Компаниям нужно срочно пересмотреть документооборот. С 1 сентября 2025 года вступает в силу Федеральный закон от 24.06.2025 № 156‑ФЗ: согласие на обработку персональных данных должно оформляться только отдельным документом.  Теперь его запрещено включать в состав иной информации о физическом лице. Для кадровиков это означает пересмотр процесса оформления документов, обновление форм и алгоритмов работы с персоналом.  В статье эксперты образовательного центра РУНО объясняют, как и когда следует составлять новое согласие на обработку персональных данных, чтобы оперативно привести кадровую документацию в соответствие с требованиями.

Если хотите углубить свои знания в сфере кадрового делопроизводства без отрыва от основной деятельности и работы: на курсе “Специалист по кадрам + 1С ЗУП 8.3. Правовое обеспечение кадрового дела. Дипломная программа. Уровень 6 Профстандарта”

Содержание:

1. Новые правила по обработке персональных данных

2. Как оформлять согласие на обработку персданных по новым правилам

3. Что будет за нарушение правил обработки персданных

4. Как оштрафуют за обработку данных без согласия

Новые правила по обработке персональных данных

Новые правила однозначно требуют отдельного оформления согласия. Его нельзя совмещать с другими документами. Особое внимание — на раздельное оформление согласий на обработку и на распространение персональных данных.

Сначала надо провести аудит всех документов, где указаны положения о согласии на обработку персональных данных, и удалить такие положения.

Далее необходимо разработать новые формы согласий, соответствующие требованиям закона, и подписать их со всеми субъектами данных.

Ответственность за нарушение: 

• Штрафы для организаций — до 1,5 млн руб.

• Для ИП и руководителей — до 500 тыс. руб.

Рекомендации по снижению рисков:

• Заблаговременно обновить документооборот.

• Опубликовать актуальные политики обработки данных на сайте.

• Обеспечить прозрачную процедуру получения согласий.

Что изменилось в обработке персональных данных

С 1 сентября 2025 года письменное согласие на обработку персональных данных для компаний и ИП должно оформляться в виде отдельного документа (ч. 1 ст. 6, ч. 4 ст. 9 Федерального закона от 27.07.2006 № 152‑ФЗ в редакции Федерального закона от 24.06.2025 № 156‑ФЗ). 

Нельзя включать такое согласие в текст трудового договора, договора оказания услуг или в любое другое согласие. Нарушение правила грозит штрафами от Роскомнадзора, поэтому кадровым службам важно проверить готовность документов и процессов к новым требованиям.

Ранее допускалось оформлять согласия на обработку и на распространение персональных данных в одном бланке, и физическое лицо подтверждало обе цели одной подписью. Теперь закон прямо запрещает смешивать разные согласия: согласие на распространение персональных данных оформляется отдельно и только после того, как лицо подписало согласие на обработку.

Новые требования касаются согласий, оформляемых с 1 сентября 2025 года включительно. Отдельный документ потребуется при приёме нового сотрудника, при сборе и использовании данных клиентов или покупателей (ст. 6 Закона № 152‑ФЗ). 

Кроме того, Роскомнадзор в 2025 году активнее мониторит сайты компаний и ИП: если вы собираете данные онлайн, обязательно опубликуйте политики обработки персональных данных и конфиденциальности, чтобы снизить риск проверок и претензий.

Формы согласия обязательной нет — операторы сами разрабатывают бланк. Важно включить в документ все обязательные реквизиты, указанные в ч. 4 ст. 9 Закона № 152‑ФЗ и в приказе Роскомнадзора от 24.02.2021 № 18. В согласие следует внести:

• Ф.И.О. субъекта и его паспортные данные;

• наименование организации или Ф. И. О. ИП, получающего согласие;

• цель обработки персональных данных;

• перечень обрабатываемых данных и перечень действий с ними;

• способы обработки данных;

• срок действия согласия;

• подпись субъекта персональных данных.

Согласие должно быть конкретным, предметным, однозначным и информативным (ч. 1 ст. 9 Закона № 152‑ФЗ). Субъект обязан ясно понимать, на что он соглашается, поэтому в документе перечисляют, что подразумевается под «обработкой» — например сбор, запись, хранение и т. п.

Документ можно оформить на бумаге или в электронном виде. Подпись субъекта должна быть собственноручной или электронной (квалифицированной ЭЦП), иначе согласие признают недействительным и оператор может быть привлечён к ответственности.

Что будет за нарушение правил обработки персданных

Если компания или ИП не соблюдут требования по получению согласия на обработку персональных данных, такое согласие признают неполученным. Это означает, что обработка будет считаться несогласованной и влечёт ответственность по ч. 2 ст. 13.11 КоАП — штрафы для организации и для должностного лица (включая бухгалтера, если он отвечает за обработку). Размеры санкций зависят от нарушения и указаны в КоАП.

С 30 мая 2025 года введены дополнительные санкции за несообщение о начале обработки персональных данных и за непредставление сведений о факте утечки (федеральные законы № 420‑ФЗ и № 421‑ФЗ от 30.11.2024). Для организации — штраф до 300 000 руб. за непредставление уведомления о начале обработки персональных данных. Для руководителя — штраф до 50 000 руб.

Коротко о практических рисках:

• обработка без действительного согласия — административная ответственность и возможность требований со стороны субъектов данных; 

• отсутствие уведомления или непредставление информации об утечке — крупные штрафы и репутационные потери; 

• ответственность может распространяться на сотрудников, которые допускали нарушение (например, бухгалтера или ИТ‑специалиста).

В случае выявления нарушений в работе компании с персональными данными, будут применяться штрафные санкции.