Современный мир постоянно меняется, общественные отношения претерпевают изменения под влиянием цифровизации и непрерывного развития технологий. Указанные изменения находят своё отражение, в том числе в законодательстве. Одной из бесспорно важнейших областей изменяющихся правоотношений является регулирование в области обработки персональных данных. В частности, процесс получения согласия на обработку персональных данных постоянно адаптируется к новым реалиям. Целью данной статьи является анализ соответствия недавних изменений законодательства требованиям современных обстоятельств в контексте получения оператором персональных данных согласия на обработку персональных данных от субъекта, и выявление возможных правовых неопределенностей в указанной сфере. Достижение поставленной в статье цели обеспечивается путём использования метода научного анализа, сравнительно-правового и формально-юридического методов.
* * * * *
Одним из наиболее важных аспектов правоотношений, связанных с обработкой персональных данных, является вопрос получения операторами согласия на обработку персональных данных. Именно согласие является правовым основанием обработки персональных данных в случаях, когда такая обработка прямо не предусмотрена требованиями законодательства. От правильности оформления согласия напрямую зависит дальнейшая правомерность обработки персональных данных. Указанное основание обработки персональных данных определено в пункте 1 части 1 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ1).
Требования к порядку оформления и содержанию согласия на обработку персональных данных установлены статьей 9 Федерального закона № 152-ФЗ. По общему правилу, закрепленному частью 1 статьи 9 Федерального закона № 152-ФЗ, согласие на обработку персональных данных может быть дано в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Однако большинство операторов предпочитают оформлять согласие на обработку персональных данных в письменном виде (важно разграничивать с понятием «письменной формы», закрепленном в части 4 статьи 9 Федерального закона № 152-ФЗ), чтобы в дальнейшем иметь возможность при необходимости предоставить доказательство его получения. Как отметили в своей работе исследователи Е.В. Петрова и Д.А. Акопян: беспроигрышный для оператора вариант – письменное согласие субъекта [Петрова: 3].
Вместе с тем в отдельных случаях Федеральный закон № 152-ФЗ напрямую устанавливает требования о необходимости получения согласия в письменной форме, в частности в отношении специальных категорий персональных данных (пункт 1 части 2 статьи 10), биометрических персональных данных (часть 2 статьи 11), обработки персональных данных, разрешенных субъектом персональных данных для распространения (статья 10.1), а также при принятии решений на основании исключительно автоматизированной обработки их персональных данных (статья 16). При этом важно отметить, что в данных случаях к содержанию согласия предъявляются требования, установленные частью 4 статьи 9 Федерального закона № 152-ФЗ (определен закрытый перечень сведений, которые необходимо внести в текст согласия).
Действовавшая до недавнего времени редакция Федерального закона № 152-ФЗ позволяла операторам во многих случаях включать текст согласия на обработку персональных данных в содержание иных документов. С 1 сентября 2025 года вступили в силу положения статьи 5 Федерального закона от 24 июня 2025 года № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации»2, дополнившие часть 1 статьи 9 Федерального закона № 152-ФЗ требованием о том, что согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. Таким образом, в новой редакции Федерального закона № 152-ФЗ подчёркнута некоторая «обособленность» согласия на обработку персональных данных от других документов и информации, вне зависимости от формы выражения согласия.
Как было отмечено представителями Роскомнадзора в ходе выступлений на мероприятии «День открытых дверей по персональным данным» 27 августа 2025 года, если планируется получение согласия на обработку персональных данных путем подписания комплекса документов одной электронной цифровой подписью, то в этом случае новые требования к оформлению согласия не будут соблюдены. Аналогичным образом не соответствует новым требованиям законодательства случаи, когда текст согласия на обработку персональных данных включен в тексты других документов, например, договор или пользовательское соглашение.
Интересным остается вопрос об ответственности оператора персональных данных за нарушение вышеуказанных требований, поскольку часть 2 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ)3 устанавливает административную ответственность лишь за обработку персональных данных без согласия в письменной форме в случаях, когда такое согласие должно быть получено в соответствии с законодательством, либо за обработку персональных данных с нарушением установленных законодательством требований к составу сведений, включаемых в такое согласие. Таким образом, в настоящее время с точки зрения КоАП РФ затруднительно квалифицировать нарушение оператором требований об отдельном оформлении «общего» согласия на обработку персональных данных (не требующего его получения в письменной форме).
