Согласие на обработку персональных данных теперь необходимо получать отдельно

24 июня 2025 года Президент Российской Федерации подписал федеральный закон о создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации. На фоне активного обсуждения новых возможностей для граждан, предоставляемых этим сервисом, важно обратить внимание на изменения, вносимые федеральным законом в часть 1 статьи 9 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» («Закон о персональных данных»).

Теперь в Законе о персональных данных прямо указано, что согласие на обработку персональных данных («согласие») должно быть оформлено отдельно от иной информации и (или) документов, которые подтверждает и (или) подписывает физическое лицо — субъект персональных данных.

Получение отдельного согласия и ранее считалось «лучшей практикой» в сфере приватности, так как такое согласие в полной мере могло считаться информированным, сознательным и однозначным, что соответствует базовым принципам, закрепленным в части 1 статьи 9 Закона о персональных данных.

Однако отсутствие прямого законодательного требования позволяло компаниям принимать бизнес-решения в «серой зоне», например, объединять получение согласия на обработку персональных данных и согласия с условиями предоставления сервиса или включать согласие в положения договора.

Поскольку Роскомнадзор признает cookie-файлы персональными данными пользователей вебсайтов, новое требование теперь обязывает владельцев информационных ресурсов размещать на своих сайтах cookie-баннер для получения от пользователей отдельного активного согласия на сбор файлов cookie в целях сбора метрики и аналитики работы сайта.

В целом, новые законодательные положения соответствуют наметившемуся среди компаний тренду смещения фокуса с повсеместно получаемых согласий на другие правовые основания обработки персональных данных (такие как обработка данных по договору или на основании законного интереса оператора). Соответственно, изменения статьи 9 Закона о персональных данных не должны значительно усложнять бизнес-процессы, так как зачастую обработка персональных данных происходит в рамках заключенного с субъектом договора и не требует получения согласия.

В случае нарушения требования об отдельном оформлении согласия компании могут быть привлечены к административной отнесенности согласно части 1 статьи 13.11 Кодекса об административных правонарушениях РФ, которая предусматривает штрафы для должностных лиц от 50 тыс. до 100 тыс. руб.; для юридических лиц — от 150 тыс. до 300 тыс. руб.

Изменения вступят в силу 1 сентября 2025 года.