Новые требования к согласию на обработку персональных данных: образцы документов на 2026 год

К 2026 году законодательство о персональных данных претерпело значительные изменения, отказавшись от принципа простого уведомления в пользу требования доказательств и изоляции данных. Теперь Роскомнадзор осуществляет автоматизированный мониторинг сетевой активности, и вероятность утечки информации через, казалось бы, безобидные элементы, такие как виджет погоды, стала сопоставима с риском проверки соответствия требованиям законодательства.

Федеральный закон от 27 июля 2006 года № 152-ФЗ не содержит прямого запрета на передачу данных. Он устанавливает необходимость наличия законных оснований для этого. Согласие является наиболее часто используемым основанием, однако не является исключительным.

Согласие на передачу обязательно, если:

1. Передача персональных данных третьим лицам для целей, не предусмотренных договором, – распространенная практика. Например, клиентская база может быть передана в колл-центр, работающий по договору аутсорсинга, рекламному агентству для проведения таргетированной рекламы или курьерской службе для осуществления доставки. Хотя это может соответствовать условиям договора (ст. 6 152-ФЗ), добросовестные организации запрашивают согласие пользователей. Если же речь идет о маркетинговых активностях или о повышении качества обслуживания, не связанном с конкретной сделкой, получение согласия является обязательным требованием (п. 1 ст. 6 152-ФЗ).
2. Считается распространением данных, если они становятся общедоступными. К таким действиям относится, например, публикация фотографии сотрудника на доске почета, размещение отзыва клиента с указанием его имени на веб-сайте или внесение информации в справочник 2ГИС. Для таких действий необходимо получить отдельное согласие, предусмотренное статьей 10.1 Федерального закона № 152-ФЗ. В противном случае возможно наложение штрафа в размере до 500 тысяч рублей по части 2 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях.
3. При осуществлении трансграничной передачи данных, в том числе в Беларусь или Казахстан, необходимо не только получить согласие, но и уведомить Роскомнадзор. Это требование действует, если страна, в которую передаются данные, не включена в перечень государств, обеспечивающих надлежащий уровень защиты (Приказ Роскомнадзора от 15 марта 2022 года № 27).

Когда согласие не нужно:

• Обращение в суд, прокуратуру, следственные органы или МВД возможно только по запросу и с предоставлением обоснования, в противном случае необходимо получить согласие).
• Выполнение юридических обязательств (например, предоставление отчетов в Социальный фонд России, Федеральную налоговую службу и передача информации в территориальные органы по мобилизации) также является основанием для передачи данных.
• Передача персональных сведений может быть осуществлена при исполнении условий договора, где субъект этих данных выступает как участник (например, предоставление адреса транспортной компании для доставки приобретенного холодильника).

Начиная с первого сентября двухтысячного двадцать пятого года, письменное подтверждение должно оформляться в виде самостоятельного документа. Включение данной информации в договор, оферту или анкету не допускается (пункт 1.1 статьи 9 Федерального закона № 152-ФЗ). Размещение отдельной галочки на сайте допустимо, однако чек-бокс должен обеспечивать получение самостоятельного согласия, а не являться частью пользовательского соглашения.

Обмен информацией с государственными структурами: правила передачи данных через систему межведомственного электронного взаимодействия

С третьего марта две тысячи двадцать шестого года начало действовать Постановление Правительства Российской Федерации от тридцатого августа двухтысячного двадцать пятого, номер 1344, которое усилило требования к деятельности банков, однако общая тенденция очевидна для всех участников рынка.

Что поменялось:

• Передача информации государственным структурам (таким как ОВД, Федеральная служба безопасности и Министерство внутренних дел) допускается исключительно посредством системы межведомственного электронного взаимодействия.
• Запрос в государственный орган должен быть представлен в машиночитаемом виде и подписан с использованием электронной цифровой подписи (УКЭП) уполномоченного лица.
• Ваш ответ должен представлять собой электронное сообщение, соответствующее техническим требованиям системы межведомственного взаимодействия.

Если получили запрос «на бланке» с мокрой печатью по почте — необходимо удостовериться. В 2026 году законные государственные органы взаимодействуют через СМЭВ или официальные каналы государственных информационных систем. «Бумажные» запросы, передаваемые курьерами, нередко являются способом сбора данных для злоумышленников.

