Оформление согласия на обработку персональных данных (ПДн) — обязательное требование Федерального закона от № 152-ФЗ «О персональных данных». Особое внимание требует ситуация, когда оператор планирует передать данные третьим лицам (подрядчикам, контрагентам, банкам, страховым компаниям, ИТ-провайдерам и др.). В данной статье разобраны правовые основы, обязательные реквизиты, структура документа и предоставлен актуальный образец бланка на 2026 год.
Правовые основы: когда нужно согласие на передачу третьим лицам
Согласно ст. 6 и ст. 9 Закона № 152-ФЗ, обработка ПДн (включая передачу) допускается только при наличии согласия субъекта, если иное не установлено законом (например, исполнение трудового договора, защита жизни, судебные решения).
- Передача (п. 3 ч. 1 ст. 3 № 152-ФЗ) — это раскрытие персональных данных определенному лицу или кругу лиц. Если получатель данных определен заранее (конкретная компания), в согласии он должен быть назван явно.
- Распространение — раскрытие неопределенному кругу лиц (требует отдельного письменного согласия).
- Обработка от имени оператора (передача уполномоченному лицу, ч. 2 ст. 6 № 152-ФЗ) — если третье лицо обрабатывает данные по поручению оператора (аутсорсинг зарплаты, облачное хранение), это не считается «передачей третьим лицам» в строгом смысле, но требует договора о поручении обработки. Однако на практике в согласие субъекта часто включают пункт о таком поручении для прозрачности.
Важно: Если вы передаете данные банку для зарплатного проекта, страховщику для ДМС или подрядчику для учета рабочего времени, это передача третьим лицам, требующая указания их реквизитов в согласии.
Обязательные реквизиты согласия (по ст. 9 № 152-ФЗ)
Любой бланк согласия (в т.ч. для третьих лиц) должен содержать:
- ФИО, адрес места жительства (пребывания), паспортные данные субъекта ПДн (или реквизиты доверенности представителя).
- Наименование и адрес оператора (вашей организации/ИП), получающего согласие.
- Цели обработки (конкретные: расчет зарплаты, оформление полиса ДМС, участие в тендере и т.д.). Общие формулировки («для целей бизнеса») недопустимы (пояснения Роскомнадзора).
- Перечень персональных данных, на обработку которых дается согласие (ФИО, СНИЛС, ИНН, банковские реквизиты, данные о здоровье — только при особых основаниях).
- Наименование (ФИО) и адрес третьих лиц, которым данные передаются (или категория лиц, если круг заранее не определен, но цель требует передачи).
- Список действий (операций) с ПДн, на которые распространяется согласие (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение).
- Срок действия согласия и способ его отзыва.
- Подпись субъекта с расшифровкой и датой.
Особенности заполнения раздела «Третьи лица»
Это самый рискованный блок. Ошибки здесь приводят к штрафам (ст. 13.11 КоАП РФ: до 75 000 руб. для юрлиц за нарушение прав субъектов).
Вариант А: Конкретные получатели (Рекомендуемый)
Перечислите каждую компанию отдельно:
- АО «Банк «Пример», ОГРН 102###, адрес: г. Москва, ул. ###, д. 1 — для зачисления заработной платы.
- ООО «Страховщик», ОГРН 102###, адрес: г. Москва, пр. Второй, д. 2, для оформления полиса ДМС.
- ООО «Аутсорсинг Кадров», ОГРН 102###, для ведения кадрового учета (обработка от имени оператора).
Вариант Б: Категории получателей (Допустимо, если круг широк)
Формулировка: «Органы государственной власти, судебные органы, исполнительные производством органы, кредитные организации (банки) для зачисления заработной платы, страховые организации для оформления договоров страхования, операторы персональных данных, обрабатывающие данные по договору поручения от имени Оператора».
Риск: Роскомнадзор может сочтить это несоответствием требованию «определенному кругу лиц». Лучше указывать конкретных контрагентов в приложении к согласию, которое является неотъемлемой частью документа.
Ниже приведен универсальный образец. Текст в квадратных скобках [ЖИРНЫМ ШРИФТОМ В СКОБКАХ] подлежит замене на реальные данные. Персональные данные субъекта в образце замаскированы.
СОГЛАСИЕ НА ОБРАБОТКУ И ПЕРЕДАЧУ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
г. [ГОРОД] «[ДЕНЬ]» [МЕСЯЦ] 20[ГОД] г.
