Согласие на обработку персональных данных: как оформить правильно в 2026 году

Что такое согласие и когда оно нужно

По 152-ФЗ обработка персональных данных допускается только при наличии законного основания. Согласие субъекта — самое понятное и распространённое из них: человек добровольно разрешает оператору обрабатывать его данные для конкретной цели. Есть и другие основания (исполнение договора, требование закона, защита жизни), но там, где вы не можете сослаться на них напрямую, нужно именно согласие на обработку персональных данных.

Простой ориентир: согласие нужно, когда вы используете данные шире, чем строго необходимо для запрошенной человеком услуги. Чтобы доставить заказ, согласие на сам адрес обычно не требуется — это исполнение договора. А вот чтобы потом слать этому человеку рекламную рассылку или передать его контакт партнёру, нужно отдельное, добровольное согласие. Кто вообще считается оператором и обязан всё это оформлять — разобрано в гайде о том, кто подаёт уведомление в Роскомнадзор.

Обязательные элементы согласия

Закон предъявляет к согласию три требования: оно должно быть конкретным, информированным и сознательным. На практике это разворачивается в перечень реквизитов, которые обязаны быть в тексте. Проверьте своё согласие на обработку персональных данных по таблице ниже.

Формы согласия: галочка, письменное, отдельное

Форма согласия зависит от того, какие данные и с какой целью вы обрабатываете. Ошибка «собрали согласие не той формы» стоит так же дорого, как отсутствие согласия вовсе. Ниже — когда какая форма нужна.

«Письменное» согласие сегодня — это не обязательно бумага с ручной подписью: закон допускает и электронную форму, приравненную к письменной (например, подписанную электронной подписью). Ключевое — усиленный состав реквизитов и доказуемость, а не физический носитель.

Как оформить корректное согласие: 5 шагов

Соберём всё вместе. Этот порядок одинаково работает и для формы на сайте, и для бумажного бланка: он гарантирует, что согласие на обработку персональных данных будет и юридически действительным, и доказуемым.

1. Определите цель и объём обработки. Сначала честно ответьте, зачем вам данные и какие именно: имя и телефон для обратного звонка — это одна цель, рассылка акций — другая, передача в CRM партнёра — третья. Согласие на обработку персональных данных всегда привязано к конкретной цели, поэтому «на всякий случай, чтобы делать с данными что угодно» — недействительная формулировка. Сначала цель, затем минимально необходимый перечень данных под неё.
2. Соберите обязательные элементы согласия. Согласие должно быть конкретным, информированным и сознательным. Это значит, что в тексте обязаны быть: кто вы (оператор с реквизитами), чьё это согласие (ФИО субъекта), цель обработки, перечень данных, перечень действий с ними, срок действия и порядок отзыва. Пропущенный элемент делает согласие уязвимым: при проверке его могут признать не полученным вовсе.
3. Выберите форму под тип данных. Для обычной обработки закон допускает любую форму, из которой видно, что человек согласие дал, — включая «галочку» на сайте. Но для отдельных случаев (специальные категории, биометрия, распространение данных, иногда трансграничная передача) нужно письменное согласие с усиленными реквизитами или вообще отдельный документ. Определите свой случай заранее, чтобы не собрать согласие «не той» формы.
4. Не смешивайте согласия и не ставьте галочку заранее. Одно согласие — одна цель. Нельзя одной галочкой получить согласие и на обработку для заказа, и на рекламную рассылку, и на передачу партнёрам: согласие на распространение и на рекламу оформляется отдельно и добровольно. Предзаполненный (заранее отмеченный) чекбокс не считается согласием — субъект должен совершить активное действие сам.
5. Зафиксируйте факт и храните доказательства. Согласие нужно не только получить, но и суметь доказать, что оно было. Для сайта это лог с датой, временем, текстом согласия и версией политики, которую видел пользователь; для бумаги — подписанный экземпляр. Храните подтверждения весь срок обработки и разумное время после, чтобы при запросе Роскомнадзора или субъекта показать, что согласие на обработку персональных данных действительно получено.

