Согласие на обработку персональных данных как самостоятельное условие обработки: правовая природа, виды и место в системе правового регулирования

Аннотация

УДК 342.9

В статье исследуется правовая природа согласия субъекта персональных данных на обработку его персональных данных как самостоятельного условия обработки, предусмотренного пунктом 1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ. По нормам закона, методическим рекомендациям Роскомнадзора и судебной практике разграничены понятия «правовое основание обработки», «условие обработки» и «цель обработки». Рассмотрены виды согласий, предусмотренных законом: общее согласие, согласие на обработку специальных категорий, биометрических персональных данных, согласие на распространение, а также специальное согласие по статье 15 для целей продвижения товаров, работ, услуг на рынке с использованием средств связи. Проанализировано новое требование об оформлении согласия отдельным документом, введённое Федеральным законом от 24 июня 2025 г. № 156-ФЗ, и показано его распространение на все виды согласий. Раскрыт механизм формирования правового основания для получения согласия через закрепление целей обработки в уставных и локальных актах оператора. По судебной практике показан ограничительный подход судов к применению пункта 7 части 1 статьи 6 (законные интересы оператора). Сформулированы практические рекомендации по выстраиванию системы документационного обеспечения с учётом разграничения правовых оснований, условий и целей обработки, а также нового требования об отдельном документе.

Ключевые слова: согласие на обработку персональных данных, правовое основание, условие обработки, цель обработки, 152-ФЗ, отдельный документ, специальные категории, биометрические данные, распространение персональных данных, статья 15, законные интересы оператора, Роскомнадзор.

Abstract

Abstract. The article examines the legal nature of the data subject's consent to personal data processing as a standalone processing condition under Article 6(1)(1) of Federal Law No. 152-FZ of 27 July 2006. Based on the statute, Roskomnadzor methodological recommendations and case law, the concepts of “legal basis for processing”, “processing condition” and “purpose of processing” are distinguished. The types of consent provided by law are considered: general consent, consent to processing of special categories and biometric personal data, consent to dissemination, and special consent under Article 15 for marketing communications via means of communication. The new requirement that consent be executed as a separate document, introduced by Federal Law No. 156-FZ of 24 June 2025, is analysed and shown to apply to all types of consent. The mechanism for forming a legal basis for obtaining consent through fixing processing purposes in the operator's constitutive and local acts is set out. Case law demonstrates a restrictive approach to Article 6(1)(7) (legitimate interests of the operator). Practical recommendations are formulated for building a documentation system that distinguishes legal bases, conditions and purposes of processing and complies with the separate-document requirement.

Keywords: consent to personal data processing, legal basis, processing condition, purpose of processing, 152-FZ, separate document, special categories, biometric data, personal data dissemination, Article 15, legitimate interests of the operator, Roskomnadzor.

Введение

Правовое регулирование обработки персональных данных в Российской Федерации строится на системе взаимосвязанных понятий, корректное разграничение которых является необходимым условием как для правильного понимания закона, так и для выстраивания эффективной системы защиты прав субъектов. К числу таких ключевых понятий относятся «правовое основание обработки», «условие обработки» и «цель обработки». В правоприменительной практике и даже в научной литературе нередко допускается их смешение, что приводит к терминологической путанице и, как следствие, к ошибкам при формировании документационного обеспечения оператора.

Особое место в этой системе занимает согласие субъекта персональных данных на обработку его персональных данных. С одной стороны, согласие является одним из условий обработки, предусмотренных статьёй 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных». С другой стороны, в методических рекомендациях Роскомнадзора согласие упоминается в числе возможных правовых оснований обработки наряду с федеральными законами, уставными документами и договорами.

При этом сама категория «правовое основание» в Рекомендациях Роскомнадзора раскрывается как совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку. Важно учитывать, что Рекомендации Роскомнадзора по составлению политики оператора были утверждены 31 июля 2017 года. С тех пор законодательство претерпело существенные изменения, в том числе в части регулирования согласия. В частности, Федеральным законом от 24 июня 2025 г. № 156-ФЗ введено принципиально новое требование: согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов.

Цель настоящего исследования — разграничить правовую природу согласия, понятия основания, условия и цели обработки, виды согласий по закону и практику их оформления с учётом требования об отдельном документе (156-ФЗ) и ограничительного подхода судов к «законным интересам» оператора.

