Согласие на обработку персональных данных обязано называть цель обработки: это пункт 4 части 4 статьи 9 152-ФЗ, а часть 2 статьи 5 того же закона требует, чтобы цель была конкретной, заранее определённой и законной. Рабочая формула цели — процесс оператора плюс результат, ради которого нужны данные: не «в целях соблюдения законодательства», а «проверка достоверности сведений, указанных кандидатом в анкете, до решения о приёме на должность». Под каждую цель подбираются свой перечень данных, срок и круг получателей, а с 1 сентября 2025 года согласие оформляется отдельно от других документов. Для обработки, которой требуют ТК РФ или договор с работником, согласие не нужно; для проверки кандидата внешней службой безопасности, передачи данных третьим лицам и публикации на сайте нужно, причём на распространение оформляется отдельное согласие по статье 10.1.
В материале — таблица размытых и рабочих формулировок, разбор того, какие цели разносить по разным документам, и порядок сверки цели с перечнем данных и сроком хранения. Отдельно показываем цель для проверки кандидата службой безопасности: в ней сходятся поручение обработки внешнему исполнителю и передача данных. Штрафы по статье 13.11 КоАП за обработку, несовместимую с целями сбора, образцы согласий и тарифы на электронное подписание — во второй половине статьи, в конце — ответы на частые вопросы.
Конструктор ниже соберёт файл .docx согласия на обработку персональных данных с целями, сроком действия и оговоркой об отзыве по 152-ФЗ.
Что закон требует от цели в согласии: 152-ФЗ, ТК РФ и Роскомнадзор
Часть 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Цель — та часть документа, по которой эти пять признаков проверяются в первую очередь: если из формулировки не видно, зачем оператор берёт данные, субъект не может дать информированное согласие, а проверяющий не может сверить с целью объём данных и срок хранения.
Цель не существует сама по себе. Статья 5 152-ФЗ связывает с ней остальные элементы согласия:
- Часть 2: обработка ограничивается конкретными, заранее определёнными и законными целями, обработка, несовместимая с целями сбора, не допускается.
- Часть 3: нельзя объединять базы данных, обработка которых идёт в целях, несовместимых между собой.
- Часть 5: содержание и объём данных соответствуют заявленным целям и не избыточны по отношению к ним.
- Часть 7: данные хранятся не дольше, чем требуют цели, если срок не установлен федеральным законом или договором с субъектом; по достижении целей данные уничтожаются или обезличиваются.
Отсюда порядок работы с документом: сначала формулируется цель, потом под неё подбираются перечень данных, действия с ними, получатели и срок. Если начинать с перечня данных «как в прошлом бланке», цель приходится подгонять под уже собранный объём, и расхождение с частью 5 статьи 5 закладывается с первого дня.
Для работодателя рамку задаёт ещё и пункт 1 статьи 86 ТК РФ. Обработка персональных данных работника допускается исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Цель в согласии работника, которая не укладывается ни в одну из этих групп, трудовым законодательством не поддержана, даже если работник её подписал.
Где искать цели, подсказывает сам Роскомнадзор. В рекомендациях Роскомнадзора по составлению политики оператора в отношении обработки персональных данных цели предлагается выводить из правовых актов, регулирующих деятельность оператора, из фактически ведущейся деятельности и деятельности по учредительным документам, а также из конкретных бизнес-процессов по структурным подразделениям и их процедурам в отношении определённых категорий субъектов. Для кадровой службы это означает опись процессов: подбор, приём, кадровый учёт, расчёт зарплаты, обучение, оценка, пропуск на территорию, публикация сведений о сотрудниках. Каждый процесс, где нужны данные, даёт свою цель.
Когда согласие не нужно и цель в нём не помогает
Согласие — только одно из оснований обработки, первое в перечне части 1 статьи 6 152-ФЗ. Пункты 2-11 той же части разрешают обработку без согласия, в том числе когда её требует закон или она нужна для исполнения договора, стороной которого является субъект. Кадровый учёт по ТК РФ, начисление зарплаты, удержание НДФЛ, сдача ЕФС-1 в Социальный фонд России идут на основании закона и трудового договора, и согласие для них не требуется.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Вписывать такие процессы в согласие как «цели» бессмысленно по простой причине: согласие можно отозвать. По части 2 статьи 9 152-ФЗ после отзыва оператор вправе продолжить обработку без согласия, только если есть основания из пунктов 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11. Работодатель, который строит кадровый учёт на согласии, после отзыва будет обосновывать продолжение обработки теми же нормами закона, которые действовали и без согласия.