Также в свете вышеуказанных изменений законодательства необходимо обратить внимание на обработку персональных данных, осуществляемую в связи с договорными правоотношениями. Исходя из общих условий обработки персональных данных, установленных частью 1 статьи 6 Федерального закона № 152-ФЗ, обработка персональных данных, необходимая для исполнения и заключения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, не требует получения согласия на обработку персональных данных. Тем не менее зачастую операторы заручаются дополнительным согласием на обработку персональных данных в отсутствие такой необходимости, что является избыточным, при условии, что персональные данные обрабатываются исключительно в целях и объеме, предусмотренных договором, и не передаются третьим лицам. Вместе с тем случаи обработки персональных данных, в целях, отличных от целей исполнения (заключения) договора, а также в превышающем его объёме (например, в маркетинговых целях или в целях передачи партнерам оператора), требуют получения советующего согласия. Данную мысль подтверждает исследователь Д.В. Пятков, указывая, что «фраза «обработка персональных данных необходима для исполнения договора», как содержащая условие, при котором согласие получать не нужно, не обладает той степенью определенности, которая могла бы гарантировать оператору персональных данных полную безопасность в том, что касается ответственности за нарушение законодательства о персональных данных» [Пятков: 5]. Ранее указанное требование могло быть реализовано путем включения согласия на обработку персональных данных в текст договора, однако в настоящее время в силу вступивших в силу изменений части 1 статьи 9 Федерального закона № 152-ФЗ, согласие на обработку персональных данных необходимо оформлять отдельно (например, приложением к договору). Данный подход фактически увеличивает количество документов о согласии, что некоторым образом противоречит относительно недавней позиции представителя Роскомнадзора, согласно которой следовало бы, напротив, уменьшать количество согласий ввиду фактического игнорирования его важности субъектами персональных данных («в большинстве случаев пользователи неосознанно дают согласия на обработку персональных данных – вряд ли можно за секунду ознакомиться с многостраничным документом и понять, куда эти данные отправятся»4).
Вышеописанные изменения достаточно существенны и вступили в силу с 1 сентября 2025 года. Однако, на взгляд автора, стоит упомянуть о не менее существенных законодательных трансформациях в вопросах, касающихся согласия на обработку персональных данных, которые произошли несколько ранее.
Вступивший в силу с 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности»5 внес ряд обширных изменений в Федеральный закон № 152-ФЗ. В том числе были внесены изменения в часть 1 статьи 9 Федерального закона № 152-ФЗ, которыми требования о конкретности, информированности и сознательности согласия на обработку персональных данных также дополнены требованием о его предметности и однозначности. Указанные изменения предполагают формулирование предельно конкретных и понятных целей обработки персональных данных, а также указание в согласии исчерпывающего объема персональных данных, на обработку которых дается согласие.
В контексте согласия на обработку персональных данных важно обратить внимание на вопросы, связанные с распространением персональных данных. Ранее достаточно было взять одно согласие на обработку персональных данных и, для возможности их распространения, можно было включить в перечень действий с персональными данными, на совершение которых даётся согласие, такое действие, как распространение [Гнедков: 2]. Поскольку распространение персональных данных является действием, направленным на раскрытие персональных данных неопределенному кругу лиц (пункт 5 статьи 3 Федерального закона № 152-ФЗ), то оно способно повлечь существенные правовые последствия для субъекта персональных данных, такие как утрата контроля над использованием и дальнейшими действиями в отношении персональных данных, повышенные риски их неправомерного использования. Учитывая изложенное, с 1 марта 2021 года Федеральный закон № 152-ФЗ дополнен статьей 10.1, регламентирующей особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения (Федеральный закон от 30 декабря 2020 года № 519-ФЗ «О внесении изменений в Федеральный закон «О персональных данных»6). Внесенными изменениями предусмотрено, что согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, является исключительным правовым основанием для распространения персональных данных. Новые правила Закона о персональных данных исключают для операторов персональных данных и третьих лиц возможность распространять полученные данные без согласия их владельца, и устанавливают четкие правила получения согласия на распространение и обработку общедоступных личных сведений [Черепанова: 4]. Таким образом, законодатель счел необходимым установить особый, более строгий режим регулирования для распространения персональных данных, отличающийся от других действий (операций), совершаемых с персональными данными (например, сбор, запись, хранение и иные действия).