1. Правовое основание, условие обработки и цель обработки: разграничение понятий

1.1. Правовое основание обработки персональных данных

Согласно Рекомендациям по составлению документа, определяющего политику оператора в отношении обработки персональных данных (утв. Роскомнадзором 31.07.2017), под правовым основанием обработки персональных данных понимается совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных.

В качестве правовых оснований могут выступать:

• федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;
• уставные документы оператора (для юридических лиц);
• договоры, заключаемые между оператором и субъектом персональных данных;
• согласие на обработку персональных данных (в случаях, прямо не предусмотренных федеральными законами).

При этом сам Федеральный закон № 152-ФЗ не может служить правовым основанием обработки, поскольку он регулирует общие отношения, связанные с обработкой персональных данных, и закрепляет требования к операторам. Указание в политике или уведомлении «на основании ст. 6 Закона № 152-ФЗ» без ссылки на конкретный отраслевой акт, устав, договор или согласие — типичная ошибка документационного обеспечения.

1.2. Условия обработки персональных данных

Условия обработки персональных данных — это обстоятельства, при наступлении которых обработка персональных данных допускается законом. Они закреплены в статье 6 Федерального закона № 152-ФЗ. Перечень таких условий является закрытым и включает:

1. согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6);
2. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6);
3. обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах (п. 3 ч. 1 ст. 6);
4. обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством об исполнительном производстве (п. 3.1 ч. 1 ст. 6);
5. обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении государственных и муниципальных услуг (п. 4 ч. 1 ст. 6);
6. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта (п. 5 ч. 1 ст. 6);
7. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия невозможно (п. 6 ч. 1 ст. 6);
8. обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц (п. 7 ч. 1 ст. 6);
9. обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (п. 8 ч. 1 ст. 6);
10. обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом (п. 9 ч. 1 ст. 6);
11. обработка персональных данных, необходимая для профессиональной деятельности журналиста либо в научных, литературных или иных творческих целях (п. 10 ч. 1 ст. 6);
12. обработка персональных данных в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Закона № 152-ФЗ (п. 11 ч. 1 ст. 6).

Каждое из этих условий описывает необходимость обработки: «обработка необходима для…», «обработка осуществляется в связи с…», «обработка необходима для исполнения…». При наличии любого из этих условий обработка персональных данных признаётся законной.

Согласие субъекта является одним из таких условий (п. 1 ч. 1 ст. 6). Оно применяется в случаях, когда обработка не может быть обоснована иным условием из перечня статьи 6.

Отдельно от перечня статьи 6 закон устанавливает специальное условие в статье 15 — предварительное согласие на обработку в целях продвижения товаров, работ, услуг на рынке (и политической агитации) путём прямых контактов с помощью средств связи. Это условие нельзя подменить пунктами 5 или 7 части 1 статьи 6 (см. раздел 3.5).

1.3. Цель обработки персональных данных

Цель обработки персональных данных — это конкретный результат, для достижения которого оператор осуществляет обработку. Цели должны быть:

• заранее определёнными;
• законными;
• конкретными.

Принцип обработки персональных данных, закреплённый в статье 5 Закона № 152-ФЗ, требует, чтобы обработка персональных данных ограничивалась достижением конкретных, заранее определённых и законных целей. Недопустима обработка персональных данных, несовместимая с целями сбора персональных данных.

1.4. Взаимосвязь понятий

Таким образом, в системе правового регулирования обработки персональных данных эти понятия соотносятся следующим образом:

1. Правовое основание — отвечает на вопрос «на основании каких правовых актов мы обрабатываем?» (совокупность правовых актов: законы, устав, договор, согласие).
2. Условие обработки — отвечает на вопрос «при наличии какого обстоятельства закон допускает обработку?» (закрытый перечень из ст. 6, а для рекламных прямых контактов — также ст. 15).
3. Цель обработки — отвечает на вопрос «для достижения какого конкретного результата мы обрабатываем?» (конкретный результат, заранее определённый оператором).

При этом правовое основание и условие обработки — это разные, хотя и взаимосвязанные категории. Правовое основание (например, устав или договор) определяет правомерность деятельности оператора в целом. Условие обработки (например, согласие или исполнение договора) определяет законность конкретной операции с персональными данными в рамках этой деятельности.

