётся в обоих случаях: по 152-ФЗ — оператору, по Закону «О рекламе» — рекламораспространителю. Обычно это одна и та же компания, но не всегда.
Обратите внимание: заранее отмеченная галочка — плохое доказательство. Согласие должно быть однозначным (ч. 1 ст. 9), а договор с человеком не может делать его бездействие условием заключения договора (п. 5 ч. 1 ст. 6).
Как правильно: форма заказа
Если форма собрана в конструкторе, проверьте, что он не ставит обязательный чекбокс сам.
Миф 5. «Сотрудник должен подписать согласие на всё»
Первый рабочий день. Новичку кладут на стол стопку: трудовой договор, пять приказов и «согласие на обработку персональных данных» на две страницы — с паспортом, данными детей, сведениями о здоровье. Он подписывает не читая, потому что так делают все.
Большая часть этого согласия не нужна. Работодатель обрабатывает данные работника, потому что обязан по закону (п. 2 ч. 1 ст. 6) и исполняет трудовой договор (п. 5 ч. 1 ст. 6).
Даже сведения о здоровье, которые относятся к спецкатегории, можно обрабатывать без согласия, если это делается по трудовому законодательству (п. 2.3 ч. 2 ст. 10 152-ФЗ). Но только в пределах, которые задаёт ТК: о здоровье можно запрашивать лишь то, что относится к возможности выполнять трудовую функцию (абз. 7 ст. 88 ТК РФ).
Где согласие работника действительно нужно
Вот четыре самых частых случая, когда согласие работника понадобится; перечень не исчерпывающий — биометрия и спецкатегории вне исключений описаны ниже. В первых трёх ТК прямо требует письменную форму:
Передача третьей стороне, кроме случаев, предусмотренных ТК или другим федеральным законом, и предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ).
Передача в коммерческих целях (абз. 3 ст. 88 ТК РФ).
Получение сведений у третьих лиц, если получить их можно только там, — например, запрос характеристики с прошлого места работы. Работника уведомляют заранее и берут письменное согласие (п. 3 ч. 1 ст. 86 ТК РФ).
Публикация: фото и ФИО на сайте, поздравления на стенде у проходной, который видят посетители. Когда данные доступны неопределённому кругу лиц, это распространение, для него нужно отдельное согласие на распространение — отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ), если нет иного основания — например, публикации по федеральному закону. Письменной формы закон здесь не требует, но согласие работника на бумаге проще доказать.
Честная формулировка для работника: «Данные для трудовых отношений мы обрабатываем на основании ТК РФ и трудового договора. Отдельно просим согласие на: …» — и короткий список.
Подробнее про согласия сотрудников — в этой статье. Если кадры или бухгалтерия у вас на аутсорсе, это отдельный случай: разбирали его в статье про подрядчиков.
Миф 6. «Камеры и копия паспорта — это биометрия, нужны письменные согласия»
Биометрия — это не любое фото. Закон относит к биометрическим персональным данным сведения о физиологических особенностях человека, которые используются оператором для установления личности (ч. 1 ст. 11 152-ФЗ). Ключевое — последнее условие.
Роскомнадзор ещё в 2013 году разъяснил, как это работает на практике:
Видеонаблюдение в магазине, офисе, на охраняемой территории — не биометрия, пока запись не передали для установления личности. Посетителей предупреждают табличками, и тогда, по позиции РКН, согласие не требуется. Работников, по позиции РКН, уведомляют о введении видеонаблюдения под роспись в порядке ст. 74 ТК РФ.
Скан или копия паспорта при заключении договора — не биометрия, если процедуры установления личности по фото нет.
Фото в личном деле работника — тоже не биометрия.
Что остаётся на вас
Важно: «не биометрия» снимает только особый режим ст. 11. Основание для обработки записи всё равно нужно определить. Для охраны имущества и безопасности это, как правило, законный интерес (п. 7 ч. 1 ст. 6) — с той же проверкой необходимости и баланса прав — или требование закона, если объект обязан вести видеонаблюдение. Табличка лишь информирует людей.
Отдельный вопрос — нужна ли вам копия паспорта вообще. Данные не должны быть избыточными по отношению к заявленной цели (ч. 5 ст. 5), и копия «на всякий случай» под это требование не подходит.
А вот где согласие нужно. Турникет с распознаванием лиц — биометрия в чистом виде, нужно письменное согласие (ч. 1 ст. 11). Исключения из ч. 2 ст. 11 — правосудие, оборона, безопасность и подобное — обычному бизнесу, как правило, не подходят. По позиции РКН туда же относится фото в СКУД, по которому охранник сверяет, что пропуск предъявляет его владелец.