Согласие нужно там, где закон или договор основания не дают либо прямо требуют письменного согласия. Для работников это передача данных третьим лицам, если она не предусмотрена законом (статья 88 ТК РФ запрещает её без письменного согласия, а в коммерческих целях без письменного согласия данные сообщать нельзя вовсе), получение сведений о работнике у третьей стороны (пункт 3 статьи 86 ТК РФ: работника уведомляют заранее и берут письменное согласие), публикация данных для неограниченного круга лиц. Именно для этих процессов цель формулируется в согласии, а процессы по закону описываются в политике оператора.
Как сформулировать цель обработки: формула и примеры для кадровых процессов
Проверяемая цель отвечает на три вопроса: какой процесс оператора, какой результат нужен субъекту или оператору и кто, кроме оператора, получит данные. Формулировка, в которой нет ни процесса, ни результата, не проходит требование конкретности части 1 статьи 9 152-ФЗ, сколько бы слов в ней ни было. Оборот «в иных целях» не проходит требование части 2 статьи 5: такая цель не определена заранее.
Размытые формулировки кочуют из бланка в бланк. Ниже — типовые варианты и то, чем их заменить; правые формулировки опираются на образец согласия территориального управления Роскомнадзора и на нормы 152-ФЗ.
| Размытая формулировка | Что с ней не так | Рабочая формулировка |
|---|---|---|
| «В целях соблюдения законодательства РФ» | Не назван ни закон, ни процесс; согласие не становится предметным (ч. 1 ст. 9 152-ФЗ) | «Исчисление и уплата налоговых платежей, представление установленной законом отчётности в налоговый орган и Социальный фонд России». Такая обработка идёт по закону, её место — в политике оператора |
| «В иных целях, не противоречащих законодательству» | Цель не определена заранее (ч. 2 ст. 5 152-ФЗ) | Удалить. Каждую дополнительную цель назвать отдельной строкой |
| «В целях обработки персональных данных» | Действие подставлено вместо цели | «Подача сведений в банк для оформления банковской карты и последующего перечисления на неё заработной платы» |
| «Для проверки кандидата» | Не видно, что проверяют, до какого момента и кто проверяет | «Проверка достоверности сведений, указанных в анкете, до принятия решения о приёме на должность ___» плюс наименование и адрес лица, которому поручена обработка (п. 6 ч. 4 ст. 9 152-ФЗ) |
| «Для размещения информации о работнике» | Распространение требует отдельного согласия (ч. 1 ст. 10.1 152-ФЗ) | Отдельное согласие на распространение: цель, перечень данных и ресурс оператора, где они будут доступны (приказ Роскомнадзора от 24.02.2021 № 18) |
| «Для оценки персонала» | Не названа процедура, объём данных не с чем сверить | «Участие в оценке по методике 360 градусов и обработка её результатов» |
Общее у правых формулировок одно: по каждой можно проверить, нужен ли тот или иной пункт перечня данных. Для зарплатной карты банку нужны паспортные данные и контакты, но не сведения об образовании; для оценки 360 паспорт не нужен вовсе. Если пункт перечня не объясняется ни одной целью, его вычёркивают: это прямое требование части 5 статьи 5 152-ФЗ об избыточности.
Мария Ж, HR-эксперт с 13-летним стажем: «Хорошая проверка сотрудника собирается под задачу. Если компания хочет понять риски при выдаче техники или допуске к станку, смотрят судимость, финансовые проблемы, налоговые задолженности, публикации в соцсетях, а лишнего в отчёт не добавляют. Тот же порядок годится и для согласия: сначала задача, затем только те сведения, которые для неё нужны.»
Одна цель — одна строка. Если в строке через запятую стоят подбор, обучение и публикация на сайте, это три цели с разными перечнями данных и сроками, и их разносят. Слова «в том числе», «включая, но не ограничиваясь» из цели убирают: они превращают закрытый перечень в открытый, а часть 2 статьи 5 допускает только заранее определённые цели.