Цель обработки связывает правовое основание и условие обработки с конкретными действиями оператора. Она должна быть закреплена в документах оператора (политике, локальных актах) и соответствовать как правовому основанию, так и условию обработки.

2. Согласие как условие обработки: правовая природа и общие требования

2.1. Правовая природа согласия

Согласие субъекта персональных данных на обработку его персональных данных является одним из условий обработки, предусмотренных пунктом 1 части 1 статьи 6 Федерального закона № 152-ФЗ. Субъект даёт согласие свободно, своей волей и в своём интересе (ч. 1 ст. 9 Закона № 152-ФЗ).

В методических рекомендациях Роскомнадзора согласие также упоминается в числе возможных правовых оснований обработки. Это не противоречит его природе как условия обработки: согласие как документ входит в состав правового основания (совокупности правовых актов); согласие как условие обработки — это обстоятельство (п. 1 ч. 1 ст. 6), при наступлении которого обработка допускается законом.

2.2. Общие требования к согласию

Статья 9 Закона № 152-ФЗ устанавливает требования к согласию. Оно должно быть:

• конкретным — чётко определяющим, на что именно соглашается субъект;
• предметным — относящимся к определённым персональным данным и действиям;
• информированным — субъект должен понимать последствия своего согласия;
• сознательным — данным осознанно;
• однозначным — не допускающим двусмысленного толкования.

Форма согласия может быть различной: письменная (в том числе электронная), устная, в форме совершения конклюдентных действий — в зависимости от требований закона и конкретной ситуации. В случаях, когда федеральный закон требует письменной формы (специальные категории, биометрия и др.), согласие в форме электронного документа, подписанного электронной подписью, признаётся равнозначным письменному (ч. 4 ст. 9; см. также статью об электронной подписи при обработке ПДн).

2.3. Согласие как «резервная опция»

В правовой литературе согласие обоснованно характеризуется как условие, применяемое в случаях, когда обработка не может быть обоснована иным условием из статьи 6. Это означает, что оператору следует в первую очередь проверять наличие иного условия обработки (например, исполнение договора — п. 5 ч. 1 ст. 6, или осуществление функций, полномочий и обязанностей — п. 2 ч. 1 ст. 6) и лишь при его отсутствии прибегать к получению согласия.

При этом, как показывает судебная практика, суды преимущественно придерживаются ограничительного подхода к интерпретации законного интереса оператора (п. 7 ч. 1 ст. 6), за исключением случаев, когда такой интерес вытекает из иных норм материального права. Законный интерес оператора не может быть произвольным — он должен быть обусловлен конкретными нормами права. Например, обработка персональных данных для допуска на объект в соответствии с установленным пропускным режимом, который устанавливается во исполнение требований к антитеррористической защищённости объектов, утверждённых постановлением Правительства РФ, может быть обоснована п. 7 ч. 1 ст. 6, поскольку такой интерес вытекает из иного нормативного акта.

3. Виды согласий на обработку персональных данных

Законодательство о персональных данных предусматривает несколько видов согласий, каждый из которых имеет свои особенности. Ниже — основные виды, прямо вытекающие из Закона № 152-ФЗ, и ряд производных форм, выделяемых в практике документационного обеспечения.

3.1. Общее согласие на обработку персональных данных

Это наиболее распространённый вид согласия, предусмотренный частью 1 статьи 9 Закона № 152-ФЗ. Оно даётся на обработку персональных данных для определённых целей и применяется в случаях, когда обработка не подпадает под иные условия статьи 6.

Если закон требует письменной формы, такое согласие должно содержать обязательные элементы, перечисленные в части 4 статьи 9, в частности:

• фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
• сведения о представителе субъекта и реквизиты документа, подтверждающего полномочия (если согласие даёт представитель);
• наименование или фамилию, имя, отчество и адрес оператора;
• цель обработки;
• перечень персональных данных;
• наименование или ФИО и адрес лица, обрабатывающего данные по поручению оператора (если обработка поручается);
• перечень действий с персональными данными и общее описание способов обработки;
• срок действия согласия и способ его отзыва;
• подпись субъекта.

3.2. Согласие на обработку специальных категорий персональных данных

Специальные категории персональных данных (раса, национальность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь) подлежат особой защите.