Согласие не требуется для каждого запроса, поступающего от государственных органов. Однако важно удостовериться в законности подобного обращения (согласно статье 14 и 152-ФЗ). При отсутствии указания на конкретный правовой акт, позволяющий запрашивать информацию без согласия пользователя, следует давать отказ или настаивать на получении письменной договоренности.

Действия, направленные на исключение незаконного распространения персональных данных (включая потенциальные опасности, связанные с технологиями Big Data).

Ключевая проблема 2026 года связана с переходом клиентов через виджеты и скрипты, такие как информеры погоды, чаты и кнопки социальных сетей. Код, размещенный на вашем сайте из сторонних источников, может незаметно передавать персональные данные посетителей, включая ФИО и номер телефона, в базу данных конкурентов, что может повлечь за собой судебный иск от клиента и административный штраф.

Как прописать в согласии защиту от этого:

В соглашение об обработке (а не в договор!) включите специальный раздел:

“1.4. В соответствии с настоящими условиями, личные данные пользователя ЗАПРЕЩАЕТ передавать обработчику третьим сторонам (указать конкретные сведения: полное имя, контактный телефон, адрес электронной почты, сетевой идентификатор) без предварительного письменного извещения субъекта данных, за исключением ситуаций, когда это необходимо для выполнения обязательств, установленных федеральными законами Российской Федерации.

передача персональных данных третьим лицам, к которым относятся аутсорсинговые компании и подрядчики, разрешена лишь при заключении с ними отдельного соглашения о поручении обработки персональных данных (в соответствии со статьей 6 152-ФЗ). Также необходимо обеспечить, чтобы эти организации не использовали полученные данные для собственных маркетинговых нужд или иных целей, не связанных с предоставлением услуг субъекту.

оператор должен проинформировать пользователя в срок до 24 часов о факте передачи данных третьим сторонам (включая передачу посредством API, виджетов и сторонних скриптов), предоставив информацию об объеме переданных данных и назначении этой передачи.”

В случае получения конкурентом данных через ваш виджет, у вас будет доказательство для суда, подтверждающее, что ваши действия были совершены без согласия клиента. Таким образом, ответственность за произошедшее ляжет на оператора виджета. Однако, предъявить это доказательство возможно лишь в том случае, если в соглашении содержится соответствующий запретительный пункт.

Предположительные формы согласий на передачу персональных данных (будут использоваться в 2026 году)

Единого утвержденного образца документа не предусмотрено. Однако, согласно части 4 статьи 9 Федерального закона № 152-ФЗ, наличие десяти обязательных реквизитов обязательно. В случае отсутствия какого-либо из них, согласие признается недействительным. Обработка персональных данных, полученных с таким соглашением, является незаконной.

Пример документа: Согласие на передачу персональных данных контрагенту (в случае привлечения бухгалтерских услуг по договору аутсорсинга),

Пример 2. Разрешение на публикацию персональных данных (для размещения в сети Интернет)

Детализированный порядок получения согласия в цифровом виде (посредством веб-ресурса или мобильного приложения)

В 2025 году массовые штрафы выписывались за распространенную ошибку: объединение чек-бокса «Я согласен с условиями оферты и политикой обработки ПД» в одну строку.

Как сделать правильно в 2026 году:

• Для каждой цели обработки, такой как маркетинг, передача курьеру или аналитика, предусмотрен отдельный чек-бокс).
• Текст запроса должен быть конкретным: «Я разрешаю компании “Магазин” предоставить мой контактный телефон организации “СДЭК” для информирования о статусе доставки».
• Указание адреса Политики обработки персональных данных является обязательным требованием, однако оно само по себе не заменяет собой текст согласия пользователя.
• Электронное согласие имеет ту же юридическую силу, что и письменное, при условии, что веб-сайт регистрирует действия пользователя (его IP-адрес, время и user-agent) и пользователь подтверждает свое ознакомление.

В случаях трансграничной передачи данных или обработки биометрической информации стандартное использование флажка не является достаточным. Необходимо использовать квалифицированную электронную подпись (УКЭП) либо собственноручную подпись на физическом документе.

Автор. Е.Грицак