Так, например, в силу части 1 статьи 10.1 Федерального закона № 152-ФЗ согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Тем самым законодатель обособил и усилил важность получения согласия именно на распространение. Кроме того, требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, установлены приказом Роскомнадзора от 24 февраля 2021 года № 18 и существенно отличаются от требований, установленных к содержанию согласия в письменной форме (часть 4 статьи 9 Федерального закона № 152-ФЗ). Однако открытым остается вопросах о мерах административной ответственности операторов в случае несоблюдения требований к оформлению вышеуказанного согласия.
Особое внимание заслуживают установленные частью 6 статьи 10.1 Федерального закона № 152-ФЗ способы предоставления согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения. Так, в отличие от «общего» согласия, которое может быть дано субъектом персональных данных в любой позволяющей подтвердить факт его получения форме (часть 1 статьи 9 Федерального закона № 152-ФЗ), согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору непосредственно либо путем использования информационной системы Роскомнадзора (часть 6 статьи 10.1 Федерального закона № 152-ФЗ).
Следует отметить, что положения части 8 статьи 10.1 Федерального закона № 152-ФЗ исключают возможность расценивать молчание или бездействие субъекта персональных данных в качестве согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения. Представляется целесообразным распространение данного подхода на все правоотношения, связанные с предоставлением согласия на обработку персональных данных в случаях, требующих получения такого согласия.
Применительно к вышеуказанным изменениям законодательства заслуживает внимания нестандартный подход к интерпретации согласия на обработку данных исследователя Лося Л.В. Обобщая международные практики правоприменения, он выделяет три модели регламентации доступа к персональным данным: модель «информированного согласия» (наиболее близкую к российскому законодательству), модель «opt-out» (дословно означающая «не принимать участия», «уклоняться», «отказаться», «отказ от подписок») и модель «opt-in» (означает «принимать участие», «участвовать», «высказаться в пользу чего-либо», «согласие на подписки», «выбор путем присоединения», «неавтоматическое согласие»). При этом Л.В. Лось отмечает, что анализ последних тенденций развития российского законодательства о персональных данных и сопоставление их с основными положениями вышеуказанных моделей позволяет сделать вывод об их возможном сочетании. Так, в силу положений статьи 9 Федерального закона № 152-ФЗ субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей. Согласие на обработку и другие манипуляции с персональными данными должно быть конкретным, информированным и сознательным. Можно прийти к выводу, что применяется модель «информированного согласия». Однако, исходя из недавних изменений в законодательстве о персональных данных, можно говорить об использовании подхода «opt-in» – «презумпции несогласия» по отношению к персональным данным, разрешенным субъектом персональных данных для распространения в порядке введенной в недавнем времени ст. 10.1 вышеуказанного закона [Лось: 2].
* * * * *
В настоящее время согласие на обработку персональных данных остается важным механизмом, обеспечивающим правомерность обработки персональных данных. Совершенствуя положения законодательства, определяющие основание и порядок получения согласия на обработку персональных данных, законодатель подчеркивает важность этого волеизъявления для субъекта персональных данных. В частности, в сентябре 2025 года были внесены изменения, требующие отдельного оформления согласия на обработку персональных данных от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. Более ранние изменения также подчеркивают значимость требований о предметности и однозначности согласия на обработку персональных данных, а также особые условия правового регулирования при получении согласия на распространение персональных данных.