Обработка таких данных допускается, в частности, при наличии письменного согласия субъекта (п. 1 ч. 2 ст. 10 Закона № 152-ФЗ). Содержание такого согласия должно соответствовать требованиям части 4 статьи 9. К письменной форме приравнивается согласие, подписанное электронной подписью. В отсутствие письменного согласия специальные категории могут обрабатываться лишь в исключительных случаях, перечисленных в пунктах 2–11 части 2 статьи 10.

3.3. Согласие на обработку биометрических персональных данных

Биометрические персональные данные — это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта (ст. 11 Закона № 152-ФЗ).

Обработка биометрических данных допускается только с письменного согласия субъекта, за исключением случаев, прямо предусмотренных федеральным законом. С учётом требования ч. 1 ст. 9 об оформлении согласия отдельным документом и принципа конкретности согласия биометрическое согласие не следует объединять с общим согласием на обработку иных персональных данных: это разные предметы волеизъявления и разные режимы защиты.

3.4. Согласие на распространение персональных данных

Федеральным законом от 2 июля 2021 г. № 266-ФЗ в законодательство введено понятие «распространение персональных данных» и установлены особые требования к согласию на такое распространение.

Субъект персональных данных может дать отдельное согласие на распространение своих персональных данных. Такое согласие оформляется отдельно от иных согласий субъекта на обработку его персональных данных и должно содержать перечень персональных данных, разрешённых субъектом к распространению, а также условия и запреты на распространение (ст. 10.1 Закона № 152-ФЗ).

3.5. Согласие на обработку персональных данных в целях продвижения товаров, работ, услуг на рынке (статья 15)

Принципиально иная ситуация возникает, если оператор использует персональные данные для продвижения товаров, работ, услуг на рынке или для политической агитации путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи (электронная почта, SMS, телефонные звонки, мессенджеры, почтовая связь и иные средства связи, предполагающие прямой контакт).

В этом случае действует статья 15 Закона № 152-ФЗ, которая устанавливает специальное условие обработки:

Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных.

Ключевые особенности этого согласия:

1. Оно является специальным — его нельзя заменить иным условием обработки из статьи 6 (например, исполнением договора или законными интересами оператора). Даже если субъект является стороной договора с оператором, это не освобождает оператора от получения отдельного согласия на рекламные коммуникации.
2. Оно должно быть предварительным — согласие должно быть получено до начала осуществления прямых контактов.
3. На операторе лежит бремя доказывания — обработка персональных данных признаётся осуществляемой без предварительного согласия, если оператор не докажет, что такое согласие было получено.
4. Оно должно быть оформлено отдельным документом — на него распространяется общее требование Федерального закона № 156-ФЗ об оформлении согласия отдельно от иных документов.
5. Оператор обязан немедленно прекратить обработку по требованию субъекта.

Таким образом, для маркетинговых рассылок, рекламных звонков, SMS-информирования об акциях и иных прямых контактов с потребителями с использованием средств связи требуется отдельное согласие, оформленное как самостоятельный документ и полученное до начала таких контактов.

3.6. Согласие в электронной форме

Согласие в форме электронного документа, подписанного электронной подписью в соответствии с Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи», признаётся равнозначным письменному согласию (ч. 4 ст. 9 Закона № 152-ФЗ). Для отдельных процедур предоставления государственных и муниципальных услуг законом и подзаконными актами могут устанавливаться специальные порядки получения согласия в электронной форме; это не отменяет общих требований статьи 9, включая требование об отдельном оформлении согласия.

3.7. Иные виды согласий в практике документационного обеспечения

Помимо перечисленных, на практике выделяются и иные виды согласий (как самостоятельные документы или как отдельные предметы волеизъявления в рамках одной системы согласий):

• согласие на получение персональных данных из внешних источников;
• согласие на передачу персональных данных третьим лицам / на поручение обработки;
• согласие законных представителей на обработку персональных данных недееспособных лиц;
• согласие в контексте обработки без использования средств автоматизации (с учётом приоритета ч. 1 ст. 9 над устаревшими подходами Положения, утв. постановлением Правительства РФ № 687);
• согласие на принятие решений на основании исключительно автоматизированной обработки персональных данных, порождающих юридические последствия (ст. 16 Закона № 152-ФЗ — при отсутствии иных оснований, допускающих такую обработку).

