Обработка персональных данных без согласия часто воспринимается российским бизнесом как нарушение закона, однако на практике это полноценный и безопасный правовой инструмент. Автоматическая расстановка чекбоксов на каждом шаге интерфейса создает иллюзию надежной защиты, но в реальности перегружает продукт и снижает конверсию.
Федеральный закон от 27.07.2006 № 152-ФЗ прямо устанавливает исчерпывающий перечень условий, когда сбор и использование сведений происходят на законных основаниях без единой подписи со стороны пользователя. Более того, именно согласие выступает самым нестабильным фундаментом: физическое лицо вправе отозвать его в любой момент, поставив бизнес-процесс под угрозу паралича.
Разберем, в каких сценариях обработка персональных данных без согласия полностью законна, как правильно квалифицировать действия с информацией и почему отказ от избыточных форм защищает компанию от регуляторных претензий.
Почему сбор согласий может вредить бизнесу и продукту
Цифровые сервисы привыкли перестраховываться, заставляя клиентов ставить галочки в формах регистрации, на страницах оформления заказа и в мобильных приложениях. Такой подход порождает серьезные юридические и операционные риски:
- Риск внезапного отзыва. Если фундаментом обработки выступает пункт 1 части 1 статьи 6 № 152-ФЗ, субъект может направить отзыв в любой день. Оператор обязан прекратить обработку и уничтожить сведения в течение 30 дней, если у него нет альтернативного законного повода продолжать процесс.
- Падение конверсии интерфейса. Каждый лишний чекбокс, навязчивый баннер или дополнительное модальное окно создают трение в пути пользователя (Customer Journey Map), увеличивая процент брошенных корзин и незавершенных регистраций.
- Претензии Роскомнадзора. Проверяющие органы обращают внимание на несоответствие заявленных целей фактическим операциям. Сбор согласий «про запас» расценивается как избыточная обработка сведений, что ведет к административной ответственности по статье 13.11 КоАП РФ.
Юридическая архитектура данных требует подбирать под каждую операцию самостоятельное основание из статьи 6 Федерального закона № 152-ФЗ.
5 законных сценариев: когда обработка персональных данных без согласия легитимна
Статья 6 Федерального закона № 152-ФЗ содержит закрытый список правовых оснований, не требующих получения волеизъявления субъекта в виде отдельного документа.
1. Заключение и исполнение договора (п. 5 ч. 1 ст. 6 № 152-ФЗ)
Это ключевое основание для коммерческих компаний, интернет-магазинов, онлайн-школ и SaaS-сервисов. Компания вправе обрабатывать сведения клиента без отдельного согласия, если это необходимо для:
- Заключения договора по прямой инициативе гражданина (например, оформление заявки на услугу, регистрация учетной записи для доступа к платной платформе).
- Исполнения уже заключенного соглашения, где гражданин выступает стороной, выгодоприобретателем или поручителем.
Ключевой фактор — объем собираемых сведений должен строго соответствовать обязательствам по сделке. Если сервис доставляет физический товар, запрос адреса и контактного телефона правомерен в рамках публичной оферты в силу статьи 437 ГК РФ. Собирать под это отдельный чекбокс бессмысленно.
Однако как только компания решает передать телефон в партнерскую сеть или использовать его для маркетинговых пушей, договорное основание перестает действовать. Для рекламы потребуется строго изолированное согласие по статье 18 Федерального закона «О рекламе» № 38-ФЗ.
2. Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 № 152-ФЗ)
Оператор обязан обрабатывать информацию, если прямое предписание содержится в федеральных законах, постановлениях Правительства РФ или актах профильных ведомств.
Классический пример — трудовые правоотношения. Работодатель истребует паспортные данные, СНИЛС, ИНН и документы об образовании на основании статьи 65 Трудового кодекса РФ. В дальнейшем организация передает отчетность в Социальный фонд России и налоговые инспекции, ведет архивный учет и рассчитывает заработную плату. Требовать от работника согласие на обязательные кадровые процедуры юридически некорректно: работодатель выполняет требования законодательства РФ.
Обосновывая обработку по этому основанию, компания обязана указывать конкретную норму закона в своих локальных актах и реестре процессов.
3. Законный интерес оператора или третьих лиц (п. 7 ч. 1 ст. 6 № 152-ФЗ)
Пункт 7 предоставляет оператору гибкость при защите своих прав или достижении общественно значимых целей, но возлагает на него бремя доказывания соразмерности.
Обработка законна, если соблюден строгий баланс: законный интерес бизнеса не должен нарушать права и свободы гражданина на неприкосновенность частной жизни. Основание применяется в следующих случаях:
- Организация контрольно-пропускного режима на объектах и ведение журналов разовых пропусков ради безопасности персонала.
- Проверка благонадежности контрагентов и проявление должной осмотрительности перед заключением крупных сделок.
- Защита IT-инфраструктуры от мошенничества, спама и DDoS-атак путем логирования технических параметров сетевых сессий.
Если интерес компании не оформлен внутренними регламентами или несет несоразмерные риски для субъекта, надзорные органы признают действия неправомерными.
4. Судебные споры и исполнительное производство (п. 3 и 3.1 ч. 1 ст. 6 № 152-ФЗ)
Участие в гражданском, арбитражном или административном процессе позволяет оперировать сведениями процессуальных оппонентов и свидетелей без их одобрения:
- Юрист или представитель компании вправе собирать и приобщать к исковому заявлению документы с данными ответчика для взыскания задолженности.
