Согласие на обработку персональных данных онлайн: правила 2026

Согласие на обработку персональных данных в электронном виде получают тремя способами: файлом, который подписан электронной подписью, отдельной формой подтверждения в личном кабинете или на сайте, либо подписанием через мобильное приложение Госключ. Способ выбирается не по удобству, а по тому, требует ли закон письменной формы согласия для вашей цели обработки. Если требует, согласие оформляется электронным документом с электронной подписью: часть 4 статьи 9 152-ФЗ приравнивает такой документ к бумажному с собственноручной подписью. Если не требует, достаточно любой формы, позволяющей подтвердить факт получения: отметка в отдельном чекбоксе, код из SMS, нажатие обособленной кнопки. С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подтверждает или подписывает.

Разберём, в каких случаях письменная форма обязательна, какая подпись закрывает каждый сценарий и какие девять сведений закон требует в тексте согласия. Покажем, как оператор доказывает факт получения согласия, если субъект заявит, что ничего не подписывал, и какие решения в электронной форме к такому доказательству не приводят. Сравнение каналов сбора, чек-лист подготовки, образцы документов для скачивания, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.

Соберите текст согласия под свою цель обработки и скачайте готовый файл .docx с целями, сроком действия и оговоркой об отзыве по 152-ФЗ.

Когда согласие нужно, а когда обработка законна без него

Согласие — лишь одно из оснований обработки, и в кадровых процессах оно далеко не основное. Часть 1 статьи 6 152-ФЗ разрешает обработку без согласия, когда она необходима для исполнения договора, стороной которого является субъект, и когда она нужна для исполнения обязанностей, возложенных на оператора законом. Оформление приёма, ведение табеля, расчёт заработной платы, удержание НДФЛ и сдача ЕФС-1 в Социальный фонд России в отдельном согласии не нуждаются: работодатель здесь исполняет прямые обязанности по Трудовому кодексу и налоговому законодательству.

Согласие требуется там, где цель выходит за рамки трудового договора и прямых обязанностей работодателя. Типовой набор таких целей: проверка кандидата по открытым источникам, запрос характеристик у прежних работодателей, публикация фотографии и должности на сайте компании, передача данных в сторонний сервис, оценка методом 360, обработка сведений о здоровье сверх обязательных медосмотров. Каждая из этих целей описывается в согласии отдельно, потому что часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным.

Различие, от которого зависит весь дальнейший порядок действий: требует ли закон именно письменной формы согласия. Письменная форма обязательна для специальных категорий персональных данных по части 2 статьи 10, для биометрических данных по части 1 статьи 11, для трансграничной передачи в государства без адекватной защиты по части 4 статьи 12 152-ФЗ, а в трудовых отношениях дополнительно для получения данных работника у третьей стороны (часть 3 статьи 86 ТК РФ) и для передачи данных работника третьим лицам (статья 88 ТК РФ). Во всех остальных случаях форма свободная, и электронная подпись не нужна вовсе.

Проверить себя можно за один заход: откройте политику обработки персональных данных и сверьте перечень целей с основаниями статьи 6. Каждая цель, которая не закрывается исполнением договора или обязанностью по закону, должна иметь под собой согласие, иначе обработка идёт без основания.

Какая электронная подпись закрывает согласие в электронном виде

Часть 4 статьи 9 152-ФЗ приравнивает к письменному согласию на бумаге электронный документ, подписанный электронной подписью в соответствии с федеральным законом. Конкретный вид подписи норма не называет, и отсюда растёт большая часть споров. Ответ даёт 63-ФЗ: усиленная квалифицированная подпись равнозначна собственноручной в силу закона, а простая и усиленная неквалифицированная дают равнозначность только при наличии соглашения между участниками электронного взаимодействия.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Это условие теряют чаще всего. Компания выдаёт работникам УНЭП в системе КЭДО, собирает ими согласия и считает вопрос закрытым, а соглашения об использовании подписи и локального акта с порядком проверки подписи в комплекте нет. Формально подпись исправна, юридически равнозначности письменной форме она не даёт.