Корректнее говорить не о «самостоятельных видах согласия по закону» для каждого из этих случаев, а о необходимости отдельного, конкретного и предметного волеизъявления там, где закон или риск смешения целей требуют раздельного оформления.

4. Новое требование об оформлении согласия отдельным документом

4.1. Суть изменений, введённых Федеральным законом № 156-ФЗ

Федеральный закон от 24 июня 2025 г. № 156-ФЗ внёс принципиальные изменения в часть 1 статьи 9 Закона № 152-ФЗ. С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.

Как следует из пояснительной записки к законопроекту, новое требование призвано устранить правовую неопределённость, позволяющую недобросовестным операторам «дезориентировать» граждан в вопросах предоставления согласия на обработку их персональных данных, определения условий и целей обработки таких данных.

4.2. Распространение на все виды согласий

Важно подчеркнуть, что требование об оформлении отдельным документом распространяется на все согласия субъекта, оформляемые по Федеральному закону № 152-ФЗ:

• общее согласие на обработку персональных данных;
• согласие на обработку специальных категорий персональных данных;
• согласие на обработку биометрических персональных данных;
• согласие на распространение персональных данных (для которого отдельность была закреплена ещё ранее — ст. 10.1);
• согласие по статье 15 (для целей продвижения товаров, работ, услуг);
• согласие в электронной форме (как самостоятельный электронный документ, а не «встроенный» фрагмент оферты или пользовательского соглашения).

Иными словами, любое согласие, независимо от его вида, должно представлять собой отдельный документ, а не часть иного документа, который субъект подтверждает или подписывает.

4.3. Что теперь запрещено

Новое требование фактически запрещает:

• Включение согласия в договор. Условия о согласии теперь запрещено включать в договоры с потребителями, в том числе в трудовые договоры, в качестве единственной формы волеизъявления.
• Включение согласия в политику обработки персональных данных. Политика информирует субъекта, но не заменяет отдельное согласие там, где оно требуется.
• Включение согласия в пользовательское соглашение / оферту. Согласие должно быть оформлено как самостоятельный документ.
• Объединение разнородных согласий в одном документе. Исходя из требований конкретности и предметности согласия, а также из специальных норм (биометрия, распространение, ст. 15), рекомендуется принцип «одна цель (один предмет волеизъявления) — одно согласие»: для каждой цели или специального режима обработки, требующей согласия, оформляется отдельный документ.

4.4. Коллизия с подзаконными актами

Новое требование вступает в коллизию с Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (утв. постановлением Правительства РФ от 15 сентября 2008 г. № 687). Согласно подпункту «б» пункта 7 указанного Положения, текст письменного согласия разрешается включать в «типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных».

Поскольку федеральный закон имеет большую юридическую силу, чем подзаконный акт, указанная норма постановления Правительства РФ № 687 не должна применяться после вступления в силу изменений в части, допускающей «встраивание» согласия в иные документы. Операторам рекомендуется пересмотреть подходы к оформлению согласий с учётом приоритета федерального закона. Аналогично, положения Рекомендаций Роскомнадзора 2017 года в части, противоречащей новой редакции ч. 1 ст. 9, применению не подлежат (формально рекомендации не «утратили силу» как акт, но не могут оправдывать практику, запрещённую законом). Устройство самого носителя при неавтоматизированной обработке (обособление, цели, журнал пропуска) разобрано в статье о постановлении № 687.

4.5. Переходные положения

Согласия, полученные до 1 сентября 2025 года, продолжают действовать; их переоформлять не требуется, если они соответствуют иным требованиям закона. Однако все новые согласия, получаемые после этой даты, должны оформляться отдельным документом. Использование старого формата (например, галочки «согласен с условиями» внутри договора или оферты) после 1 сентября 2025 года признаётся нарушением требования ч. 1 ст. 9.

4.6. Ответственность

Нарушение требований к оформлению согласия влечёт административную ответственность по статье 13.11 КоАП РФ. С учётом ужесточения административной ответственности в 2025 году (в том числе составов, связанных с утечками персональных данных) регуляторные и финансовые риски для операторов существенно возрастают. Конкретные составы и размеры санкций рассмотрены в статье о политике обработки ПДн и штрафах.

С 1 января 2026 года дела о нарушениях правил оформления согласий рассматривают мировые судьи, что упрощает процедуру привлечения к ответственности и увеличивает число рассматриваемых дел.

