Согласия на обработку персональных данных 2026: минное поле для бизнеса..

⚠️ Важное предупреждение

Данный материал носит информационно-рекомендательный характер, не является правовой позицией автора, индивидуальной консультацией или гарантией результата. Применение рекомендаций требует индивидуальной оценки с учётом специфики вашей ситуации и верификации актуальных норм. Автор не несёт ответственности за убытки, возникшие в результате использования данного материала. Для принятия юридически значимых решений необходима консультация профильного специалиста.

Тема согласий на обработку персональных данных превратилась в «минное поле» для бизнеса. Ошибки в формулировках, устаревшие шаблоны или отсутствие согласия там, где оно критично нужно, приводят к судебным делам и финансовым потерям. С 1 сентября 2025 года согласие должно оформляться отдельным документом, а не пунктом внутри договора. С 1 сентября 2026 года отдельное согласие обязательно ещё и при уведомлениях МВД по иностранным работникам. Штрафы за утечки достигают 500 миллионов рублей, уголовная ответственность — до 10 лет лишения свободы. Разбираю десять критичных вопросов, которые задают собственники и службы безопасности.

1. Виды согласий: какие существуют и чем отличаются.

Закон № 152-ФЗ предусматривает несколько типов согласий, и каждый закрывает свою задачу. Смешивать их в одном документе — прямая дорога к штрафу.

Тип согласия	Норма	Форма и особенности
На обработку (общее)	ч. 1, 4 ст. 9 152-ФЗ	Любая форма, позволяющая подтвердить факт получения; с 01.09.2025 — отдельный документ.
На распространение	ст. 10.1 152-ФЗ	Только отдельный документ; содержание — Приказ Роскомнадзора от 24.02.2021 № 18.
На биометрию	ч. 1 ст. 11 152-ФЗ	Письменная форма обязательна; предоставление биометрии не может быть обязательным.
На специальные категории	ч. 2 ст. 10 152-ФЗ	Письменная форма обязательна (здоровье, раса, убеждения и иное).
На трансграничную передачу	ст. 12 152-ФЗ	Согласие не заменяет уведомление Роскомнадзора; процедура разрешительная.

Ключевое изменение с 1 сентября 2025 года: согласие должно быть оформлено отдельно от иных документов, которые подтверждает или подписывает субъект (ФЗ от 24.06.2025 № 156-ФЗ). Пункт о согласии внутри трудового договора или оферты с этой даты недействителен. Согласия, полученные до 01.09.2025, переоформлять не требуется.

2. Когда нужно согласие, а когда достаточно уведомления.

Закон допускает обработку без согласия в закрытом перечне случаев (п. 2–11 ч. 1 ст. 6 152-ФЗ). Для бизнеса рабочими являются три основания.

• Исполнение договора, стороной которого является субъект данных: трудовой договор с работником, договор с клиентом.
• Исполнение возложенных на оператора законом функций и обязанностей: кадровый учёт в объёме ТК РФ, передача данных в СФР и ФНС.
• Осуществление прав и законных интересов оператора при условии, что не нарушаются права субъекта: пропускной режим, охрана имущества.

Согласие требуется, когда обработка выходит за эти рамки: маркетинговые рассылки, передача данных третьим лицам вне договора, публикация данных, биометрия, специальные категории.

Спорные моменты из практики: кадровый учёт сверх перечня ст. 65 ТК РФ (фото, семейное положение вне льгот) требует согласия; СКУД на магнитных картах обходится без согласия, переход на биометрию — только с письменного согласия; учёт рабочего времени через турникет допустим без согласия при наличии локального акта.

3. Форма согласия: что обязательно включить и что убрать.

Часть 4 статьи 9 152-ФЗ задаёт девять обязательных реквизитов: ФИО, адрес и паспортные данные субъекта; сведения о представителе и доверенности при его наличии; наименование и адрес оператора; цель обработки; перечень данных; сведения о лице, обрабатывающем по поручению; перечень действий и способы обработки; срок действия и способ отзыва; подпись субъекта.

Что лучше убрать, чтобы не навредить:

• Формулировки «для любых целей» и «все возможные цели»: цель должна быть конкретной и измеримой.
• «Бессрочно» без привязки к цели и порядку отзыва: нарушает требование о сроке действия.
• Предзаполненные галочки и конструкции «продолжая пользоваться сайтом, вы соглашаетесь»: молчание и бездействие согласием не считаются (ч. 8 ст. 10.1).
• Общие фразы о передаче «всем третьим лицам»: перечень получателей должен быть определим.
• Встраивание согласия в текст договора, анкеты или оферты: с 01.09.2025 такой документ недействителен в части согласия.