Мария Ж, специалист по цифровой подписи и КЭДО: «Различие между видами подписи — не про степень защиты, а про основание равнозначности. Квалифицированная подпись равна собственноручной в силу закона, а для простой и неквалифицированной нужно соглашение между участниками обмена, и без него равнозначности нет. Выбирая простую подпись, вы одновременно берёте на себя обязанность иметь соглашение и локальный акт, где описаны правила определения лица по его подписи. Откройте свой комплект документов и проверьте, есть ли там оба.»

Таблица ниже сводит сценарии обработки с требуемой формой согласия и допустимой подписью.

Из таблицы следует практический вывод для бюджета: УКЭП для сбора согласий нужна далеко не всем и не всегда. Большинство кадровых сценариев закрывается связкой из УНЭП и корректно оформленного соглашения об электронном взаимодействии, а часть целей вообще не требует подписи.

Что обязательно написать в тексте электронного согласия

С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Требование внесено в статью 9 152-ФЗ Федеральным законом от 24.06.2025 № 156-ФЗ. Практическое следствие для электронных форм: чекбокс внутри пользовательского соглашения, строка в анкете кандидата и пункт в трудовом договоре перестали быть допустимым способом получить согласие. Нужен отдельный экран, отдельный файл или визуально обособленный блок с самостоятельным действием подтверждения.

Когда закон требует письменной формы, часть 4 статьи 9 задаёт закрытый состав сведений. В электронном документе они перечисляются полностью, сокращать список нельзя:

1. Фамилия, имя, отчество, адрес субъекта, реквизиты документа, удостоверяющего личность.
2. Наименование или фамилия, имя, отчество и адрес оператора, получающего согласие.
3. Цель обработки персональных данных.
4. Перечень персональных данных, на обработку которых даётся согласие.
5. Наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку по поручению оператора, если обработка поручена такому лицу.
6. Перечень действий с персональными данными, на совершение которых даётся согласие.
7. Общее описание используемых оператором способов обработки.
8. Срок, в течение которого действует согласие, и способ его отзыва.
9. Подпись субъекта персональных данных.

Состав сведений удобно сверять с типовой формой: Роскомнадзор публикует образец согласия на обработку персональных данных с разбивкой на цели, категории данных, срок действия и порядок отзыва. Форма бумажная, но перечень реквизитов для электронного документа тот же: меняется способ подписания, а не состав сведений.

Важный нюанс из практики: типовое нарушение при переводе согласий в электронный вид — доступ ко всему кадровому массиву у всей кадровой службы целиком. Разграничение доступа по ролям и журнал обращений закрывают требование о защите данных не хуже, чем выбор площадки хранения, и при проверке смотрят именно на них.

Образцы согласий и локальных актов для сбора данных в электронном виде

Комплект собран под сбор согласий: начинайте с правил обработки персональных данных, потому что цели и сроки в согласии должны совпадать с этим локальным актом.

Каналы сбора электронного согласия и их ограничения

Каналов, которые реально работают, пять, и они закрывают разные задачи. Разница между ними не в интерфейсе, а в том, какую форму согласия канал способен обеспечить и кто в момент подписания уже находится в вашей системе.

Выбор канала определяется тем, кем субъект приходится компании на момент подписания. Для действующего работника дешевле и быстрее личный кабинет, для кандидата — Госключ, для клиента или подписчика рассылки — отдельная форма на сайте.

В практике Добыто мы закладываем пилотную группу перед раскаткой на всю компанию именно на этапе сбора согласий: на первой сотне человек видно, какая доля не откроет ссылку, у кого не работает подтверждение и сколько обращений придёт в кадровую службу.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Вопрос, который я советую задавать поставщику системы прямо: перечислите всех, кто получит доступ к данным. Не общее «данные хранятся защищённо», а список лиц. Обычно там не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Всех троих придётся назвать в согласии на передачу данных третьим лицам, поэтому список нужен до подписания договора, а не после.»