Как сформулировать цели в согласии: пошаговая инструкция
- Шаг 1. Выпишите процессы, где подразделения используют данные субъекта: подбор, приём, зарплатный проект, обучение, оценка, пропускной режим, публикация сведений о сотрудниках.
- Шаг 2. Для каждого процесса определите основание. Если обработку требует закон или она нужна для исполнения договора с субъектом (пункты 2-11 части 1 статьи 6 152-ФЗ), процесс описывается в политике оператора, а не в согласии.
- Шаг 3. Для процессов, которым нужно согласие, запишите цель по формуле «процесс оператора плюс результат». Оборот «иные цели» не используйте.
- Шаг 4. Под каждую цель составьте перечень данных и вычеркните то, что цель не объясняет (часть 5 статьи 5 152-ФЗ).
- Шаг 5. Укажите действия с данными и способ обработки, а если обработку выполняет другое лицо по поручению оператора, — его наименование и адрес (пункты 6 и 7 части 4 статьи 9 152-ФЗ).
- Шаг 6. Определите срок действия согласия через событие, при котором цель достигнута, и способ отзыва (пункт 8 части 4 статьи 9 152-ФЗ).
- Шаг 7. Оформите согласие отдельно от трудового договора, анкеты и других документов, которые подписывает субъект. Для распространения данных оформите отдельное согласие по статье 10.1 152-ФЗ.
- Шаг 8. Сверьте цели согласия с целями в политике оператора: одна и та же обработка не должна описываться в двух документах по-разному.
Одна цель или несколько: какие цели разносить по разным документам
С 1 сентября 2025 года часть 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ требует оформлять согласие отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Пункт о согласии в тексте трудового договора или галочка в анкете кандидата этому требованию больше не отвечают. Закон при этом не запрещает объединять в одном отдельном согласии несколько совместимых целей одного оператора: ограничение касается несовместимых целей (часть 3 статьи 5) и распространения, для которого статья 10.1 требует отдельного согласия.
Практическое правило: в одно согласие попадают цели, у которых совпадают получатели и близки сроки. Если у цели свой внешний получатель, своя процедура или данные уходят в публичный доступ, для неё готовят отдельный документ. Сценарии, которые встречаются в кадровой работе чаще других:
| Сценарий | Основание обработки | Что критично в цели и рядом с ней |
|---|---|---|
| Кадровый учёт, расчёт зарплаты, отчётность | Закон и трудовой договор, согласие не требуется | Цели описываются в политике оператора; в согласие их не переносят |
| Передача данных работника третьему лицу, если закон её не предусматривает | Письменное согласие (ст. 88 ТК РФ) | Наименование получателя и цель передачи; в коммерческих целях без письменного согласия передача запрещена |
| Получение сведений о работнике у третьей стороны | Заранее уведомить работника и получить письменное согласие (п. 3 ст. 86 ТК РФ) | Цель получения, источники и способы получения сведений |
| Проверка кандидата внешней службой безопасности | Согласие кандидата | Предмет проверки, момент, до которого она нужна, наименование и адрес исполнителя (п. 6 ч. 4 ст. 9 152-ФЗ) |
| Публикация ФИО, должности, фото на сайте компании | Отдельное согласие на распространение (ст. 10.1 152-ФЗ) | Цель, перечень данных, ресурс оператора, условия и запреты субъекта; молчание согласием не считается |
| Участие работника в оценке 360 | Согласие на участие в оценке и обработку данных | Название процедуры и то, что обрабатываются её результаты |
Для согласия на распространение ошибка в цели или перечне обходится иначе, чем в обычном согласии. Если из документа не следует, что субъект согласился с распространением, оператор обрабатывает данные без права распространения (часть 4 статьи 10.1). Если в нём не указаны категории и перечень данных, для которых субъект установил условия и запреты, данные обрабатываются без передачи неограниченному кругу лиц (часть 5). Фото сотрудника на странице «Команда» по такому документу публиковать нельзя.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Правило действует и тогда, когда проверку по договору с работодателем проводит внешняя служба безопасности: она продолжает работу, только убедившись, что согласие у заказчика есть.
В сервисе Добыто согласие на обработку персональных данных заводится отдельным документом, а не пунктом трудового договора, и работник подписывает его ПЭП или УНЭП: эти подписи выпускаются сотрудникам бесплатно на всех тарифах. На тарифе «Бизнес» шаблоны настраиваются под компанию, поэтому под цель со своим получателем, например банк зарплатного проекта или исполнителя проверки, можно держать свой документ.
