Основания обработки
и согласие

§1Основания обработки

Часть 1 статьи 6 закона 152-ФЗ перечисляет тринадцать оснований (пункты 1–11, включая 3.1 и 9.1), при которых обработка персональных данных законна. Согласие субъекта — первое из них, но не единственное. Для SaaS-сервиса значимы три.

152-ФЗ «О персональных данных»ст. 6, ч. 1, п. 1, 5, 7ред. от 26.07.2026

1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
[…]
5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных […]. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных […], а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;
[…]
7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц […] при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

Требовать согласие там, где достаточно договора, — частая ошибка. Она порождает вопрос: если пользователь отзовёт согласие, прекращать ли оказание услуги? Для обработки, нужной для исполнения договора, отзыв согласия ничего не меняет: оператор продолжает обработку на основании п. 5 (ч. 2 ст. 9).

§2Требования к согласию

152-ФЗ «О персональных данных»ст. 9, ч. 1ред. от 26.07.2026

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. […]

Последнее предложение добавлено законом от 24.06.2025 № 156-ФЗ и действует с 1 сентября 2025 года. До этого согласие часто пряталось в пользовательском соглашении одной фразой. Теперь это нарушение ч. 2 ст. 13.11 КоАП — нарушение требований к составу сведений в согласии.

§3Форма на сайте

Ниже — форма регистрации «КурсБлиновской», оформленная по правилам. Договор принимается одной отметкой, согласие на рассылки — отдельной и необязательной. Согласие на обработку для исполнения договора не запрашивается, потому что основание — договор; о том, как обрабатываются данные, пользователь узнаёт из политики.

<form method="post" action="/register">
  <input name="email" type="email" required>
  <input name="phone" type="tel">

  <!-- 1. Акцепт оферты: без него сервис не оказать -->
  <label><input type="checkbox" name="offer" required>
    Принимаю условия <a href="/offer">оферты</a>,
    с <a href="/privacy">политикой обработки данных</a> ознакомлен</label>

  <!-- 2. Согласие на рекламу: отдельный документ, не обязательно, не отмечено заранее -->
  <label><input type="checkbox" name="consent_marketing">
    Даю <a href="/consent/marketing">согласие на обработку телефона и почты
    для рассылки новостей и предложений</a></label>

  <button>Зарегистрироваться</button>
</form>

Текст согласия на рассылки лежит на отдельной странице /consent/marketing и содержит сведения из ч. 4 ст. 9: кто оператор и его адрес, цель, перечень данных, действия с ними, срок действия и способ отзыва. Кнопка регистрации работает без второй отметки, потому что рассылка не условие договора.

§4Как доказать согласие

Для рассылок закон переносит бремя доказывания на оператора: обработка считается осуществляемой без согласия, «если оператор не докажет, что такое согласие было получено» (ч. 1 ст. 15). Доказательство — запись в базе, сделанная в момент согласия.

CREATE TABLE consent_log (
  id            bigserial PRIMARY KEY,
  user_id       bigint      NOT NULL,
  purpose       text        NOT NULL,  -- 'marketing', 'public_review'
  document_url  text        NOT NULL,  -- /consent/marketing
  document_hash char(64)    NOT NULL,  -- SHA-256 текста, который видел человек
  granted       boolean     NOT NULL,  -- true — дал, false — отозвал
  ip            inet,
  user_agent    text,
  created_at    timestamptz NOT NULL DEFAULT now()
);

Хеш текста нужен потому, что текст согласия со временем меняется. По хешу видно, какую именно редакцию подтвердил человек. Отзыв записывается новой строкой с granted = false; строки из журнала не удаляются, чтобы он показывал всю историю.

§5Отзыв согласия

Согласие можно отозвать в любой момент. После отзыва оператор прекращает обработку для этой цели и, если данные больше не нужны, уничтожает их в срок не более 30 дней (ч. 5 ст. 21). Если есть другое основание — например, договор, — обработка для исполнения договора продолжается.

1. Способ отзыва указан в согласииСсылка «Отписаться» в каждом письме, переключатель в личном кабинете, адрес почты.
2. Отзыв фиксируется в журналеСтрока с granted = false и временем.
3. Данные исключаются из рассылок сразуСписок получателей строится с учётом последней записи журнала.
4. Через 30 дней — удалениеЕсли данные нужны только для рассылки, их удаляют или обезличивают, включая копии у сервиса рассылок.

§6Согласие на распространение

Если данные человека будут видны неограниченному кругу лиц — отзыв с именем и фото на сайте, публичный профиль специалиста, — нужно отдельное согласие по ст. 10.1. Оно оформляется отдельно от всех других согласий, и человек сам выбирает, какие данные разрешает публиковать и с какими запретами.

152-ФЗ «О персональных данных»ст. 10.1, ч. 1, 8ред. от 26.07.2026

1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории […].
[…]
8. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Оператор публикует условия и запреты, установленные человеком, не позднее трёх рабочих дней с момента получения согласия (ч. 10 ст. 10.1). Если человек потребует прекратить распространение, публикацию снимают сразу: действие согласия прекращается с момента поступления требования (ч. 13).