4. Биометрия: как легально использовать сканеры лица и отпечатков пальцев.

Биометрические данные — сведения о физиологических и биологических особенностях, по которым устанавливается личность: фото, используемое для идентификации, отпечатки пальцев, геометрия лица, слепок голоса. Обработка возможна только с письменного согласия, за исключением исчерпывающего перечня ч. 2 ст. 11 (правосудие, оборона, обязательная государственная дактилоскопия и иное).

Главное ограничение для частных компаний: предоставление биометрии не может быть обязательным, а оператор не вправе отказывать в обслуживании или доступе из-за отказа дать согласие (ч. 3 ст. 11 в ред. ФЗ от 26.07.2026 № 265-ФЗ). На практике это означает обязанность сохранить альтернативу: карта, ключ, журнал. Обязательная дактилоскопическая регистрация — исключительная государственная функция, частный работодатель её проводить не вправе.

Типовая ошибка: фото на пропуске и в СКУД суды и Роскомнадзор признавали биометрией, когда изображение используется для идентификации личности. Внедрение СКУД с распознаванием лица без письменных согласий — готовый состав по ст. 13.11 КоАП РФ.

5. Распространение данных: фото сотрудников на сайте и в соцсетях.

Публикация фотографии, ФИО и должности сотрудника на сайте или в соцсетях компании — это распространение данных неопределённому кругу лиц, требующее отдельного согласия по ст. 10.1 152-ФЗ. Общее согласие «на обработку и распространение» одним документом не проходит: согласие на распространение оформляется отдельно.

Порядок действий: получить отдельное согласие с указанием каналов распространения и срока; предусмотреть простой механизм отзыва; после получения отзыва прекратить распространение незамедлительно (ч. 12–13 ст. 10.1), а данные уничтожить в срок не более 30 дней (ч. 5 ст. 21 152-ФЗ).

Последствия ошибки: обработка без необходимого письменного согласия квалифицируется по ч. 2 ст. 13.11 КоАП РФ: для юрлиц 300 000–700 000 рублей. Конкретная судебная практика 2024–2026 годов по фото сотрудников в открытых источниках представлена ограниченно, поэтому опираться следует на саму норму и позицию Роскомнадзора.

6. Пропускная система: нужно ли брать согласие на карты доступа.

Данные СКУД (ФИО, номер карты, время прохода) — персональные данные, но для пропускного режима и учёта рабочего времени согласие не требуется: обработка идёт на трудовых основаниях п. 2 и п. 5 ч. 1 ст. 6 152-ФЗ при наличии локального акта.

Согласие появляется в трёх ситуациях: использование биометрии в СКУД; использование данных вне трудовой цели (аналитика поведения, передача ЧОПу сверх функции охраны); обработка данных посетителей, если режим не обусловлен законом о безопасности объекта.

Про доказательство прогула: практика 2024–2026 годов неоднородна. Часть судов принимает логи СКУД как одно из доказательств вместе с табелем и объяснениями, часть указывает, что самих данных СКУД недостаточно, а при противоречии с табелем приоритет у табеля. Вывод для СБ: СКУД — элемент доказательственной базы, но не единственное доказательство.

7. Видеонаблюдение: как правильно оформить видеофиксацию в офисе.

Согласие работников на видеонаблюдение как таковое не требуется, если съёмка ведётся в служебных целях безопасности и контроля имущества, а работники ознакомлены с локальным актом. Устойчивая линия судебной практики: видеосъёмка рабочего процесса не нарушает право на частную жизнь при таких условиях.

Обязательный организационный минимум: приказ о введении видеонаблюдания; положение о видеонаблюдении; ознакомление работников под подпись; информационные таблички в зонах видимости камер; запрет съёмки в раздевалках, туалетах, душевых и комнатах приёма пищи; назначение ответственного и срок хранения записей.

Спорный момент: уведомление за два месяца по ст. 74 ТК РФ. Часть судов применяет её при введении видеонаблюдения как изменении условий труда, часть указывает, что видеонаблюдение не является условием трудового договора и ст. 74 не применяется. Безопасная тактика — уведомить письменно заранее и зафиксировать ознакомление: это снимает риск независимо от позиции суда.