Как собрать согласие на обработку персональных данных в электронном виде: пошаговая инструкция

1. Шаг 1. Выпишите цели обработки и по каждой определите основание: исполнение договора, обязанность по закону или согласие. Согласие оформляется только для целей третьей группы.
2. Шаг 2. По каждой цели с согласием проверьте, требует ли закон письменной формы. От этого зависит, нужна ли электронная подпись или хватит подтверждения действием.
3. Шаг 3. Соберите текст согласия по девяти пунктам части 4 статьи 9 и вынесите его отдельным документом, не объединяя с анкетой, офертой и трудовым договором.
4. Шаг 4. Закрепите вид подписи: для ПЭП и УНЭП подготовьте соглашение об электронном взаимодействии и локальный акт с порядком проверки подписи, для УКЭП этого не требуется.
5. Шаг 5. Настройте канал: отдельный экран подтверждения в личном кабинете, отправку документа в Госключ или обособленную форму на сайте без предзаполненной отметки.
6. Шаг 6. Включите фиксацию: кто подтвердил, когда, какую редакцию текста видел, каким способом подтверждена личность. Без этих данных согласие в споре не защищает.
7. Шаг 7. Опишите и проверьте отзыв: способ подачи отзыва указан в самом согласии, а после его поступления обработка по этой цели останавливается.

Как доказать, что согласие получено именно от этого человека

Обязанность доказать наличие согласия лежит на операторе: это прямо установлено частью 3 статьи 9 152-ФЗ. Доказывается не факт клика, а связка из трёх элементов: конкретный человек, конкретная редакция текста согласия и момент времени. Электронная система, которая хранит только отметку «согласие получено», эту связку не даёт.

Практика по электронным кадровым документам показывает, где именно рвётся доказательственная конструкция. В одном из споров об увольнении через систему КЭДО у работодателя было всё, что принято считать достаточным: положение о кадровом электронном документообороте, утверждённый перечень документов и категорий работников, порядок создания личного кабинета, письменное согласие работника, полученное в срок. Первая инстанция и апелляция встали на сторону работодателя. Кассационный суд акты отменил: суд признал, что заявление в системе сформировал сам истец, но в материалах дела не оказалось сведений о порядке идентификации. При новом рассмотрении работник выиграл, и перевесили три обстоятельства — подпись выдали в день подписания заявления, работник не умел пользоваться системой и за него подписывал другой человек, а собственная система работодателя всё это зафиксировала.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени человека, для победы в споре недостаточно. Суд отдельно смотрит, был ли у оператора порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор вы проиграете при технически исправной подписи. Откройте локальный акт и найдите в нём раздел про идентификацию: если его нет, это первое, что нужно дописать.»

Второе, что проверяется при споре и при проверке, — способность выгрузить комплект целиком. Хранить недостаточно: нужны сам документ, отдельный файл подписи и машиночитаемая доверенность, если со стороны организации подписывал уполномоченный работник. В сервисе Добыто комплект выгружается в том же составе, в каком его придётся предъявлять, и это тот вопрос, который стоит задать любому поставщику до покупки.

Отдельно про распечатку. Распечатанный электронный документ остаётся копией электронного документа, а не оригиналом. Чтобы такая распечатка что-то значила, её заверяет оператор электронного документооборота, удостоверяющий центр, нотариус либо сама организация с отметкой о верности копии.

Ошибки, из-за которых электронное согласие не работает

Ошибки в электронных согласиях повторяются от компании к компании, и почти все они возникают из желания упростить процесс сбора.

• Согласие спрятано внутри другого документа. Делают так ради одного действия пользователя вместо двух. С 1 сентября 2025 года это прямое нарушение требования об оформлении согласия отдельно от иных информации и документов.
• ПЭП без соглашения и локального акта. Мотив тот же: не хочется плодить бумаги на входе. Результат — подпись есть, а равнозначности письменной форме нет, и для целей, где закон требует письменного согласия, обработка идёт без основания.
• Одно согласие на все цели сразу. Удобно кадровой службе и противоречит требованию части 1 статьи 9 о конкретности и предметности согласия. Формулировка «на обработку в целях, связанных с трудовой деятельностью» не описывает ни одной цели.
• Не фиксируется редакция текста. Компания правит форму согласия раз в год, а в системе хранится только отметка о подтверждении. Доказать, что человек видел именно ту редакцию, на которую вы ссылаетесь, нечем.
• Нет работающего механизма отзыва. Способ отзыва указан в тексте, а фактически обращения никуда не поступают либо обработка после отзыва продолжается.