5. Механизм реализации согласия как условия обработки: формирование правового основания

5.1. Общий принцип

Для того чтобы согласие субъекта персональных данных могло быть реализовано как условие обработки, оператор должен создать правовое основание для его получения. Это означает, что оператор должен иметь правовой акт (или совокупность правовых актов), в соответствии с которым он вправе запрашивать и получать согласие и осуществлять обработку для заявленных целей.

Как отмечалось выше, правовым основанием для получения согласия могут служить:

• уставные документы оператора (для юридических лиц);
• локальные акты оператора, определяющие цели и порядок обработки;
• договоры с субъектами персональных данных (как акты, описывающие отношения, но не как «встроенное» согласие);
• само согласие (как отдельный документ, выражающий волю субъекта).

С 1 сентября 2025 года согласие как документ должно быть отдельным от иных документов. Это означает, что правовое основание обработки персональных данных, на основании которого возникает условие обработки в виде согласия, должно включать в себя отдельный документ — согласие, а не согласие, «встроенное» в иной документ.

5.2. Пример: ведение базы клиентов для внутренней аналитики и отчётности

Рассмотрим пример. Оператор — юридическое лицо или индивидуальный предприниматель — ведёт базу данных о клиентах и подрядчиках. Обработка осуществляется исключительно для внутренних целей: построения диаграмм продаж, анализа эффективности работы менеджеров, подготовки отчётов и презентаций для учредителя, совета директоров или администрации (без распространения персональных данных третьим лицам).

В этом случае необходимо определить условие обработки:

• если аналитика проводится в рамках исполнения договора (например, анализ эффективности продаж за период действия договора для его исполнения/оптимизации исполнения) — это п. 5 ч. 1 ст. 6 (обработка для исполнения договора), при условии, что обработка действительно необходима для исполнения договора;
• если аналитика проводится после исполнения договора (например, построение диаграмм по уже исполненным договорам для отчётности перед учредителем) — это обработка с согласия субъекта (п. 1 ч. 1 ст. 6), поскольку иное условие из статьи 6 (включая п. 7 — законные интересы оператора) в типичной ситуации не подтверждается: суды придерживаются ограничительного подхода к п. 7, и «интерес построить диаграмму» сам по себе не вытекает из норм материального права;
• если аналитика проводится на основании федерального закона (например, обязательная бухгалтерская или налоговая отчётность в объёме, предусмотренном законом) — это п. 2 ч. 1 ст. 6.

Если оператор избирает в качестве условия обработки согласие субъекта (п. 1 ч. 1 ст. 6), он должен создать правовое основание для его получения:

1. Закрепить соответствующий вид деятельности в уставных документах (для ЮЛ) или в ОКВЭД (для ИП).
2. Разработать и утвердить локальный акт, определяющий:
   • цель обработки (например, «анализ эффективности продаж и подготовка управленческой отчётности»);
   • категории субъектов (физические лица — клиенты и подрядчики);
   • категории и перечень обрабатываемых персональных данных (только необходимые для аналитики);
   • перечень действий (сбор, систематизация, накопление, хранение, использование, обезличивание, уничтожение и т.д.);
   • сроки обработки и хранения;
   • запрет на распространение и передачу третьим лицам (если это соответствует модели обработки).
3. Закрепить цели обработки в политике оператора.
4. Подать уведомление в Роскомнадзор (при необходимости; см. статью об уведомлении).
5. Получить согласие субъекта на обработку его персональных данных для заявленных целей. Согласие должно быть оформлено отдельным документом и соответствовать требованиям статьи 9 Закона № 152-ФЗ.

5.3. Особенности для индивидуальных предпринимателей

Индивидуальные предприниматели, в отличие от юридических лиц, не имеют устава в классическом понимании. Однако они также обязаны создавать правовое основание для обработки персональных данных.

Для ИП правовым основанием могут служить:

• коды ОКВЭД, указанные в ЕГРИП, соответствующие деятельности, связанной с обработкой персональных данных;
• локальные акты ИП (например, политика обработки персональных данных, приказы);
• договоры с субъектами персональных данных;
• само согласие субъекта (как отдельный документ).

ИП, как и юридические лица, обязаны разрабатывать документы, определяющие политику в отношении обработки персональных данных, и иные локальные акты по вопросам обработки, если иное не предусмотрено законом.

