Новые требования к согласию на обработку персональных данных с 01.09.2025

Сфера обработки персональных данных в России продолжает оставаться одной из наиболее динамично регулируемых. Федеральный закон № 152‑ФЗ «О персональных данных» претерпевает регулярные изменения, направленные на повышение прозрачности, безопасность и управляемость процессов обработки персональных данных.

С 1 сентября 2025 года вступают в силу очередные поправки, затрагивающие один из ключевых элементов правового регулирования — порядок получения согласия на обработку персональных данных. Эти изменения будут особенно значимы для операторов, так как влияют на содержание документов, юридические риски и административную ответственность.

В сегодняшнем материале систематизируем действующие нормы, рассмотрим обязательные элементы согласия, подробно проанализируем предстоящие изменения и разъясним ситуации, когда согласие на обработку персональных данных не требуется.

Итак, начнем с напоминания самых важных моментов.

Согласно ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных», обработка персональных данных граждан возможна при наличии оснований, одним из которых является добровольное согласие субъекта на обработку его данных. Действующее законодательство (ст. 6 ФЗ-152) также предусматривает множество ситуаций, когда обработка допускается без согласия – например, если это требуется для исполнения закона или судебного акта, обеспечения жизни и здоровья, заключения договора, защиты законных интересов третьих лиц и т.д.

Действующее определение согласия (ст. 9 ФЗ-152) требует, чтобы оно было «конкретным, предметным, информированным, сознательным и однозначным».

В случаях, прямо указанных в законе (например, обработка специальных категорий данных, передача данных третьим лицам и т.п.), согласие должно оформляться в письменной форме (бумажном или электронном документе с подписью). Операторы обязаны обеспечивать доказуемость получения согласия и фиксировать его содержание и реквизиты.

Обязательные реквизиты согласия на обработку ПДн

ФЗ-152 четко устанавливает требования к содержанию письменного согласия (часть 4 ст. 9). В частности, такое согласие должно содержать следующие сведения:

• Данные субъекта ПДн: Ф.И.О., адрес, реквизиты документа, удостоверяющего личность. Если согласие дает представитель, указывают его Ф.И.О., адрес и удостоверяющий личность документ и реквизиты доверенности.
• Сведения об операторе: полное наименование (или Ф.И.О. индивидуального предпринимателя) и адрес получателя согласия.
• Цель обработки: конкретная, четко сформулированная (общие фразы вроде «для продвижения услуг» недопустимы).
• Перечень обрабатываемых данных: полный список категорий персональных данных (ФИО, дата рождения, контактные данные, паспортные сведения и т.д.), на обработку которых дается согласие.
• Сведения о третьих лицах: наименования и адреса сторон, которым передаются данные для обработки по поручению оператора, в случае если такие есть.
• Перечень действий и способы обработки: какие именно операции над данными разрешены (сбор, систематизация, хранение, передача и др.) и будут ли они выполняться автоматизированно или нет.
• Срок действия согласия и порядок его отзыва: указывается период, в течение которого действует разрешение субъекта, а также способ и форма отзыва согласия.
• Подпись субъекта или ЭЦП: документ подписывается лично субъектом данных (или уполномоченным представителем). Для электронного согласия требуется простая электронная подпись, приравненная к собственноручной.

Отсутствие любого из этих пунктов лишает согласие юридической силы – в этом случае обработка считается незаконной.

Изменения законодательства с 1 сентября 2025 года

С 1 сентября 2025 года вносятся существенные поправки в закон о персональных данных, главным образом закрепленные Федеральным законом от 24.06.2025 № 156-ФЗ. Самое важное нововведение – запрет на включение согласия в состав иных документов. Теперь согласие на обработку персональных данных должно оформляться отдельным документом, а не как пункт договора или пользовательского соглашения.

Закон прямо устанавливает: «Согласие на обработку персональных данных должно быть оформлено отдельно от иной информации (иных документов), которые подтверждает или подписывает субъект ПДн». Другими словами, в трудовом договоре, анкете или пользовательском соглашении согласие включать уже нельзя – нужно выдавать гражданину специальный бланк или форму согласия.

