Согласие на обработку персональных данных действует, если в нём есть девять групп сведений из части 4 статьи 9 152-ФЗ: данные субъекта и его документа, сведения о представителе, наименование и адрес оператора, цель обработки, перечень данных, сведения о лице, обрабатывающем данные по поручению, перечень действий и способы обработки, срок действия и способ отзыва, подпись. С 1 сентября 2025 года добавилось требование Федерального закона от 24.06.2025 № 156-ФЗ: согласие оформляется отдельно от иных информации и документов, встроить его абзацем в трудовой договор или в форму на сайте больше нельзя. Ранее полученные согласия при этом остаются в силе и переоформления не требуют. Главное различие, от которого зависит весь комплект: для обычной кадровой работы отдельное согласие не нужно, а для передачи данных третьим лицам, публикации и специальных категорий данных нужно письменное согласие с полным составом реквизитов.
Разберём каждый из девяти реквизитов: какая формулировка проходит проверку, а какая делает согласие дефектным. Покажем, какие цели нельзя складывать в один бланк, что согласием вообще не легализуется, и чем согласие на КЭДО отличается от согласия на обработку данных. Чек-лист самопроверки готовой формы, порядок отзыва и хранения, размеры штрафов по статье 13.11 КоАП в редакции 2026 года и стоимость подключения — во второй половине статьи.
Конструктор ниже собирает согласие под конкретную цель обработки и выгружает готовый файл .docx с обязательными реквизитами, сроком действия и оговоркой об отзыве по 152-ФЗ.
Девять обязательных сведений в согласии по части 4 статьи 9 152-ФЗ
Часть 1 статьи 9 требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Часть 4 переводит это требование в перечень реквизитов для письменной формы. Отсутствие любого из них означает, что согласие не соответствует закону, а обработка ведётся без надлежащего согласия: это самостоятельный состав по части 2 статьи 13.11 КоАП РФ.
| Реквизит по части 4 статьи 9 | Что должно стоять в форме | Из-за чего реквизит считают дефектным |
|---|---|---|
| Сведения о субъекте | ФИО, адрес, номер документа, удостоверяющего личность, дата выдачи и выдавший орган | Указаны только ФИО и должность, паспортные данные заменены табельным номером |
| Сведения о представителе | ФИО, адрес, документ о полномочиях — если согласие подписывает представитель | Блок удалён из шаблона, и согласие за несовершеннолетнего подписать нечем |
| Сведения об операторе | Наименование и адрес юридического лица, получающего согласие | Написан бренд или название группы компаний вместо конкретного юридического лица |
| Цель обработки | Одна проверяемая цель: оформление трудовых отношений, проверка достоверности сведений кандидата, выпуск сертификата электронной подписи | Формулировки «в уставных целях», «для целей деятельности компании», перечисление пяти целей подряд |
| Перечень персональных данных | Закрытый список полей, соотносимый с целью | Хвост «и иные данные», из-за которого перечень перестаёт быть перечнем |
| Лицо, обрабатывающее данные по поручению | Наименование и адрес подрядчика, если обработка поручена стороннему исполнителю | Проверка кандидатов отдана на аутсорсинг, а в согласии исполнитель не назван |
| Перечень действий и способы обработки | Сбор, запись, хранение, передача, уничтожение; с использованием средств автоматизации и без них | Блок отсутствует либо описан одним словом «обработка» |
| Срок действия и способ отзыва | Срок в годах или привязка к событию плюс адрес и порядок подачи отзыва | Указан срок, но не указан способ отзыва — это два разных сведения, а не одно |
| Подпись субъекта | Собственноручная подпись либо электронная подпись по 63-ФЗ | Отметка в интерфейсе без идентификации того, кто её поставил |
Три реквизита из девяти отвечают не за оформление, а за объём полномочий оператора: цель, перечень данных и перечень действий. По ним определяется, законна ли конкретная операция. Наименование оператора при этом сверяется с реестром: подать уведомление об обработке персональных данных обязаны практически все компании, и проверить, числится ли ваше юридическое лицо в реестре операторов персональных данных Роскомнадзора, можно по ИНН за минуту.
Факт: согласие в форме электронного документа, подписанного электронной подписью по 63-ФЗ, признаётся равнозначным бумажному с собственноручной подписью. Отдельного вида подписи часть 4 статьи 9 не требует.