Статус записи: видеозапись становится обработкой персональных данных, когда позволяет идентифицировать человека; если запись используется для идентификации личности в доказательственных целях, часть судов требует письменного согласия на обработку биометрии.

8. Иностранные граждане: новые требования к согласиям в 2026 году.

Приказ МВД России от 12.05.2026 № 290 (регистрация в Минюсте 02.06.2026 № 86820) с 1 сентября 2026 года ввёл новые формы уведомлений о трудовой деятельности иностранцев. К уведомлениям о заключении и прекращении договора и к уведомлению о выплате зарплаты ВКС прилагается отдельное согласие иностранного гражданина на обработку персональных данных по рекомендуемому образцу приложения к порядку подачи уведомлений.

Последствия отсутствия согласия: уведомление не принимается системой и считается непредставленным, что ведёт к риску санкции за неуведомление МВД и к составу обработки без согласия по ч. 2 ст. 13.11 КоАП РФ. Для HR и СБ это означает простое правило: нет отдельного согласия — нет корректного уведомления.

9. Электронные согласия: удобство или скрытый риск.

Согласие в форме электронного документа равнозначно бумажному, если подписано электронной подписью в соответствии с 63-ФЗ (ч. 4 ст. 9 152-ФЗ). Простая электронная подпись допустима при наличии соглашения об электронном взаимодействии и надёжной идентификации; квалифицированная подпись равнозначна собственноручной без дополнительных условий.

Скрытые риски: галочка на сайте допустима только активная и отдельная для каждой цели, предзаполненные чекбоксы и пакетные согласия «на всё» недействительны; бремя доказывания волеизъявления лежит на операторе, поэтому хранить нужно дату, время, IP, идентификатор сессии и версию текста согласия, действовавшую в момент клика. Нормативного срока хранения таких доказательств не установлено, разумная практика — хранить весь срок действия согласия плюс срок исковой давности.

10. Ответственность: что грозит лично вам и компании за ошибки.

Административная ответственность сосредоточена в ст. 13.11 КоАП РФ в редакции ФЗ от 30.11.2024 № 420-ФЗ, действующей с 30.05.2025. Штраф назначается за каждого субъекта данных отдельно, что превращает массовую ошибку в документе в многомилионные суммы.

Часть ст. 13.11 КоАП	Нарушение	Граждане	Должностные лица	Юрлица и ИП
ч. 1	Обработка без законного основания или не по заявленной цели.	2 000–6 000 ₽	10 000–20 000 ₽	150 000–300 000 ₽
ч. 2	Обработка без письменного согласия, когда оно обязательно.	10 000–15 000 ₽	100 000–300 000 ₽	300 000–700 000 ₽
ч. 3	Не опубликована политика обработки ПД.	1 500–3 000 ₽	6 000–12 000 ₽	30 000–60 000 ₽
ч. 8	Нарушение требований локализации баз данных в РФ.	—	100 000–200 000 ₽	2 000 000–6 000 000 ₽
ч. 11	Не уведомлён Роскомнадзор об утечке.	—	—	1 000 000–3 000 000 ₽
ч. 12	Утечка данных 1 000–10 000 субъектов.	100 000–200 000 ₽	200 000–400 000 ₽	3 000 000–5 000 000 ₽
ч. 13	Утечка данных 10 000–100 000 субъектов.	200 000–300 000 ₽	300 000–500 000 ₽	5 000 000–10 000 000 ₽
ч. 14	Утечка данных более 100 000 субъектов.	300 000–400 000 ₽	400 000–600 000 ₽	10 000 000–15 000 000 ₽
ч. 15	Повторная утечка (оборотный штраф).	400 000–600 000 ₽	800 000–1 200 000 ₽	1–3% выручки, не менее 20 млн и не более 500 млн ₽
ч. 16	Утечка специальных категорий ПД.	300 000–400 000 ₽	1 000 000–1 300 000 ₽	10 000 000–15 000 000 ₽
ч. 17	Утечка биометрических ПД.	400 000–500 000 ₽	1 300 000–1 500 000 ₽	15 000 000–20 000 000 ₽
ч. 18	Повторная утечка спецкатегорий или биометрии (оборотный штраф).	500 000–800 000 ₽	1 500 000–2 000 000 ₽	1–3% выручки, не менее 25 млн и не более 500 млн ₽

Уголовная ответственность: ст. 272.1 УК РФ введена ФЗ от 30.11.2024 № 421-ФЗ и действует с 11.12.2024. Санкции градированы от штрафа до 300 000 рублей по базовому составу до лишения свободы на срок до 10 лет при тяжких последствиях или совершении преступления организованной группой. На норму не распространяется обработка данных физическими лицами для личных и семейных нужд.