Таким образом, оценивая происходившие в законодательстве изменения в контексте требований к согласию на обработку персональных данных за относительно небольшой промежуток времени, прослеживается непрерывный процесс его совершенствования. Более детальное рассмотрение каждой из новелл позволяет выявить последовательную взаимосвязь. Так, например, требования к предметности и однозначности согласия на обработку персональных данных, вероятно, послужили предпосылкой для введения положений о его отдельности. Возможно в дальнейшем положения, запрещающие рассматривать молчание или бездействие субъекта как согласие на обработку персональных данных, могут быть расширены на все случаи получения согласия, а не только на обработку данных, разрешенных для распространения.
В целом, по мнению автора, отечественное законодательство демонстрирует положительную тенденцию к своевременному обновлению в ответ на изменяющиеся обстоятельства и новые потребности в регулировании. Вместе с тем несмотря на непрерывное совершенствование законодательства, регулирующего вопросы получения согласия на обработку персональных данных, нередко выявляются пробелы, требующие доработки. В частности, это касается вопросов административной ответственности за нарушения новых требований к оформлению и получению согласия на обработку персональных данных. Кроме того, на фоне активного внедрения в повседневную деятельность технологий искусственного интеллекта, представляется целесообразным также рассмотрение вопроса о включении в конструкцию согласия на обработку персональных данных положений, предусматривающих использование таковых в обозначенных целях обработки.
Примечания
1 Российская Федерация. Законы. О персональных данных: Федер. закон от 27 июля 2006 г. № 152-ФЗ: принят Государственной Думой 8 июля 2006 г.: одобрен Советом Федерации 14 июля 2006 г. // Собрание законодательства Российской Федерации. 2006. № 31 (часть I). Ст. 3451.
2 Российская Федерация. Законы. О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации: Федер. закон от 24 июня 2025 г. № 156-ФЗ: принят Государственной Думой 10 июня 2025 г.: одобрен Советом Федерации 18 июня 2025 г. // Собрание законодательства Российской Федерации. 2025. № 26 (часть I). Ст. 3486.
3 Российская Федерация. Законы. Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 г. № 195-ФЗ: принят Государственной Думой 20 декабря 2001 г.: одобрен Советом Федерации 26 декабря 2001 г. // Собрание законодательства Российской Федерации. 2002. № 1 (часть I). Ст. 1.
4 Гуреева Ю. Роскомнадзор: Большинство согласий на обработку данных дается неосознанно // Российская газета: инф. сайт. 2024, 26 июня. URL: https://rg.ru/2024/06/26/zamglavy-roskomnadzora-milosh-vagner-bolshinstvo-soglasij-na-obrabotku-dannyh-polzovateli-daiut-neosoznanno.html (дата обращения: 31.10.2025)
Список литературы
Гнедков А.В. Особенности распространения персональных данных в последней редакции законодательства о персональных данных / А.В. Гнедков, А.В. Нищик // Научно-методическое обеспечение оценки качества образования. 2022. № 1(15). С. 49-52.
Лось Л.В. Презумпция согласия на сбор, обработку и передачу персональных данных: система opt-in или система opt-out // Юридическая деятельность в условиях цифровизации: Сб. статей междунар. научно-практ. конференции. Симферополь: ИТ «АРИАЛ», 2021. С. 348-354.
Петрова Е.В. Обновленные правила работы с персональными данными в деятельности госслужащих / Е.В. Петрова, Д.А. Акопян // Гуманитарный научный журнал. 2023. № 4-2. С. 53-56.
Пятков Д.В. Способы получения согласия субъекта персональных данных на их обработку в процессе организации образовательных онлайн-курсов / Д.В. Пятков, А.Р. Сулейменова // Юридическая наука и практика. 2023. Т. 19, № 3. С. 57-68. DOI 10.25205/2542-0410-2023-19-3-57-68
Черепанова Ю.Е. Административная ответственность за распространение персональных данных без согласия их владельца // Актуальные проблемы административного и административно-процессуального права (Сорокинские чтения): сб. статей междунар. научно-практ. конференции (Санкт-Петербург, 25 марта 2022 г.). Санкт-Петербург: Санкт-Петербургский университет Министерства внутренних дел Российской Федерации, 2022. С. 511-515.