Когда согласие нужно, а когда работодатель обрабатывает данные без него
Самая частая ошибка в кадровом документообороте — собирать согласие на всё подряд. Данные, которые работодатель обрабатывает для исполнения трудового договора и для соблюдения требований ТК РФ, обрабатываются по пункту 2 части 1 статьи 6 152-ФЗ, то есть без согласия. Отдельное письменное согласие включается там, где обработка выходит за пределы трудовых отношений.
| Ситуация | Нужно ли отдельное письменное согласие | Основание |
|---|---|---|
| Приём на работу, кадровый учёт, начисление зарплаты, отчётность | Нет | Пункт 2 части 1 статьи 6 152-ФЗ, глава 14 ТК РФ |
| Передача данных работника третьему лицу | Да, до передачи | Статья 88 ТК РФ |
| Проверка кандидата силами внешнего подрядчика | Да, до начала проверки | Пункт 1 части 1 статьи 6 и часть 4 статьи 9 152-ФЗ |
| Публикация фотографии и должности на сайте компании | Да, отдельным согласием на распространение | Статья 10.1 152-ФЗ |
| Сведения о состоянии здоровья сверх медицинского заключения | Да, письменным согласием | Часть 2 статьи 10 152-ФЗ |
| Сведения о судимости кандидата | Согласие не даёт права на обработку | Часть 3 статьи 10 152-ФЗ |
| Передача данных за пределы России | Да, с предварительным уведомлением Роскомнадзора | Статья 12 152-ФЗ |
Строка про судимость выделяется из остальных. Часть 3 статьи 10 152-ФЗ допускает обработку сведений о судимости государственными и муниципальными органами в пределах их полномочий, а иными лицами — только в случаях и порядке, определённых федеральными законами. Коммерческий работодатель получает такое право по статьям 331 и 351.1 ТК РФ для работы с несовершеннолетними и по отдельным отраслевым нормам. Во всех прочих случаях подписанное кандидатом согласие эту обработку не легализует, потому что подпись не создаёт основания, которого нет в законе.
Полезно знать: перечень документов в статье 65 ТК РФ закрытый. Расширить его могут указ Президента и постановление Правительства, но не приказ министерства и не внутренний регламент компании. Согласие на обработку данных не превращает справку сверх перечня в документ, который можно требовать при приёме.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «Типовая ситуация выглядит так: служба безопасности просит кандидата принести справку о доходах с прошлого места или характеристику, а в подтверждение показывает подписанное согласие на обработку данных. Законного основания требовать эти документы согласие не создаёт, и отказать в приёме за их непредставление нельзя. Сверьте список того, что вы запрашиваете на входе, со статьёй 65 ТК РФ: всё, чего там нет, кандидат вправе не приносить.»
Одна цель — одно согласие: как разделить формы
Требование конкретности из части 1 статьи 9 на практике означает, что согласие нельзя собрать «на всякий случай» на пять лет вперёд. Каждой цели соответствует свой перечень данных, свой круг получателей и свой срок. Когда цели складывают в один бланк, отзыв согласия по одной из них обрушивает весь документ, а при проверке ни одна цель не считается конкретной.
Рабочий комплект для средней компании выглядит так: базовое согласие на обработку данных работника для целей, выходящих за рамки трудового договора; согласие кандидата на проверку достоверности сведений; согласие на обработку данных для выпуска сертификата электронной подписи; согласие на распространение фото и должности; согласие на участие в процедурах оценки. Пять разных документов, а не один с пятью абзацами.
В практике Добыто на старте внедрения мы сначала разводим цели обработки по отдельным формам и только потом ставим их в маршрут подписания. Обратный порядок означает, что при смене одной цели переподписывать придётся весь комплект.
Если вы работодатель и читаете этот раздел с мыслью, что кандидатов у вас проверяет внешний подрядчик, назовите его в согласии по имени. Подрядчик выступает лицом, обрабатывающим данные по поручению оператора, работает по собственному уведомлению в реестре Роскомнадзора и получает данные от вас, а не от кандидата. Сведения о нём входят в обязательный состав согласия отдельным пунктом.
Образцы согласий и локального акта по обработке персональных данных
Комплект собран по разным целям обработки, начинать стоит с базового согласия работника, а Правила обработки персональных данных подключать, когда цели уже разведены.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Согласие на обработку ПДн для выпуска сертификата ЭП | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на проверку кредитной истории | Скачать |
Как проверить готовое согласие за 10 минут
Проверка идёт не по внешнему виду документа, а по девяти реквизитам и по связке «цель — перечень данных — перечень действий». Форма, скачанная из интернета до сентября 2025 года, почти всегда спотыкается на двух местах: она вшита в договор и в ней нет способа отзыва.