Сколько стоит ошибка в оформлении согласия

Цена считается не стоимостью переоформления бланка. Обработка персональных данных в случаях, не предусмотренных законом, либо несовместимая с целями сбора, влечёт по части 1 статьи 13.11 КоАП РФ штраф для должностных лиц от 50 000 до 100 000 рублей и для юридических лиц от 150 000 до 300 000 рублей. Обработка без согласия, когда закон требует письменной формы, а равно согласие, не содержащее обязательных сведений, идёт по части 2: должностные лица от 100 000 до 300 000 рублей, юридические лица от 300 000 до 700 000 рублей. Повторное нарушение по части 2 обходится организации от 1 000 000 до 1 500 000 рублей.

Отдельный состав касается статуса оператора персональных данных. Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные по статье 22 152-ФЗ. Неуведомление стоит юридическому лицу от 100 000 до 300 000 рублей. Компания, которая собирает согласия электронно, но в реестре операторов не значится, получает оба состава одновременно.

Когда электронный сбор согласий не подходит

Электронная форма проигрывает бумажной в трёх ситуациях. Первая: разовое согласие от человека, который в вашей системе никогда не появится и учётной записи на Госуслугах не имеет. Настройка канала займёт больше времени, чем подписание бланка от руки. Вторая: цели, где закон требует письменной формы, а соглашение об электронном взаимодействии с этим человеком заключить не с чем и некогда — например, разовая проверка сведений о кандидате, который приехал на собеседование без смартфона. Третья: компания до пятнадцати человек с одним офисом, где вся кадровая работа идёт очно.

И ограничение, которое надо учитывать до старта: по процессам, которые вы перевели в электронный вид и на которые работник согласился, в бумаге вы их уже не оформите. Откатиться обратно по конкретному документу нельзя, поэтому порядок такой — сначала процессы, потом система.

Что проверить до запуска электронного сбора согласий

Подготовка занимает больше времени, чем настройка канала, и определяет, будет ли согласие работать при проверке. В практике Добыто эту проверку мы проводим до подключения системы: половина замечаний закрывается правкой локальных актов, а не настройками сервиса. Перед запуском проверьте семь позиций.

1. Утверждена ли политика обработки персональных данных и совпадают ли перечисленные в ней цели с формулировками в согласии.
2. Направлено ли уведомление в Роскомнадзор по статье 22 152-ФЗ и актуальны ли сведения в нём.
3. Есть ли соглашение об электронном взаимодействии и локальный акт с порядком проверки подписи, если вы используете ПЭП или УНЭП.
4. Описан ли в локальном акте порядок идентификации субъекта при подписании.
5. Разграничен ли доступ к кадровому массиву по ролям и ведётся ли журнал обращений к данным.
6. Определён ли перечень третьих лиц, которым передаются данные, включая провайдера системы, владельца инфраструктуры и удостоверяющий центр.
7. Настроен ли приём и исполнение отзыва согласия, включая остановку обработки по отозванной цели.

Мария Ж, юрист со стажем более 20 лет: «Закон описывает рамку, а внутри неё порядок определяете вы. Если вы не опишете его под свои процессы, вы получите чужой типовой порядок из шаблона поставщика и будете работать по нему годами. На сбор согласий у работников со стажем, начатым до 2022 года, закладывайте отдельное время: отказавшихся придётся вести в бумажном режиме параллельно, и это часть плана, а не досадная мелочь.»

Важный нюанс из практики: перевод сбора согласий и заявлений в личный кабинет снижает временные затраты кадровой службы минимум в три раза за счёт того, что документ приходит подписанным и сразу попадает в учётную систему. Основную часть экономии даёт не скорость подписания, а отсутствие повторных обращений за недостающими реквизитами.

Стоимость перевода согласий и кадровых документов в электронный вид

Стоимость складывается из численности сотрудников, набора подписей и потребности в интеграции с учётной системой. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах и отдельной статьёй расходов не становятся.

Итоговая сумма зависит от численности и от того, нужен ли выделенный сервер и отдельный уровень доступности сервиса. Условия по каждому тарифу, состав функций и порядок перехода между тарифами перечислены на странице тарифов ДОБЫТО КЭДО: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.