Образцы согласий на обработку персональных данных и правила обработки
Первым откройте общий образец согласия и сверьте его цели с таблицей формулировок выше; согласия на проверку службой безопасности и на участие в оценке показывают документы под одну процедуру.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (образец, DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (DOCX) | Скачать |
| Согласие на участие в оценке и обработку данных (DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Цель в согласии кандидата на проверку службой безопасности
Типовая проверка кандидата включает судимость, административные правонарушения, задолженности по налогам и перед банками, аффилированность кандидата и его родственников с бизнесами, сведения ФССП, розыск МВД, действительность паспорта и водительского удостоверения, в ряде случаев — публикации в соцсетях. Формулировка «для проверки кандидата» этот объём не раскрывает. Чтобы согласие было информированным в смысле части 1 статьи 9 152-ФЗ, предмет проверки называют в цели или в перечне действий: кандидат должен понимать, какие сведения о нём будут искать и сопоставлять.
Поручение обработки внешней службе безопасности
Если проверку проводит аутсорсинговая служба безопасности, в согласии появляется второе лицо. Часть 3 статьи 6 152-ФЗ разрешает оператору поручить обработку другому лицу с согласия субъекта на основании договора, а пункт 6 части 4 статьи 9 требует указать в письменном согласии наименование и адрес лица, которое обрабатывает данные по поручению. Согласие без этих реквизитов покрывает только проверку силами самого работодателя.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Важный нюанс из практики: внешняя служба безопасности сама является оператором персональных данных и подаёт уведомление в Роскомнадзор, но согласие кандидата получает заказчик. Исполнитель начинает работу, когда видит, что согласие действительно есть. Для работодателя это означает, что цель и исполнитель должны быть вписаны в документ до того, как данные кандидата уйдут на проверку.
Мария Ж, юрист со стажем более 20 лет: «Основной набор данных для проверки — ФИО, дату рождения, ИНН и паспорт — исполнитель получает от работодателя, а тот от кандидата вместе с согласием. Дальше этого набора данные не двигаются, других личных данных у исполнителя, как правило, нет. Перед отправкой сверьте перечень данных в согласии с тем, что реально уходит исполнителю: одно должно совпадать с другим.»
Лайфхак: способ передачи данных внешней службе безопасности согласуйте при заключении договора. На практике используют защищённую почту и съёмные носители, а исполнитель подстраивается под требования заказчика к безопасности.
Когда кандидат подписывает согласие и что он узнаёт о проверке
В последовательности проверки согласие стоит сразу после приёма анкеты и до обращения к государственным базам: проверка без подписанного документа не начинается. Для кандидата этот документ часто оказывается единственным источником сведений о том, что с его данными будет происходить дальше.
Важный нюанс из практики: онлайн-проверка идёт без участия кандидата. Он подписывает документ, разрешающий проверку, но когда и как её проводят, ему не сообщают. Личное собеседование со службой безопасности назначают выборочно, если по итогам онлайн-проверки остались спорные моменты. Раз кандидат не видит процесса, предмет проверки и её исполнитель должны читаться из текста согласия.
Если вы кандидат и вам дали подписать согласие на проверку, в нём стоит найти четыре вещи: что именно будут проверять, кто проверяет (работодатель или названная организация с адресом), до какого момента действует согласие и как его отозвать. Отсутствие любого из этих пунктов — повод задать вопрос до подписания, а не после.
Срок согласия и достижение цели: когда данные уничтожают
Цель задаёт не только перечень данных, но и конец обработки. По части 7 статьи 5 152-ФЗ данные хранят не дольше, чем требуют цели, если срок не установлен федеральным законом или договором с субъектом, а пункт 8 части 4 статьи 9 требует указать в согласии срок его действия и способ отзыва. Срок, не привязанный к цели («бессрочно», «на 75 лет» для согласия кандидата), с частью 7 статьи 5 не сочетается.
Рабочий ориентир даёт образец согласия на сайте территориального управления Роскомнадзора: согласие действует с момента представления оператору до конкретной даты или на период действия названного договора или процедуры и может быть отозвано в любое время заявлением в простой письменной форме. Учтите, что страница последний раз обновлялась 14.06.2017, до поправок об отдельном документе, а первой целью в нём стоит общая формулировка «обеспечение соблюдения требований законодательства Российской Федерации». При копировании её раскрывают через конкретные процессы.