Как проверить содержание согласия: пошаговая инструкция
- Шаг 1. Убедитесь, что согласие оформлено отдельным документом, а не разделом трудового договора, анкеты или пользовательского соглашения. Это требование части 1 статьи 9 152-ФЗ в редакции 156-ФЗ, действующее с 1 сентября 2025 года для новых согласий.
- Шаг 2. Найдите в тексте все девять реквизитов из части 4 статьи 9. Отметьте отсутствующие: каждый пропуск переводит документ в категорию согласия с нарушением требований к составу сведений.
- Шаг 3. Прочитайте формулировку цели и спросите, можно ли по ней определить границу допустимого. Если под цель подпадает любая операция с данными, цель не конкретна.
- Шаг 4. Сверьте перечень данных с целью. Паспортные данные в согласии на рассылку поздравлений и ИНН в согласии на публикацию фото — признак того, что перечень скопирован из другого бланка.
- Шаг 5. Проверьте, назван ли подрядчик, если обработка или часть проверок отданы на сторону. Наименования группы компаний недостаточно, нужно конкретное юридическое лицо.
- Шаг 6. Найдите срок действия и способ отзыва. Способ описывается до уровня действия: куда подать заявление, в каком виде, на какой адрес.
- Шаг 7. Проверьте, чем подписывается согласие и как фиксируется подписант. Для электронной формы нужны электронная подпись по 63-ФЗ и запись в журнале системы, а не отметка в интерфейсе.
Лайфхак: выгрузку журнала действий по подписанию согласий полезно смотреть до проверки и до увольнений, на которых ожидается конфликт, а не после. Журнал не выборочный: он покажет и подтверждающие записи, и расхождения по датам.
Электронное согласие: чем согласие на ПДн отличается от согласия на КЭДО
Эти два документа регулярно подменяют друг другом, а требования у них разные. Согласие на обработку персональных данных даёт оператору право совершать операции с данными и регулируется 152-ФЗ. Согласие на взаимодействие в кадровом электронном документообороте даёт работодателю право оформлять кадровые документы электронно и регулируется статьёй 22.2 ТК РФ. Одно другое не заменяет: работник может согласиться на КЭДО и отказать в публикации фото на сайте, и наоборот.
В электронном виде само согласие на обработку данных подписывается любой электронной подписью по 63-ФЗ. Внутри КЭДО это чаще всего усиленная неквалифицированная подпись, выданная работнику в системе работодателя. Здесь появляется риск, который к содержанию документа отношения не имеет, но обрушивает его доказательную ценность: если подпись выдана работнику в тот же день, когда подписано согласие, и работник фактически системой не пользуется, в споре суд смотрит на обстоятельства выдачи подписи, а не только на техническую корректность реквизита.
В практике Добыто мы разводим во времени выдачу электронной подписи и первые кадровые действия с ней, а перед раскаткой на всю компанию закладываем пилотную группу. На согласиях это видно сразу: на пилоте становится понятно, какие пункты формы работники не подписывают без вопросов.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Статья 22.2 ТК РФ требует письменного согласия каждого работника на электронное взаимодействие. Без него использовать электронные документы и электронную подпись во взаимодействии с этим работником нельзя, а ведение КЭДО в таком виде может быть признано незаконным при споре или проверке. Проверьте по своему реестру, на всех ли работающих сотрудников у вас есть согласие на КЭДО, а не только на тех, кто пришёл после запуска системы.»
Срок действия, отзыв и хранение согласия
Срок действия входит в обязательные сведения, и бессрочное согласие требованию не отвечает. На практике используются две конструкции: календарный срок в годах и привязка к событию, например к сроку действия трудового договора плюс срок хранения кадровых документов. Вторая удобнее, потому что не требует переподписания каждый год.
Отзыв подаётся в том порядке, который описан в самом согласии. После поступления отзыва оператор обязан прекратить обработку в срок, не превышающий 30 дней, если иное не предусмотрено договором или федеральным законом. Отзыв не всегда означает полное прекращение: если для части данных есть самостоятельное основание, например исполнение трудового договора или требование закона о хранении кадровых документов, обработка в этой части продолжается.