Где согласие обычно требуется
Теперь короткий список ситуаций, в которых другого основания обычно нет. У каждой есть исключения, прямо предусмотренные законом, но обычному бизнесу они, как правило, не подходят:
Реклама и продвижение прямыми контактами по телефону, SMS, email → предварительное согласие (ч. 1 ст. 15 152-ФЗ; ч. 1 ст. 18 Закона «О рекламе»)
Биометрия для установления личности → письменное, исключения — ч. 2 ст. 11 (ч. 1 ст. 11)
Спецкатегории (здоровье, убеждения и тому подобное) вне исключений ч. 2 ст. 10 → письменное (п. 1 ч. 2 ст. 10)
Публикация данных неопределённому кругу лиц → отдельное согласие на распространение (ч. 1 ст. 10.1), если нет иного основания — например, публикации по федеральному закону или деятельности СМИ (п. 11 и п. 8 ч. 1 ст. 6)
Автоматическое решение без человека с юридическими последствиями, например отказ по скорингу → письменное, если иное не предусмотрено федеральным законом (ч. 2 ст. 16)
Данные работника третьим лицам вне случаев из закона, в коммерческих целях, получение у третьих лиц → письменное (абз. 2–3 ст. 88, п. 3 ч. 1 ст. 86 ТК РФ)
Для всего остального сначала ищите основание в ч. 1 ст. 6 — по схеме из раздела про миф 1.
Письменная форма и штраф
Письменная форма нужна только там, где её прямо требует федеральный закон (ч. 4 ст. 9). У неё есть обязательное содержание: паспортные данные и адрес субъекта, цель, перечень данных и действий, срок и способ отзыва, подпись.
Если письменное согласие обязательно, а его нет или в нём не хватает обязательных сведений, это ч. 2 ст. 13.11 КоАП: для организации от 300 до 700 тыс. ₽, при повторе — от 1 до 1,5 млн ₽ (ч. 2.1).
Где «зависит»
Законный интерес (п. 7). Основание рабочее, но критериев «права субъекта не нарушаются» закон не даёт. Если опираетесь на него, запишите, какой именно интерес и почему он не ущемляет человека. Для рекламных звонков и рассылок п. 7 не подходит: на них есть специальная норма, ч. 1 ст. 15.
Контактные лица контрагентов. Менеджер поставщика — не сторона вашего договора, поэтому п. 5 к нему применим с оговорками. Прямого ответа в законе нет. Рабочий вариант по умолчанию — законный интерес (п. 7): вам нужно связываться с контрагентом, а деловая переписка права его менеджера обычно не ущемляет. Запишите это основание в реестр целей. Собирать бумажное согласие с каждого менеджера контрагента обычно избыточно, но в спорном случае лучше сверить подход с юристом.
Поручение обработки подрядчику. Норма буквально говорит о поручении «с согласия субъекта, если иное не предусмотрено федеральным законом» (ч. 3 ст. 6). При этом сам подрядчик‑обработчик согласие получать не обязан (ч. 4 ст. 6). Как это применять, разбирали в статье про подрядчиков.
Фото в СКУД. Позиция РКН об отнесении такого фото к биометрии сформулирована в 2013 году. Технологии с тех пор изменились, и безопаснее исходить из неё, пока не появится новая.
Как провести ревизию согласий за один день
Шаг 1. Соберите всё, где вы берёте согласие: формы на сайте, в приложении, в CRM, бланки при приёме на работу, договоры, оферты.
Шаг 2. Для каждого согласия назовите цель одной фразой. Если целей несколько — разделите.
Шаг 3. Для каждой цели найдите основание по схеме из мифа 1. Согласие — только если не подошло ничего другое.
Шаг 4. Уберите согласия там, где после проверки цели, состава данных и получателей основание — договор или закон, и замените их информированием (см. «Как правильно» в мифе 2).
Шаг 5. Оставшиеся согласия проверьте: отдельный документ, конкретная цель, для рекламы — неотмеченная галочка, для случаев из списка «где согласие обычно требуется» — нужная форма (разделы про мифы 2 и 4 и список выше).
Шаг 6. Обновите политику и уведомление в Роскомнадзор: основание для каждой цели должно совпадать с тем, что вы сделали на практике (см. миф 1).
Итого
Согласие — хороший инструмент там, где у человека есть реальный выбор: получать рекламу или нет, публиковать фото или нет. Там, где выбора нет, согласие превращается в ритуал, который добавляет требований и рисков, но не защищает.
Чек‑лист:
☐ У каждой цели обработки названо основание с номером пункта ч. 1 ст. 6
☐ Нигде в документах основанием не указан «152-ФЗ»
☐ Для заказа и заявок на покупку нет обязательной галочки согласия
☐ Согласие на рекламу — отдельная неотмеченная галочка
☐ Каждое согласие оформлено отдельным документом
☐ Согласие работников не используется как основание для того, что работодатель обязан делать по закону
☐ Для передачи данных работников, публикаций и биометрии согласия есть и в нужной форме — если к вам не относится исключение из закона
☐ Есть порядок на случай отзыва: что продолжаем, что прекращаем, что уничтожаем в течение 30 дней
☐ Основания в политике и уведомлении РКН совпадают с практикой
Это практическое объяснение, а не юридическая консультация. Спорные случаи лучше сверить с юристом.
Если хотите узнавать больше про 152-ФЗ и держать руку на пульсе, можно подписаться на мой телеграм‑канал или MAX‑канал. Там сейчас разбираем по пунктам заполнение уведомления в РКН.
