Согласие на сбор и обработку персональных данных

Доказательство согласия — обязанность компании

Подпункт 5) пункта 2 статьи 25 обязывает представлять доказательство получения согласия человека. То есть недостаточно утверждать, что согласие было: его нужно предъявить.

Отсюда практическое правило: бумажное согласие хранится в личном деле или в папке по клиентам, электронное — с отметкой даты, времени и того, какая именно версия текста была показана.

Что должно быть в тексте согласия

Состав определён пунктом 4 статьи 8 закона. Формулировки в бланке могут быть свои, но все эти сведения должны быть.

• кто собирает и обрабатывает данные: наименование компании и её реквизиты
• перечень собираемых персональных данных — конкретный, а не «любые данные»
• цели сбора и обработки
• срок действия согласия
• передаются ли данные третьим лицам и кому именно
• осуществляется ли трансграничная передача
• будут ли данные распространяться в общедоступных источниках
• порядок отзыва согласия

Когда нужны отдельные согласия

Требование по автоматизированной обработке появилось в статье 19-1 и действует с 2026 года. Там же установлен срок: возражение человека против автоматизированной обработки рассматривается в течение трёх рабочих дней.

• на биометрические данные, включая распознавание лица в системе контроля доступа
• на распространение данных в общедоступных источниках, например размещение фото и должности на сайте
• на автоматизированную обработку, если по её результатам у человека возникают, изменяются или прекращаются права — это касается автоматического отбора кандидатов и скоринга

Отзыв согласия

После отзыва согласия у компании есть пятнадцать рабочих дней, чтобы прекратить обработку данных либо дать мотивированный отказ. Отказ возможен, когда обработка требуется по закону — например, кадровые документы, которые нужно хранить установленный срок.

Порядок отзыва стоит описать в политике и в самом бланке согласия: куда писать и в какой форме.

Частые ошибки в бланках

• формулировка «согласен на обработку любых моих данных в любых целях» — обработка сверх цели прямо запрещена
• согласие спрятано в общем тексте договора без возможности отказаться отдельно
• нет срока действия согласия
• не указано, что данные передаются в бухгалтерский аутсорс, облачный сервис или банк, хотя фактически передаются
• нет подтверждения даты для электронного согласия — галочка есть, а когда её поставили, неизвестно

Согласие, полученное по одной цели, не покрывает другую. Согласие соискателя на рассмотрение резюме не даёт права хранить его данные в базе кандидатов год спустя, если это отдельно не оговорено.

Избыточные данные собирать нельзя

Пункт 9 статьи 7 запрещает обрабатывать данные, содержание и объём которых избыточны по отношению к целям обработки. Практический вывод: перед тем как добавить поле в анкету, ответьте на вопрос, для какой конкретной цели оно нужно.

Частые вопросы