Выводы

Электронное согласие на обработку персональных данных работает не потому, что оно электронное, а потому, что соблюдён режим его получения. Сначала определяется основание и цель обработки, затем проверяется, требует ли закон письменной формы, и только после этого выбирается подпись и канал. С 1 сентября 2025 года согласие оформляется отдельным документом, а девять сведений части 4 статьи 9 в нём приводятся полностью. Доказывать наличие согласия будет оператор, поэтому фиксация редакции текста, времени и способа идентификации важнее интерфейса формы.

Мы в Добыто собираем согласия и кадровые документы в одном контуре: подписи для сотрудников выпускаются внутри сервиса, комплект документа выгружается вместе с файлом подписи, а порядок идентификации описывается в локальных актах до запуска, а не после первой проверки.

Частые вопросы о согласии на обработку персональных данных

Нужно ли переподписывать согласия, полученные до 1 сентября 2025 года?

Требование оформлять согласие отдельно от иных информации и документов внесено Федеральным законом от 24.06.2025 № 156-ФЗ и применяется к согласиям, которые получаются после этой даты. Обратной силы норма не имеет, поэтому массовая переподписка ранее собранных согласий законом не предусмотрена. Переоформить придётся в другом случае: если меняются цель обработки, перечень данных, перечень действий или состав третьих лиц, согласие собирается заново и уже по новым правилам.

Как получить согласие от кандидата, который ещё не заведён в систему компании?

Личный кабинет системы КЭДО для этого не подходит: кандидат не работник, учётной записи у него нет. Рабочих вариантов два. Первый — Госключ: документ отправляется человеку в приложение, подписывается УНЭП по подтверждённой учётной записи на Госуслугах, подписанный файл возвращается обратно. Второй — отдельная форма на сайте, но она закрывает только те цели, для которых письменная форма не требуется. Для проверки судимости или сведений о здоровье формы с чекбоксом недостаточно.

Как отзывается электронное согласие и что оператор обязан сделать после отзыва?

Способ отзыва указывается в самом тексте согласия: это один из девяти обязательных пунктов части 4 статьи 9 152-ФЗ. Отзыв подаётся тем же способом, который описан в согласии, и особой формы закон не требует. После поступления отзыва оператор прекращает обработку по отозванной цели. Обработка продолжается только по тем целям, у которых есть другое основание из статьи 6: исполнение договора или обязанность, возложенная законом. Расчёт зарплаты и сдача отчётности после отзыва согласия не останавливаются, а рассылка и публикация фотографии — останавливаются.

Согласие на обработку данных и обязательство о неразглашении коммерческой тайны — один документ или разные?

Разные, и объединять их нельзя. Согласие регулируется 152-ФЗ и касается данных самого человека, обязательство о неразглашении вводится режимом коммерческой тайны по 98-ФЗ и касается сведений компании. Подписание обязательства о неразглашении не даёт работодателю права обрабатывать персональные данные работника сверх трудового договора, а согласие на обработку не заменяет введение режима коммерческой тайны. С 1 сентября 2025 года требование об оформлении согласия отдельным документом делает их объединение прямым нарушением.

Нужно ли отдельное согласие на передачу данных в облачный сервис КЭДО?

Да, если данные уходят за периметр компании. При использовании облачного решения кадровые документы передаются провайдеру сервиса, а при аренде инфраструктуры и выпуске подписей сторонним центром — ещё владельцу серверов и удостоверяющему центру. Для работников это передача данных третьим лицам, которая по статье 88 ТК РФ требует письменного согласия. В согласии перечисляются конкретные лица, а не абстрактная формулировка о третьих лицах, поэтому список получателей запрашивается у поставщика до заключения договора.

Можно ли собрать согласие обычным письмом по электронной почте?

Для целей, где письменная форма не требуется, ответное письмо годится как форма, подтверждающая факт получения согласия, при условии что текст согласия был направлен человеку целиком и подтверждение он дал отдельным действием. Для целей с обязательной письменной формой такого письма недостаточно: нужен электронный документ, подписанный электронной подписью, либо действующее соглашение об использовании простой подписи, где описан порядок определения лица по его подписи. Скан подписанного от руки бланка остаётся электронным образом бумажного документа, и оригиналом в этом случае считается бумага.