Сами подписанные согласия хранятся 3 года после истечения срока их действия или отзыва — это статья 441 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236. Более короткий срок в локальном акте противоречит Перечню, более длинный требует обоснования целью.
Внимание: внешний подрядчик, проверяющий кандидатов, обязан состоять в реестре операторов персональных данных и удалять полученные данные по истечении установленного срока. Согласие получает заказчик, а подрядчик приступает к работе только после того, как убедился в его наличии.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт по трудовому праву: «В спорах по электронным кадровым документам доказывают четыре обстоятельства подряд: получено ли согласие работника, ознакомлен ли он с локальным актом, использовал ли он электронную подпись и получил ли электронный документ. Порядок здесь имеет значение: если рассыпается первое, до остальных дело не доходит, каким бы аккуратным ни был журнал подписания. Начните самопроверку с комплекта согласий, а не с технической части.»
Сколько стоит ошибка в содержании согласия
Дефект согласия обходится дороже, чем отсутствие бумаги как таковой. Формально это два разных состава, но по части 2 статьи 13.11 КоАП РФ они наказываются одинаково: обработка без письменного согласия и обработка при согласии, не содержащем требуемых сведений, стоят одного и того же штрафа. Проверка при этом начинается с того, что видно без запроса документов: опубликованная политика обработки и форма согласия на сайте.
| Состав по статье 13.11 КоАП РФ | Должностные лица | Юридические лица |
|---|---|---|
| Часть 1: обработка без правового основания или несовместимая с целями сбора | 50 000-100 000 руб. | 150 000-300 000 руб. |
| Часть 2: нет письменного согласия либо согласие не содержит требуемых сведений | 100 000-300 000 руб. | 300 000-700 000 руб. |
| Часть 2.1: повторное нарушение по части 2 | 300 000-500 000 руб. | 1 000 000-1 500 000 руб. |
| Часть 3: нет опубликованной политики обработки персональных данных | 6 000-12 000 руб. | 30 000-60 000 руб. |
| Часть 10: не подано уведомление об обработке в Роскомнадзор | 30 000-50 000 руб. | 100 000-300 000 руб. |
Составы складываются. Компания, которая держит согласие внутри трудового договора, не подала уведомление и не опубликовала политику, получает три штрафа в одном протоколе, а не выбирает самый мягкий. Отдельно считается стоимость переподписания: собрать заново 500 согласий на бумаге дороже, чем один раз привести форму в соответствие с частью 4 статьи 9. В Добыто переподписание идёт из личного кабинета и не требует очной явки, но формулировки в форме от этого не исправляются: их правят до рассылки.
Когда отдельное согласие не нужно и когда шаблон не подойдёт
Отдельное согласие избыточно, если вся обработка укладывается в исполнение трудового договора и требования ТК РФ: приём, перевод, отпуск, начисление и выплата зарплаты, отчётность в Социальный фонд России и налоговую. Собранное «на всякий случай» согласие в этой части ничего не добавляет, но создаёт риск: работник вправе его отозвать, и придётся объяснять, почему обработка продолжается.
Типовой шаблон не подойдёт в трёх ситуациях. Первая: обработка специальных категорий данных, где перечень и цель формулируются под конкретное основание из части 2 статьи 10. Вторая: распространение данных, для которого нужна отдельная форма по статье 10.1, а не пункт в общем согласии. Третья: трансграничная передача, где помимо согласия требуется предварительное уведомление Роскомнадзора по статье 12, и без него подписанное согласие работает не в полном объёме.
Отдельно стоит случай отказа работника. Согласие добровольно, отказ от его подписания не является дисциплинарным проступком и не может служить основанием для отказа в приёме, если обработка по соответствующей цели не обязательна по закону. Практический вывод простой: если без согласия процесс встаёт совсем, скорее всего, цель сформулирована шире, чем нужно.
Мария Ж, специалист по цифровой подписи и КЭДО: «Первое, что мы выясняем при разборе спора о подписи, — в каком режиме создавался документ. Скан подписанного от руки согласия и файл, подписанный криптографически, живут по разным правилам, и требования к подписи у них разные. Посмотрите на свой файл: если в нём есть изображение собственноручной подписи, перед вами электронный образ, а не электронный документ.»
