Новости законодательства
24/09/2025
Федеральный закон от 24 июня 2025 года № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» устанавливает, том числе, новый порядок оформления персональных данных
С 1 сентября 2025 года, согласно Федеральному закону от 24 июня 2025 года № 156-ФЗ, согласие на обработку персональных данных должно оформляться только в виде отдельного письменного (или электронного) документа, который подписывается отдельно от любых договоров и прочих соглашений с гражданами.
Для организаций и индивидуальных предпринимателей изменились требования к получению согласия на обработку персональных данных физических лиц. Теперь нельзя оформить согласие по-старому – просто включив его в текст основного договора. В противном случае компаниям грозят крупные штрафы от Роскомнадзора, которые могут достигать 1,5 млн рублей.
Что изменилось в порядке получения согласий на обработку персональных данных и как следует оформлять их согласно новым правилам с 1 сентября 2025 года.
Федеральный закон от 24 июня 2025 года № 156-ФЗ установил более строгие требования к оформлению согласий на обработку персональных данных физических лиц. Новые правила обязательны для всех организаций и индивидуальных предпринимателей, которые собирают и используют персональные данные граждан.
Начиная с 1 сентября 2025 года, компании смогут получать согласие на обработку персональных данных граждан только в виде отдельного письменного (или электронного) документа, который оформляется и подписывается отдельно от любых договоров и прочих соглашений с гражданами.
При этом обязательной установленной формы такого согласия законом не предусмотрено. Организации могут самостоятельно разработать шаблон согласия, однако в нем обязательно должны быть указаны все сведения, которые прямо перечислены в части 4 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ.
В согласии на обработку персональных данных обязательно должны быть указаны следующие сведения (ч. 4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ):
- фамилия, имя, отчество и паспортные данные гражданина;
- наименование организации, либо фамилия, имя, отчество индивидуального предпринимателя или самозанятого, получающего согласие;
- конкретная цель обработки персональных данных;
- перечень данных, которые подлежат обработке по согласию;
- описание действий, которые будут совершаться с этими персональными данными, включая общий перечень применяемых способов их обработки;
- период действия согласия и порядок его отзыва;
- подпись гражданина, предоставляющего согласие.
Если организация намерена предоставлять персональные данные граждан третьим лицам, ей потребуется оформить не только общее согласие на обработку, но и отдельное согласие на передачу персональных данных конкретному третьему получателю и под конкретную цель. Такое согласие необходимо составлять отдельным документом – включать его текст в основное согласие на обработку персональных данных недопустимо.
Таким образом, до того, как передавать персональные данные сторонним организациям или лицам, компания обязана получить два самостоятельных документа от гражданина: согласие на обработку его персональных данных и согласие на передачу этих данных третьим лицам (ч. 1 ст. 10.1 Федерального закона от 27.07.2006 №152-ФЗ).
В согласии на передачу персональных данных третьей стороне обязательно указываются получатель данных, цель передачи, а также перечень действий, которые предполагается совершить с персональными данными в процессе их передачи. Дополнительно, по требованию гражданина, в этом согласии должны быть отражены все обязательные условия предоставления данных и ограничения, при несоблюдении которых их передача третьим лицам становится невозможной (приказ Роскомнадзора от 24.02.2021 №18).
Ответственность и штрафы за несоблюдение новых требований
С 1 сентября 2025 года, если компании или индивидуальные предприниматели будут нарушать обновленные правила и продолжат включать согласие на обработку персональных данных в условия договоров или другие документы, такое согласие не будет считаться действительным. В результате обработка персональных данных будет признана несанкционированной, а компании и предприниматели могут быть привлечены к административной ответственности по ч. 2 ст. 13.11 КоАП РФ (обработка персональных данных без письменного согласия).
Данная статья предусматривает следующие размеры штрафов:
- для самозанятых – от 10 000 до 15 000 рублей;
- для индивидуальных предпринимателей – от 100 000 до 300 000 рублей;
- для должностных лиц организаций – от 100 000 до 300 000 рублей;
- для юридических лиц – от 300 000 до 700 000 рублей.
При повторном нарушении санкции ужесточаются (ч. 2.1 ст. 13.11 КоАП РФ):
- для самозанятых – от 15 000 до 30 000 рублей;
- для индивидуальных предпринимателей – от 500 000 до 1 000 000 рублей;
- для должностных лиц организаций – от 300 000 до 500 000 рублей;
- для организаций – от 1 000 000 до 1 500 000 рублей.