Нужно ли согласие на обработку персональных данных? 6 случаев, когда закон вас удивит

Почему вопрос о согласии сложнее, чем кажется

Большинство владельцев сайтов думают так: «Собираю данные — нужно согласие». Это логично, но неточно. Закон 152-ФЗ выделяет несколько оснований для обработки персональных данных, и согласие — лишь одно из них.

То есть закон предусматривает 7 оснований, и согласие стоит первым, но не единственным. Это означает: если у вас есть другое законное основание — согласие не требуется. Если основания нет — никакой чекбокс вас не спасёт.

Согласие на обработку ПДн — не единственное основание по ФЗ-152. Но там, где оно нужно, оформить его надо правильно.

5 ситуаций, когда согласие НЕ нужно

Это самое неожиданное для многих: закон прямо разрешает обрабатывать данные без согласия в следующих случаях.

1. Исполнение договора (ст. 6, п. 5)

Если пользователь оформил заказ в интернет-магазине — вы уже вправе обрабатывать его имя, адрес и телефон без отдельного согласия. Договор купли-продажи сам по себе является основанием. Главное — данные используются только для исполнения этого договора.

2. Требование закона (ст. 6, п. 2)

Бухгалтерия, налоговая отчётность, трудовые отношения — государство само обязывает вас собирать и хранить данные сотрудников и контрагентов. Согласие здесь избыточно: ФЗ об бухучёте, ТК РФ, НК РФ — законные основания.

3. Защита жизни и здоровья (ст. 6, п. 4)

Скорая помощь не спрашивает согласия на обработку данных пациента без сознания. Медицинские учреждения в экстренных случаях вправе обрабатывать ПДн без согласия.

4. Законные интересы оператора (ст. 6, п. 7)

Это основание позволяет обрабатывать данные если интересы оператора перевешивают интересы субъекта. На практике — видеонаблюдение в офисе, противодействие мошенничеству, внутренняя аналитика. Использовать с осторожностью: это основание часто оспаривается.

5. Общедоступные данные (ст. 8)

Данные, которые сам субъект опубликовал в официальных справочниках или реестрах с согласия, можно обрабатывать без повторного согласия. Но это не означает, что любые данные из соцсетей — свободны.

Согласие нужно или нет: быстрая шпаргалка

Чекбокс согласия — не универсальное решение. Важно понимать, в каких случаях он реально нужен, а в каких только создаёт иллюзию защиты.

Когда согласие нужно: 4 требования к его форме

Там, где согласие необходимо, оно должно быть действительным по закону. Недействительное согласие хуже его отсутствия — вы думаете, что защищены, а на проверке выясняется обратное.

Письменное vs электронное согласие: в чём разница и когда что использовать

Закон допускает оба формата. Но важно понимать, чем они отличаются и где применяются.

Электронное согласие (чекбокс на сайте)

Подходит для большинства стандартных случаев: подписка на рассылку, регистрация на сайте, форма обратной связи, использование cookies. Должно соответствовать 4 требованиям из таблицы выше. Факт согласия нужно фиксировать: дата, время, IP-адрес, текст согласия в момент клика.

Письменное согласие (бумага или квалифицированная ЭП)

Обязательно для обработки:

• Биометрических данных (ст. 11 ФЗ-152)
• Специальных категорий: состояние здоровья, судимость, политические взгляды (ст. 10)
• Данных для включения в общедоступные источники (ст. 8)
• Трансграничной передачи в страны без адекватной защиты ПДн

Как правильно оформить электронное согласие на сайте: 5 шагов

Фиксируйте факт согласия технически: дата, IP, версия документа. Без этого доказать законность обработки данных при проверке будет невозможно.

Что будет, если нарушить: штрафы в 2024–2025 году

С 2022–2023 годов санкции за нарушения в сфере ПДн существенно выросли. Вот актуальная картина:

• Обработка без согласия (когда оно требуется) до 700 000 ₽ — ст. 13.11 ч. 2 КоАП.
• Обработка специальных категорий без письменного согласия до 700 000 ₽ — та же статья.
• Несоблюдение порядка отзыва согласия до 300 000 ₽ — ст. 13.11 ч. 1 КоАП.
• Отсутствие механизма удаления данных до 300 000 ₽.
• При повторном нарушении — суммы удваиваются, возможна уголовная ответственность.