При этом ранее выданные согласия сохраняют силу: “все согласия, полученные до 1 сентября 2025 года, остаются актуальными и не потребуют переоформления”. Новые требования применяются только к согласиям, подписанным после указанной даты.

Штрафы и ответственность

За нарушение «отдельной формы» введены штрафы по ч. 2 ст. 13.11 КоАП РФ:

• до 15 000 руб. для граждан
• до 700 000 руб. для организаций

Федеральный закон 156-ФЗ усилил административную ответственность за несоблюдение процедур получения согласия, а также ввел возможность наказания повторных нарушений до 1,5 млн руб.

Обезличивание данных

Кроме того, с 1 сентября 2025 года вступают в силу новые нормы, касающиеся обезличивания данных. Федеральный закон № 233-ФЗ от 08.08.2024 дополнил ФЗ-152 статьей 13.1 (срок – 01.09.2025), которая вводит понятие «состав обезличенных данных». В частности, закон установил, что обезличенные персональные данные можно обрабатывать без получения согласия субъекта. Это означает, что если сведения надёжно обезличены, таким образом, что нельзя восстановить личность, то оператор вправе использовать их для аналитики и исследований без формального согласования с гражданином. Новый закон нацеливает бизнес и госорганы на активное использование обезличенных данных для статистики и др. при строгом соблюдении методов анонимизации, которые утверждаются Правительством.

Передача данных в ГИС

Среди других изменений стоит отметить обязательную передачу обезличенных данных в государственные информационные системы (ГИС). С 01.09.2025 операторы будут обязаны по запросу Минцифры предоставлять составы обезличенных сведений в федеральную ГИС (ЕИП НСУД). При этом законодательство запрещает передавать в составы биометрические или специальные категории данных. Эти изменения не напрямую касаются формы согласия, но они расширяют рамки работы с персональными данными в целом.

Таким образом, ключевые новации с 01.09.2025 – это отдельная форма согласия и особые правила для обезличенных данных. Обе нормы закреплены в новых редакциях законов (ФЗ-152, ФЗ-156, ФЗ-233) и официально обсуждены экспертами и правовыми порталами.

В каких случаях согласие не требуется

Согласие субъекта не нужно в случаях, прямо предусмотренных законом (ст. 6 ФЗ-152). Основные из них:

• Обработка необходима для исполнения закона, судебного решения или полномочий госорганов (ст.6 ч.1 п.п.2–4): например, для выполнения государственных задач, участия в судопроизводстве, исполнения судебных актов.
• Договорные отношения: если субъект – сторона договора, обработка его данных для исполнения этого договора допускается без нового согласия.
• Защита жизни и здоровья: в экстренных ситуациях, когда согласие получить невозможно.
• Законные интересы: обработка в интересах оператора или третьих лиц (например, взыскание долгов) при условии непротиворечия с правами субъекта.
• Журналистская, творческая деятельность: при соблюдении законодательства о СМИ и неприкосновенности частной жизни.
• Научные или статистические цели: если данные обезличены в соответствии с законом, их можно обрабатывать без согласия.
• Общественный доступ/раскрытие: публикация информации, когда субъект сам сделал её общедоступной или её раскрытие обязательно по закону.
• Обработка по поручению: подрядчики, выполняющие обработку от имени оператора, не обязаны получать отдельное согласие от субъекта.

Таким образом, оператор может использовать персональные данные без согласия, если закон прямо это разрешает.

Введение новых требований с 1 сентября 2025 года подтверждает курс на ужесточение регулирования в области персональных данных и повышение уровня прозрачности работы операторов. Ключевое изменение — обязательное оформление согласия отдельным документом — требует от компаний своевременной подготовки: пересмотра форм согласия, адаптации локальных нормативных актов, обновления договорных процедур и обучения персонала, отвечающего за обработку данных.

Период до 1 сентября 2025 года следует рассматривать как переходный — время для аудита действующих документов, корректировки процедур и внедрения актуальных форм согласий в соответствии с новыми требованиями законодательства.