Я, [ФАМИЛИЯ ИМЯ ОТЧЕСТВО ПОЛНОСТЬЮ], дата рождения: [ДД.ММ.ГГГГ], паспорт: серия [СЕРИЯ] № [НОМЕР], выдан [КЕМ ВЫДАН] [ДАТА ВЫДАЧИ] г., код подразделения [КОД], зарегистрированный по адресу: [АДРЕС РЕГИСТРАЦИИ], действующий на основании [ПАСПОРТ / ДОВЕРЕННОСТЬ № … ОТ …], именуемый в дальнейшем «Субъект персональных данных», свободно, своей волей и в своем интересе даю настоящее согласие [ПОЛНОЕ НАИМЕНОВАНИЕ ВАШЕЙ ОРГАНИЗАЦИИ / ФИО ИП] (далее — «Оператор»), расположенному по адресу: [ЮРИДИЧЕСКИЙ АДРЕС ОПЕРАТОРА], ОГРН/ОГРНИП [НОМЕР], ИНН/КПП [НОМЕРА], на обработку моих персональных данных, а также на их передачу третьим лицам на условиях и для целей, указанных ниже.
Цели обработки и передачи персональных данных
Обработка и передача моих персональных данных осуществляется для следующих целей:
- Расчет и выплата заработной платы (вознаграждения) через кредитную организацию;
- Оформление и администрирование договора добровольного медицинского страхования (ДМС);
- Обеспечение режима пропускного режима / контроля доступа на территорию Оператора;
- Ведение кадрового, бухгалтерского и налогового учета;
- [ДРУГИЕ КОНКРЕТНЫЕ ЦЕЛИ, НЕОБХОДИМЫЕ ВАШЕЙ ДЕЯТЕЛЬНОСТИ].
Состав персональных данных, подлежащих обработке и передаче
Настоящим даю согласие на обработку следующих категорий моих персональных данных:
- Общие данные: фамилия, имя, отчество; дата и место рождения; пол; гражданство;
- Паспортные данные: серия, номер, дата выдачи, кем выдан, код подразделения;
- Контактные данные: адрес регистрации/проживания, номера телефонов, адрес электронной почты;
- Идентификационные номера: СНИЛС, ИНН;
- Банковские реквизиты: номер счета/карты, БИК, наименование банка (для зачисления выплат);
- Данные о трудовой деятельности: должность, подразделение, табельный номер, стаж, сведения о доходах (2-НДФЛ);
- Данные о семейном положении и иждивенцах (при необходимости для ДМС/налоговых вычетов);
- [СПЕЦИАЛЬНЫЕ КАТЕГОРИИ ДАННЫХ: ЗДОРОВЬЕ, БИОМЕТРИЯ, НАЦИОНАЛЬНОСТЬ И Т.Д. — ТОЛЬКО ЕСЛИ ЕСТЬ ОСОБЫЕ ОСНОВАНИЯ СТ. 10-11 № 152-ФЗ И ОТДЕЛЬНОЕ СОГЛАСИЕ].
Перечень третьих лиц, которым передаются персональные данные
Соглашаюсь на передачу моих персональных данных следующим третьим лицам (получателям):
- Наименование: [ПОЛНОЕ НАИМЕНОВАНИЕ БАНКА/ОРГАНИЗАЦИИ 1]
ОГРН/ИНН: [РЕКВИЗИТЫ]
Адрес: [ЮР. АДРЕС]
Цель передачи: Зачисление заработной платы (вознаграждения) на банковский счет. - Наименование: [ПОЛНОЕ НАИМЕНОВАНИЕ СТРАХОВЩИКА/ОРГАНИЗАЦИИ 2]
ОГРН/ИНН: [РЕКВИЗИТЫ]
Адрес: [ЮР. АДРЕС]
Цель передачи: Оформление и обслуживание полиса ДМС / страхования от НС. - Наименование: [ПОЛНОЕ НАИМЕНОВАНИЕ ПОДРЯДЧИКА/ИТ-КОМПАНИИ 3]
ОГРН/ИНН: [РЕКВИЗИТЫ]
Адрес: [ЮР. АДРЕС]
Цель передачи: Обработка персональных данных от имени Оператора по договору поручения № [НОМЕР ДОГОВОРА] от [ДАТА] (ведение учета рабочего времени, предоставление программного обеспечения, облачное хранение). - Иные лица: Органы государственной власти, судебные органы, Росфинмониторинг, Пенсионный фонд РФ (СФР), налоговые органы — в случаях и порядке, установленных законодательством РФ.
Примечание: Актуальный реестр третьих лиц (подрядчиков) хранится у Оператора и предоставляется Субъекту на его запрос. При изменении списка подрядчиков Оператор уведомляет Субъекта путем публикации новой версии настоящего Согласия на сайте / направления уведомления на почту.
Виды (операции) обработки персональных данных
Согласие дается на осуществление следующих действий (операций) с моими персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как с использованием средств автоматизации (автоматизированная), так и без таких средств (неавтоматизированная).
Срок действия согласия и порядок его отзыва
- Настоящее согласие действует бессрочно (или до [ДАТА / СОБЫТИЕ, НАПР. «РАСТОРЖЕНИЯ ТРУДОВОГО ДОГОВОРА»]) с момента его подписания.
