С 1 сентября 2025 года согласие на обработку ПДн нужно будет оформлять отдельно

С 1 сентября 2025 года вступают в силу изменения в закон №152-ФЗ «О персональных данных», внесённые Федеральным законом от 24.06.2025 №156-ФЗ. Они ужесточают требования к согласию на обработку ПДн: теперь оно должно быть оформлено отдельным документом.

Что изменится:

• Нельзя будет включать согласие в текст договора или пользовательского соглашения.

• Согласие должно быть оформлено как отдельный документ, подписанный собственноручно (для бумажной формы) или с помощью электронной подписи.

• Документ должен содержать полный набор обязательных сведений: ФИО, паспортные данные, цель обработки, перечень данных, сведения об операторе и т. д.

Важно: согласия, полученные до 1 сентября, сохраняют силу. Но если после этой даты вы продолжите использовать старую форму согласия, она будет считаться недействительной. Штраф — до 700 000 ₽ (ч. 2 ст. 13.11 КоАП РФ).

Новое: передача обезличенных данных в государственную систему

С 1 сентября 2025 года вступает в силу статья 13.1 закона №152-ФЗ — операторы персональных данных обязаны передавать обезличенные данные в ГИС, созданную Минцифры. Биометрические и специальные категории ПДн передавать нельзя — только общие.

Что нужно знать:

• Минцифры сможет требовать предоставление обезличенных ПДн — оператор обязан передать их, соблюдая методику обезличивания (будет утверждена Правительством и ФСБ).

• ФСБ получит право контролировать безопасность обработки ПДн не только в госсекторе, но и в коммерческих ИС.

• Доступ к данным в ГИС разрешён только государственным и уполномоченным российским структурам.

• Передача результатов обработки иностранцам запрещена (кроме предусмотренных законом случаев).

• Нарушения — повод для внеплановой проверки и штрафов.

Как подготовиться:

1. Проведите аудит обработки ПДн — проверьте цели, основания, актуальность ИС и перечней данных.

2. Обновите документы — Политику, Положение об обработке, шаблоны согласий, инструкции и регламенты.

3. Разработайте отдельную форму согласия с учётом новых требований.

4. Подайте уведомление в Роскомнадзор, если не сделали этого ранее. Штраф за неподачу — до 300 000 ₽.

5. Проверьте алгоритмы обезличивания — по ним не должно быть возможности идентифицировать человека.

Если вы используете типовые формы согласий из интернета, обязательно адаптируйте их под специфику вашей деятельности. Иначе — риск штрафов и претензий со стороны Роскомнадзора.

Рекомендуем регулярно проводить не только технический, но и правовой аудит обработки персональных данных.