Когда цель достигнута, часть 4 статьи 21 152-ФЗ обязывает оператора прекратить обработку и уничтожить данные в срок не более 30 дней с даты достижения цели, если иное не предусмотрено договором или соглашением с субъектом либо если у оператора нет права обрабатывать данные без согласия на иных основаниях. При отзыве согласия действует часть 5 той же статьи: обработку прекращают, а данные, если их хранение больше не требуется для целей обработки, уничтожают в тот же 30-дневный срок с даты поступления отзыва.
Для проверки кандидата цель достигается решением о приёме. Если согласие не содержит второй цели, например включения в кадровый резерв, данные непринятого кандидата после решения подлежат уничтожению в 30-дневный срок, а у принятого дальнейшая обработка идёт уже по трудовому договору и ТК РФ.
Факт: аутсорсинговая служба безопасности после выполнения задачи не хранит данные кандидата: по истечении определённого срока их удаляют, и результаты проверки остаются только у заказчика.
Отзыв согласия не всегда останавливает обработку целиком. Часть 2 статьи 9 152-ФЗ разрешает продолжить её без согласия при основаниях из пунктов 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11. Работник, отозвавший согласие на передачу данных банку, не прекращает этим кадровый учёт и сдачу отчётности: они идут по закону. Поэтому в ответе на отзыв указывают, какая обработка прекращена, а какая продолжается и на каком основании.
В КЭДО Добыто подписанные согласия хранятся в электронном архиве вместе с остальными кадровыми документами работника, поэтому при отзыве или по достижении цели видно, какой документ и с какими целями подписан.
Ошибки в целях согласия и штрафы по статье 13.11 КоАП
Размер ответственности зависит от того, как проверяющий квалифицирует нарушение. Обработка, несовместимая с целями сбора, подпадает под часть 1 статьи 13.11 КоАП РФ: штраф для должностных лиц от 50 000 до 100 000 рублей, для юридических лиц от 150 000 до 300 000 рублей, при повторном нарушении по части 1.1 — от 100 000 до 200 000 и от 300 000 до 500 000 рублей соответственно. Обработка без письменного согласия там, где оно обязательно, или с нарушением требований к составу сведений в согласии — часть 2: от 100 000 до 300 000 рублей для должностных лиц и от 300 000 до 700 000 рублей для юридических лиц.
Ошибки, которые ведут к этим составам, обычно появляются ради экономии времени на оформлении:
- Согласие остаётся пунктом трудового договора или анкеты. Так делают, чтобы не плодить документы. С 1 сентября 2025 года это нарушает часть 1 статьи 9 152-ФЗ, и обработку, которой требуется согласие, проверяющий может расценить как проведённую без надлежащего согласия по части 2 статьи 13.11 КоАП.
- В цели стоят «иные цели» или «соблюдение законодательства». Шаблон кажется универсальным. На деле любая обработка за пределами названных процессов становится несовместимой с целями сбора, это часть 1 статьи 13.11.
- Не указан исполнитель по поручению. Внешнюю службу безопасности или расчётный центр подключают после подписания согласий. Без наименования и адреса такого лица согласие не содержит обязательных сведений из пункта 6 части 4 статьи 9 152-ФЗ.
- Перечень данных шире целей. Бланк копируют целиком, «чтобы не переделывать». Сведения, которые не объясняются ни одной целью, избыточны по части 5 статьи 5 152-ФЗ.
- Публикация на сайте идёт по общему согласию. Отдельное согласие на распространение по статье 10.1 не оформлено, и оператор не вправе распространять данные, даже если цель «размещение на сайте» в общем документе есть.
Штраф — не единственная статья расходов. После предписания согласия переоформляют со всеми работниками, а по отозванным согласиям и достигнутым целям данные уничтожают в 30-дневный срок из статьи 21 152-ФЗ, поэтому пересборка шаблонов обходится дешевле, если провести её до проверки. В Добыто платформа работает по требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ, и переподписание согласий в электронном виде не требует очных встреч с каждым работником.