Стоимость перевода согласий и кадровых документов в КЭДО
Стоимость зависит от численности сотрудников и набора функций: базовое подписание, интеграция с 1С, электронный архив. Данные приведены по действующим тарифам на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | по мере подключения |
| Модуль интеграции с 1С:ЗУП | в тарифе «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций, а переход между тарифами пересчитывается пропорционально оставшемуся периоду. Полные условия, состав каждого пакета и порядок оплаты опубликованы на странице тарифов ДОБЫТО КЭДО.
УКЭП в тарифы не входит и оформляется через партнёров-удостоверяющие центры. Для сбора согласий это чаще всего и не требуется: согласие на обработку персональных данных признаётся равнозначным бумажному при подписании любой электронной подписью по 63-ФЗ.
Выводы
Содержание согласия проверяется по девяти группам сведений из части 4 статьи 9 152-ФЗ, и отсутствие любой из них равнозначно отсутствию согласия по части 2 статьи 13.11 КоАП РФ. С сентября 2025 года документ оформляется отдельно от договоров и анкет, а ранее собранные согласия остаются в силе. Цели не складываются в один бланк: каждой соответствует свой перечень данных, свой круг получателей и свой срок. Подписанное согласие не создаёт основания там, где закон его не даёт, — именно так устроен запрет на обработку сведений о судимости коммерческими работодателями.
В сервисе КЭДО Добыто сбор согласий идёт тем же маршрутом, что и остальные кадровые документы: форма под конкретную цель, подписание электронной подписью, фиксация даты и подписанта в журнале и выгрузка комплекта к проверке. Мы обычно начинаем с разведения целей и пилотной группы, потому что переподписывать 500 согласий из-за одной неверной формулировки дороже, чем один раз собрать форму правильно.
Частые вопросы о содержании согласия
Нужно ли переоформлять согласия, собранные до 1 сентября 2025 года?
Нет. Требование оформлять согласие отдельно от иных информации и документов, введённое Федеральным законом от 24.06.2025 № 156-ФЗ, распространяется на согласия, которые оформляются с 1 сентября 2025 года. Ранее полученные остаются в силе. Переоформление требуется по другой причине: если в старом бланке нет какого-то из девяти реквизитов части 4 статьи 9 или изменилась цель обработки.
Можно ли считать согласием отметку в чекбоксе на сайте?
Для случаев, когда закон требует письменной формы, — нет. Часть 4 статьи 9 требует подписи субъекта, и равнозначным признаётся только электронный документ, подписанный электронной подписью по 63-ФЗ. Отметка в интерфейсе без идентификации того, кто её поставил, не позволяет оператору выполнить обязанность доказать факт получения согласия.
Что делать, если кандидат отказался подписывать согласие на проверку?
Проверка не проводится. Отказ от подписания согласия сам по себе не является законным основанием для отказа в заключении трудового договора по статье 64 ТК РФ, поэтому мотивированный отказ формулируется по деловым качествам. Запускать проверку через подрядчика без согласия нельзя: подрядчик работает по вашему основанию, а не по своему.
Сколько целей можно указать в одном согласии?
Закон не называет предельное число, но требование конкретности из части 1 статьи 9 делает разумной одну цель на документ. Если цели связаны единым процессом и перечень данных для них совпадает, их объединяют. Как только для одной из целей появляется отдельный получатель данных или отдельный срок, форма делится на две.
Нужно ли согласие на обработку данных родственников работника?
Да, если данные родственников обрабатываются сверх того, что прямо требует закон. Сведения о детях для налогового вычета и для гарантий по ТК РФ работник представляет сам, и они обрабатываются по законному основанию. Данные родственников для анкет службы безопасности или для корпоративных программ — это отдельная цель, и согласие даёт сам родственник либо законный представитель несовершеннолетнего.
Как правильно указать срок действия, если работник ещё не уволен?
Срок привязывается к событию: действие согласия до истечения срока хранения соответствующих кадровых документов после прекращения трудовых отношений. Сами согласия при этом хранятся 3 года после истечения срока действия или отзыва по статье 441 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236.
Обязательно ли называть в согласии конкретного подрядчика или достаточно формулировки «третьи лица»?
Конкретного. Часть 4 статьи 9 требует сведений о лице, осуществляющем обработку по поручению оператора, то есть наименования и адреса. Формулировка «третьим лицам» не позволяет субъекту понять, кому именно передаются данные, и по этому же признаку согласие признают неконкретным.