Согласие на сайте: как сделать «галочку» законной

Большинство операторов собирают согласие на обработку персональных данных именно через сайт — форму заявки, подписки, регистрации или оплаты. Такая форма законна, если соблюдены несколько правил:

• Рядом с формой — активный чекбокс согласия, не отмеченный заранее: пользователь ставит его сам.
• У чекбокса — ссылка на политику обработки персональных данных и на текст согласия, доступные до отправки.
• Согласие на рассылку и на передачу партнёрам вынесено в отдельные чекбоксы, а не «зашито» в один.
• Отправка формы фиксируется в логе: дата, время, текст согласия и версия политики, которую видел пользователь.
• Отправка без отметки согласия технически невозможна — иначе доказать согласие не получится.

Если сайт собирает данные вообще без согласия и политики — это не «мелочь на потом», а прямой риск штрафа. Во сколько обходятся такие нарушения, разобрано в гайде о штрафах за персональные данные.

Отзыв согласия

Право отозвать согласие — обязательная часть конструкции. Субъект может в любой момент отозвать согласие на обработку персональных данных, причём тем же простым способом, каким давал, и без объяснения причин. Оператор обязан этот отзыв принять и обработать.

После отзыва согласия оператор должен:

• прекратить обработку, которая держалась именно на этом согласии;
• уничтожить персональные данные в установленный законом срок — если нет другого законного основания их хранить;
• при наличии такого основания (например, требования закона к срокам хранения документов) — продолжить хранить только то и только столько, сколько предписано.

Поэтому понятный порядок отзыва стоит заранее прописать и в самом согласии, и в политике: это одновременно требование закона и способ снять большую часть претензий субъектов и вопросов регулятора.

5 частых ошибок в согласиях

• «Одна галочка на всё» — согласие на услугу, рекламу и передачу партнёрам смешаны в один чекбокс. Их нужно разделять: одно согласие — одна цель.
• «Галочка проставлена заранее» — предзаполненный чекбокс не считается согласием, субъект должен отметить его активным действием.
• «Цель — любая» — размытая формулировка «для любых целей» делает согласие неконкретным и недействительным.
• «Взяли чужой шаблон» — в согласии остались реквизиты другого оператора или отсутствуют обязательные элементы под вашу обработку.
• «Не храним подтверждения» — согласие получили, но не зафиксировали; доказать его при проверке нечем, значит, юридически его нет.

Читайте также

• Обработка персональных данных без согласия — когда согласие вообще не нужно (договор, закон).
• Биометрические персональные данные — где нужно особое письменное согласие.
• Как привести сайт в соответствие с 152-ФЗ: требования к сайту — хаб: политика, согласия, cookie, уведомление и меры защиты в одном месте.
• Кто должен подавать уведомление в Роскомнадзор и кто освобождён — понять, оператор ли вы и нужно ли всё это оформлять.
• Уведомление в Роскомнадзор об обработке персональных данных — обзорный гайд: оператор, реестр, уведомление.
• Как подать уведомление в Роскомнадзор: пошаговая инструкция — три способа подачи и поля формы для ИП и ООО.
• Реестр операторов персональных данных: как проверить по ИНН — узнать за минуту, числитесь ли вы оператором.
• Ответственный за организацию обработки персональных данных — кто в компании отвечает за согласия и политику.
• Права субъекта персональных данных: как ответить на запрос — что делать, когда субъект отзывает согласие или требует данные.
• Срок хранения и уничтожение персональных данных — куда ведёт отзыв согласия: прекращение обработки и уничтожение.
• Штрафы за персональные данные — во сколько обходится обработка без согласия.
• Политика обработки персональных данных — пример документа, на который ссылается согласие.

Частые вопросы