Мария Ж, руководитель HR-отдела и спикер конференций по КЭДО: «Регламенты о том, как передавать, хранить и обрабатывать персональные данные, есть смысл принимать, если компания готова их выполнять. Документ, написанный для папки, данные не защищает. Прежде чем утверждать политику и шаблоны согласий, проверьте, что каждая цель в них соответствует тому, что подразделения действительно делают с данными.»
Стоимость КЭДО для подписания согласий на обработку персональных данных в 2026 году
Цена электронного оформления согласий зависит от численности персонала, нужных видов подписи и того, требуются ли свои шаблоны и интеграция с 1С; электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
Для небольшой компании, которой нужно собрать отдельные согласия со штатом до 25 человек, хватает тарифа «Старт»; отдельные шаблоны под разные цели и электронный архив подписанных документов есть в тарифе «Бизнес». Актуальные условия и переход между тарифами описаны на странице тарифов Добыто КЭДО; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Цель — точка, от которой в согласии считаются перечень данных, получатели и срок хранения. Формулировка работает, когда из неё видно процесс и результат, а обработку по ТК РФ и договору разумнее описывать в политике оператора, чем держать в отзываемом согласии. Проверка кандидата, передача данных третьим лицам и публикация на сайте требуют собственных целей, а распространение — отдельного документа по статье 10.1 152-ФЗ.
В Добыто согласия оформляются отдельными документами в КЭДО и подписываются электронной подписью, которая выдаётся сотрудникам без доплаты, поэтому пересобрать шаблоны под конкретные цели и переподписать их со всем штатом можно без бумажного оборота.
Частые вопросы о целях в согласии на обработку персональных данных
Что делать, если цель обработки изменилась после получения согласия?
Старое согласие новую цель не покрывает: часть 2 статьи 5 152-ФЗ запрещает обработку, несовместимую с целями сбора, а цель должна быть определена заранее. Если новая обработка опирается на согласие, у субъекта берут новое согласие с этой целью, перечнем данных под неё и сроком. Одновременно обновляют политику оператора, чтобы цели в двух документах совпадали.
Можно ли подписать согласие на обработку персональных данных электронной подписью?
Да. Часть 4 статьи 9 152-ФЗ признаёт равнозначным письменному согласию с собственноручной подписью согласие в форме электронного документа, подписанного электронной подписью в соответствии с федеральным законом. Для ПЭП по 63-ФЗ нужно, чтобы стороны заранее договорились о её использовании; УНЭП и УКЭП применяются по правилам того же закона. Требование отдельного документа с 1 сентября 2025 года действует и для электронной формы.
Можно ли указать срок действия согласия «до отзыва»?
Пункт 8 части 4 статьи 9 152-ФЗ называет срок действия и способ отзыва двумя разными сведениями. Формулировка «до отзыва» описывает только способ прекращения, срока в ней нет. Надёжнее указать дату или событие, при котором цель достигнута: окончание трудового договора, завершение процедуры оценки, решение по кандидату, и отдельной фразой — порядок отзыва письменным заявлением.
Должны ли цели в согласии совпадать с целями в политике оператора?
Политику обработки персональных данных оператор обязан утвердить по статье 18.1 152-ФЗ, а если собирает данные через интернет, — опубликовать. Роскомнадзор в рекомендациях от 31.07.2017 относит цели сбора к обязательному разделу политики. Если одна и та же обработка описана в политике и в согласии по-разному, субъект получает противоречивую информацию, и согласие перестаёт быть однозначным в смысле части 1 статьи 9.
Может ли работник отказаться подписывать согласие?
Может: по части 1 статьи 9 152-ФЗ субъект даёт согласие свободно, своей волей и в своём интересе. Отказ не останавливает обработку, которой требуют ТК РФ и налоговое законодательство, — для неё согласие не нужно. Но без согласия работодатель не вправе передавать данные работника третьим лицам, если закон этого не предусматривает (статья 88 ТК РФ), и распространять их, например размещать фото на сайте.
Может ли согласие подписать представитель?
Может. Пункт 2 части 4 статьи 9 152-ФЗ требует указать в таком согласии фамилию, имя, отчество и адрес представителя, номер его документа, удостоверяющего личность, дату выдачи и выдавший орган, а также реквизиты доверенности или иного документа, подтверждающего полномочия. Цель, перечень данных и срок при этом формулируются так же, как в согласии самого субъекта.