Личная ответственность руководителя: должностные лица несут самостоятельную ответственность по каждой части ст. 13.11 КоАП РФ, а при утечках — вплоть до миллионов рублей лично; при квалификации по ст. 272.1 УК РФ ответственность персональна и не перекладывается на компанию.

Операционный маркер: чек-лист аудита согласий.

Блок 1. Инвентаризация.

☐ Составлен реестр всех процессов обработки ПД с указанием оснований (согласие или норма закона).

☐ Определены процессы, где обработка выходит за рамки трудового договора и требует согласия.

☐ Выявлены все места публикации данных сотрудников (сайт, соцсети, пресс-материалы).

Блок 2. Документы.

☐ Согласия оформлены отдельными документами, а не пунктами договоров и анкет.

☐ Согласие на распространение оформлено отдельно от согласия на обработку.

☐ Согласия на биометрию письменные и отдельные; предусмотрена альтернатива для отказавшихся.

☐ В формах согласий присутствуют все девять реквизитов ч. 4 ст. 9 152-ФЗ.

☐ Убраны запрещённые формулировки: «любые цели», «бессрочно», предзаполненные галочки.

☐ По иностранным работникам отдельные согласия приложены к уведомлениям МВД по формам Приказа № 290.

Блок 3. Технические и организационные меры.

☐ Видеонаблюдение оформлено приказом, положением, ознакомлением и табличками; запрещённые зоны не снимаются.

☐ СКУД без биометрии опирается на локальный акт; переход на биометрию сопровождён письменными согласиями.

☐ Электронные согласия фиксируют дату, время, IP, идентификатор сессии и версию текста.

☐ Настроен процесс прекращения распространения и уничтожения данных по отзыву согласия.

Блок 4. Контроль.

☐ Ведётся реестр согласий со сроками действия и отметками об отзывах.

☐ Проводится ежеквартальная сверка реестра с фактическими процессами обработки.

☐ Ответственный за обработку ПД назначен приказом и обучен.

Читайте также по теме.

Готовые шаблоны документов по другим жизненным ситуациям собраны в рубрике Инструменты.

Об авторе методологии.

Филатов Валерий Александрович. Автор методологии «Нейропаспорт» и сайта neuropassport.ru.

Профессиональный путь: Служба в БХСС милиции, корпоративный сектор («Газпром нефть — Урал», «Роснефть» — ТЗК «Кольцово», «СберЛогистика»).

Сочетание практического опыта в сфере безопасности крупного бизнеса и авторской аналитической работы — основа методического подхода: любой материал проходит через фильтр «что это меняет в реальности и как этим пользоваться».

🎯 Подробнее о методе.

📋 Все чек-листы.

Правовая основа.

• 🟢 Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» в редакции от 26.07.2026.
• 🟢 Федеральный закон от 24.06.2025 № 156-ФЗ — согласие отдельным документом с 01.09.2025.
• 🟢 Федеральный закон от 30.11.2024 № 420-ФЗ — оборотные штрафы за утечки с 30.05.2025.
• 🟢 Федеральный закон от 30.11.2024 № 421-ФЗ — ст. 272.1 УК РФ с 11.12.2024.
• 🟢 Федеральный закон от 26.07.2026 № 265-ФЗ — редакция ч. 3 ст. 11 152-ФЗ о запрете отказа в обслуживании.
• 🟢 Приказ Роскомнадзора от 24.02.2021 № 18 — форма согласия на распространение.
• 🟢 Приказ МВД России от 12.05.2026 № 290 — формы уведомлений по иностранным работникам с 01.09.2026.
• 🟢 Статья 13.11 КоАП РФ в редакции, действующей на сентябрь 2026 года.
• 🟡 Судебная практика 2024–2026 годов по СКУД, видеонаблюдению и фото сотрудников: позиция судов неоднородна, проверяется под конкретный спор.

Просмотров: 3