5.4. Разграничение условий обработки в практике оператора

Для оператора принципиально важно различать условия обработки, чтобы правильно определять, требуется ли получение согласия:

Это разграничение имеет ключевое значение для выстраивания системы документационного обеспечения: для каждого условия обработки оператор должен иметь соответствующее правовое основание и документально закреплённые цели обработки.

6. Практические рекомендации для операторов

На основе проведённого анализа можно сформулировать следующие практические рекомендации.

6.1. По разграничению понятий

1. Чётко разграничивайте правовые основания, условия и цели обработки в своих внутренних документах. Не смешивайте эти понятия.
2. В политике обработки персональных данных выделите отдельные разделы:
   • «Правовые основания обработки персональных данных» (федеральные законы, устав, договоры, согласия);
   • «Цели обработки персональных данных» (конкретные результаты);
   • «Порядок и условия обработки персональных данных» (действия, способы, сроки; при необходимости — ссылка на п. ст. 6 / ст. 15).
3. Не указывайте в качестве правового основания часть 1 статьи 6 Закона № 152-ФЗ. Это условие, а не правовое основание.
4. Учитывайте ограничительный подход судов к п. 7 ч. 1 ст. 6 (законные интересы оператора). Не пытайтесь обосновать произвольную обработку законными интересами — такой интерес должен вытекать из иных норм материального права.

6.2. По оформлению согласий

5. Оформляйте все согласия отдельным документом в соответствии с требованиями Федерального закона № 156-ФЗ. Никаких встроенных согласий в договорах, анкетах или пользовательских соглашениях.
6. Разделяйте разные виды согласий: общее согласие, согласие на обработку биометрии, согласие на распространение, согласие на передачу третьим лицам, согласие по статье 15 — каждый вид должен быть отдельным документом.
7. Следуйте принципу «одна цель — одно согласие». Для каждой цели обработки, требующей согласия, оформляйте отдельный документ.
8. Для маркетинговых коммуникаций (рассылки, звонки, SMS, мессенджеры) обязательно получайте отдельное предварительное согласие в соответствии со статьёй 15 Закона № 152-ФЗ. Помните, что на вас лежит бремя доказывания наличия такого согласия.

6.3. По формированию правового основания

9. Закрепляйте виды деятельности, связанные с обработкой персональных данных, в уставных документах (для ЮЛ) или в ОКВЭД (для ИП).
10. Разрабатывайте локальные акты для каждой цели обработки, определяя категории субъектов, категории и перечень данных, перечень действий, сроки и порядок уничтожения.
11. Согласуйте политику, локальные акты и уведомление в Роскомнадзор. Несоответствие между этими документами является наиболее частым основанием для привлечения к ответственности.

6.4. По документационному обеспечению

12. Учитывайте, что Рекомендации Роскомнадзора 2017 года в части допустимости подходов, противоречащих требованию об отдельном документе согласия, применению не подлежат.
13. Используйте специализированные инструменты для подготовки документации, такие как конструктор документов «ГЕНЕРАТОР152ФЗ». Сервис позволяет сформировать согласованный пакет документов (политику, согласия, локальные акты, уведомление) с учётом требований законодательства, включая оформление согласий отдельными документами и разграничение различных видов согласий.

Заключение

По результатам разбора можно зафиксировать следующие выводы.