- Субъект имеет право отозвать настоящее согласие в любое время путем направления письменного уведомления (заявления) Оператору по адресу: [ЮР. АДРЕС ОПЕРАТОРА] или на электронную почту: [EMAIL ДЛЯ ЗАЯВЛЕНИЙ] (с использованием усиленной квалифицированной электронной подписи / через личный кабинет / лично под роспись).
- Отзыв согласия вступает в силу с момента получения уведомления Оператором. Оператор прекращает обработку и уничтожает данные в течение 30 (тридцати) календарных дней (или иного срока, установленного законом/договором) со дня получения отзыва, если обработка не требуется для исполнения договора/закона.
Меры по защите персональных данных
Оператор и третьи лица принимают необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в соответствии с требованиями ст. 19 № 152-ФЗ и Постановлением Правительства РФ № 1119.
Права субъекта персональных данных
Я уведомлен(а) о своих правах в соответствии со ст. 14 № 152-ФЗ, в т.ч. праве на получение информации об обработке моих данных, право на уточнение, блокирование или уничтожение неполных, неверных или незаконно полученных данных, право на отзыв согласия, право на обжалование действий Оператора в Роскомнадзор или в суде.
ПОДПИСЬ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
| Подпись |
| Расшифровка подписи (ФИО) |
| Дата |
ПОДПИСЬ ПРЕДСТАВИТЕЛЯ ОПЕРАТОРА (ПРИ ПРИЕМЕ)
| Подпись |
| Расшифровка подписи (ФИО, Должность) |
| Дата / М.П. |
Электронная форма согласия (для сайтов, приложений, EDO)
Если согласие получается в электронном виде (через чек-бокс на сайте, СМС-код, ЭЦП в системе ЭДО), в тексте обязательно должны быть:
- Ссылка на полный текст согласия (как выше) или сам текст рядом с чек-боксом.
- Фраза: «Нажимая кнопку «Согласен» / ставя галочку, я подтверждаю, что ознакомлен(а) с текстом Согласия, даю его свободно, своей волей и в своем интересе».
- Фиксация факта согласия: лог с IP-адресом, временем, User-Agent, хэшем документа (для доказательства в споре).
- Возможность отозвать согласие тем же способом (личный кабинет, ссылка в письме).
Типичные ошибки и риски (Чек-лист для проверки)
| Ошибка | Последствие | Как исправить |
|---|---|---|
| Отсутствие перечня третьих лиц (написано «третьим лицам» без имен) | Штраф ст. 13.11 КоАП РФ, признание согласия недействительным | Указать конкретных получателей или приложить реестр как неотъемлемую часть |
| Цели сформулированы абстрактно («для бизнес-целей») | Нарушение принципа целевого определения (ст. 5 № 152-ФЗ) | Детализировать каждую цель: «расчет зарплаты», «оформление ДМС» |
| Передача спецкатегорий данных (здоровье, биометрия) без оснований ст. 10-11 | Грубое нарушение, крупные штрафы, блокировка обработки | Получить отдельное письменное согласие на спецданные, обосновать основание |
| Нет способа отзыва или он сложнее, чем дача согласия | Нарушение ч. 1 ст. 9 № 152-ФЗ | Предусмотреть отзыв в личном кабинете, по почте, лично — так же просто |
| Срок действия «бессрочно» без условия отзыва | Риск признания условия недействительным судом | Всегда указывать: «действует до отзыва или достижения цели» |
Хранение и учет согласий
- Оригиналы бумажных согласий хранятся в личных делах сотрудников или в архиве контрагентов.
- Электронные — в защищенном хранилище с контролем целостности (хэш-суммы, блокчейн/КСИ, ЭДО).
- Ведите Реестр согласий (Журнал учета): Дата получения, ФИО субъекта, Номер/Версия бланка, Способ получения (бумага/ЭЦП/Сайт), Статус (Активно/Отозвано), Дата отзыва.
- При изменении списка третьих лиц или целей — выпускайте новую версию согласия и инициируйте переподписание (или уведомляйте с правом отказа).
Грамотно составленное согласие на передачу персональных данных третьим лицам — это не просто формальность для проверки Роскомнадзора, а инструмент управления рисками утечек данных и судебных претензий со стороны субъектов. Ключевые принципы 2026 года: прозрачность (кто получает), целевость (зачем), минимизация (что именно) и простота отзыва.
Используйте приведенный выше образец как базу, адаптируйте его под конкретные бизнес-процессы вашей организации (список подрядчиков, виды данных, сроки) и обязательно согласуйте финальный текст с юристом / ДСП (должностным лицом по защите ПДн).
Дисклеймер: Данная статья носит информационный характер и не является правовой консультацией. Законодательство может меняться. Перед использованием бланка в работе рекомендуется проверить актуальность нормативной базы и согласовать документ со специалистом по защите персональных данных.