- Работодатели, банки и операторы связи обязаны исполнять законные требования судебных приставов-исполнителей (например, списывать средства по исполнительным листам или предоставлять выписки по счетам).
Сведения должны быть получены строго законными методами. Информация из «слитых» баз данных или несанкционированного доступа не принимается судами в качестве доказательств в силу статьи 55 ГПК РФ и статьи 64 АПК РФ.
5. Научные, статистические исследования и Big Data (п. 9 ч. 1 ст. 6 № 152-ФЗ)
IT-платформы и продуктовые аналитики вправе обрабатывать клиентские массивы информации для оптимизации внутренних процессов, улучшения интерфейса и построения поведенческих моделей, если исходные данные обезличены.
Закон устанавливает жесткое ограничение: полученные аналитические выгрузки категорически запрещено применять в целях продвижения товаров и услуг на рынке (прямой маркетинг) или политической агитации.
Сравнительный анализ: Согласие vs Иные правовые основания
Выбор юридической конструкции определяет устойчивость внутренних процессов перед проверками. В таблице ниже показано, чем обработка персональных данных без согласия отличается от работы по заявлению субъекта.
| Критерий оценки | Обработка на основании согласия (п. 1 ч. 1 ст. 6) | Исполнение договора (п. 5 ч. 1 ст. 6) | Требование законодательства (п. 2 ч. 1 ст. 6) | Законный интерес (п. 7 ч. 1 ст. 6) |
| Возможность отзыва | В любой момент по заявлению субъекта | Не допускается до полного исполнения обязательств | Не допускается в силу закона | Возможен мотивированный протест субъекта |
| Влияние на UX сайта | Требует отдельного активного чекбокса | Достаточно ссылки на условия оферты | Согласование интерфейса не требуется | Уведомление через локальные регламенты или знаки |
| Бремя доказывания | Оператор доказывает факт свободного волеизъявления | Оператор предъявляет текст договора и оферты | Ссылка на конкретную статью нормативного акта | Оператор доказывает баланс интересов сторон |
| Типичные сферы | Маркетинг, рассылки, передача внешним партнерам | E-commerce, платные сервисы, доставка заказов | Трудовой учет, отчетность в ФНС, архив | Пропускной режим, антифрод, безопасность инфраструктуры |
Редкие и специальные исключения из правил
Помимо основных коммерческих ситуаций, статья 6 № 152-ФЗ предусматривает еще несколько законных условий:
- Защита жизни и здоровья (п. 6): когда человек находится в бессознательном состоянии или пропал без вести, и получить его волю физически невозможно.
- Журналистская деятельность (п. 8): распространяется только на зарегистрированные редакции СМИ при защите общественно значимых интересов.
- Обязательное раскрытие (п. 11): размещение сведений на сайтах организаций в силу прямых законов (например, публикация информации о врачах на сайтах клиник по закону № 323-ФЗ).
Ограничения: на что не распространяются исключения статьи 6
Важно помнить фундаментальное правило комплаенса: общие условия статьи 6 не дают права обрабатывать чувствительные данные — специальные категории (сведения о судимости, состоянии здоровья, религиозных убеждениях по статье 10) и биометрические параметры (статья 11). Для них законодатель устанавливает обособленный жесткий режим с обязательным письменным согласием.
Как выстроить работу оператора: Матрица правовых оснований
Чтобы исключить претензии надзорных органов и не загромождать сайт ненужными формами, компаниям необходимо провести ревизию контура данных:
- Разделите коммерческие и маркетинговые потоки. Данные, необходимые для выполнения клиентского заказа (имя, номер, адрес доставки), проводите через исполнение публичного договора. Рекламные рассылки, сбор cookie для сторонней аналитики и передачу партнерам переводите на адресные добровольные согласия.
- Сформируйте внутреннюю матрицу. Зафиксируйте в едином документе связку: операция → бизнес-цель → конкретный пункт статьи 6 № 152-ФЗ → минимальный перечень полей → регламентный срок удаления.
- Обновите публичные документы. В Политике обработки данных и текстах публичных оферт прямо укажите, какие процессы ведутся во исполнение контракта, а где собирается волеизъявление.
Грамотно выстроенная юридическая модель защищает сервис от кассовых разрывов при внезапных отзывах согласий и формирует понятный, чистый пользовательский опыт без фиктивной бюрократии.
Архитектурный IT-комплаенс от VERIS LEGAL
Шаблонные документы из сети не спасают от предписаний Роскомнадзора и штрафов по статье 13.11 КоАП РФ. Надежная правовая архитектура создается на стыке глубокого понимания права, логики баз данных и стандартов Legal Design.
Команда VERIS LEGAL разрабатывает комплексные правовые экосистемы для IT-бизнеса, платформ и digital-продуктов:
- Полный аудит цифрового пути пользователя (веб-сайты, воронки оплат, личные кабинеты, мобильные приложения, чат-боты).
- Проектирование матрицы оснований обработки персональных данных и исключение избыточных согласий из интерфейсов.
- Разработка сквозного комплекта документов: оферты, адресные согласия, локальные акты оператора и плейбуки защиты.
👉 Проверьте юридический контур вашего продукта:
Оставьте заявку на комплексный аудит на verislegal.ru или напишите в Telegram-канал бюро: @verislegal.