1. Правовое основание, условие обработки и цель обработки — это разные, хотя и взаимосвязанные категории. Правовое основание — это совокупность правовых актов, во исполнение которых оператор осуществляет обработку. Условие обработки — это обстоятельство, при наступлении которого обработка допускается законом (закрытый перечень в ст. 6; для рекламных прямых контактов — также ст. 15). Цель обработки — это конкретный результат, для достижения которого осуществляется обработка.
2. Согласие субъекта персональных данных является одним из условий обработки (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ). Оно применяется в случаях, когда обработка не может быть обоснована иным условием из статьи 6. При этом согласие как документ может выступать в качестве элемента правового основания обработки наряду с законами, уставом и договорами.
3. Законодательство предусматривает несколько видов согласий: общее согласие, согласие на обработку специальных категорий, согласие на обработку биометрических данных, согласие на распространение, согласие по статье 15, согласие в электронной форме и иные предметные согласия в практике. Каждый вид имеет свои особенности, но все они подлежат требованию об оформлении отдельным документом.
4. С 1 сентября 2025 года все согласия должны оформляться отдельным документом (Федеральный закон № 156-ФЗ). Включение согласия в договор, пользовательское соглашение, анкету или оферту не допускается. Рекомендации Роскомнадзора 2017 года и Положение, утв. постановлением Правительства РФ № 687, в части, противоречащей этому требованию, не подлежат применению.
5. Для получения согласия оператор должен создать правовое основание: закрепить соответствующий вид деятельности в уставных документах (для ЮЛ) или ОКВЭД (для ИП), разработать локальный акт, определяющий цель, категории субъектов и данных, перечень действий и сроки, согласовать эти положения с политикой и уведомлением в Роскомнадзор.
6. Судебная практика придерживается ограничительного подхода к применению пункта 7 части 1 статьи 6 (законные интересы оператора). Законный интерес оператора не может быть произвольным — он должен вытекать из иных норм материального права. Операторам не следует пытаться обосновать произвольную обработку (например, построение диаграмм после исполнения договора) законными интересами — в таких случаях необходимо получать согласие субъекта.
7. Описанный механизм применим ко всем условиям обработки, а не только к согласию. Каждый факт обработки персональных данных уникален, и оператор должен иметь соответствующее правовое основание и документально закреплённые условия для каждого из них.

Таким образом, смешение согласия с договором или политикой и отсутствие отдельного документа после 156-ФЗ остаются ключевыми рисками признания волеизъявления ненадлежащим.

Библиографический список

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (в ред. Федерального закона от 24.06.2025 № 156-ФЗ) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451. — URL: https://www.consultant.ru/document/cons_doc_LAW_94223/ (дата обращения: 08.08.2026); также: https://base.garant.ru/12148567/.
2. Федеральный закон от 24.06.2025 № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» // Официальный интернет-портал правовой информации. — URL: http://publication.pravo.gov.ru/Document/View/0001202506240021 (дата обращения: 08.08.2026); КонсультантПлюс: https://www.consultant.ru/document/cons_doc_LAW_508287/; ГАРАНТ: https://base.garant.ru/412210426/.
3. Федеральный закон от 02.07.2021 № 266-ФЗ «О внесении изменений в Федеральный закон „О персональных данных“» // Собрание законодательства РФ. — 2021. — № 27. — Ст. 5094. — URL: https://www.consultant.ru/document/cons_doc_LAW_388989/ (дата обращения: 08.08.2026).
4. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» // Собрание законодательства РФ. — 2011. — № 15. — Ст. 2036. — URL: https://www.consultant.ru/document/cons_doc_LAW_112701/ (дата обращения: 08.08.2026).
5. Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ (ст. 13.11) // Собрание законодательства РФ. — 2002. — № 1 (ч. 1). — Ст. 1. — URL: https://www.consultant.ru/document/cons_doc_LAW_34661/ (дата обращения: 08.08.2026).
6. Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» // Собрание законодательства РФ. — 2008. — № 38. — Ст. 4312. — URL: https://www.consultant.ru/document/cons_doc_LAW_80742/; ГАРАНТ: https://base.garant.ru/12162617/ (дата обращения: 08.08.2026).
7. Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных: утв. Роскомнадзором 31.07.2017 // КонсультантПлюс. — URL: https://www.consultant.ru/law/hotdocs/50623.html (дата обращения: 08.08.2026).
8. Статья 15 Федерального закона «О персональных данных» (обработка в целях продвижения товаров, работ, услуг на рынке) // ГАРАНТ. — URL: https://base.garant.ru/12148567/27312e6403af619eb0d39fadb49723c6/ (дата обращения: 08.08.2026).
9. Львова О.В. Осуществление прав и законных интересов оператора или третьих лиц при обработке персональных данных садовода: научно-практический комментарий к п. 7 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» // Вестник РГГУ. Серия «Экономика. Управление. Право». — 2025.
10. С 1 сентября согласие на обработку персональных данных обязательно оформлять отдельным документом // Кадровое дело. — 2025. — URL: https://www.kdelo.ru/ (дата обращения: 08.08.2026).
11. ГЕНЕРАТОР152ФЗ: конструктор документов в сфере персональных данных [Электронный ресурс]. — URL: https://генератор152фз.рф/ (дата обращения: 08.08.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.