Новый подход Роскомнадзора: почему лишние согласия на обработку персональных данных опасны для работодателя
Роскомнадзор меняет подход к оценке законности обработки персональных данных. Теперь особое внимание уделяется не наличию подписанных согласий, а тому, для каких целей компания собирает данные и какие правовые основания использует. Привычная практика работодателей получать согласия «на всякий случай» становится дополнительным источником юридических рисков.
Например, в компании со штатом 300 человек может храниться около 3 000 согласий — по десять на каждого сотрудника. При этом многие из них могут быть избыточными, поскольку закон позволяет обрабатывать соответствующие данные на других основаниях.
Ситуацию осложняет усиление контроля со стороны Роскомнадзора: ведомство массово выявляет нарушения дистанционно, а обработку данных исключительно на основании согласий рассматривает как потенциальный новый индикатор риска.
Разбираем, что изменилось в подходе регулятора, почему лишние согласия могут обернуться проверкой и как работодателям защититься от штрафов и претензий сотрудников.
Аудит согласий на обработку персональных данных с BLS
Эксперты BLS проверят действующие согласия с позиции Роскомнадзора, определят избыточные документы, выявят ошибки в правовых основаниях и подготовят рекомендации по снижению рисков. Это поможет оценить готовность компании к проверке и устранить нарушения до возникновения претензий.
Обсудить аудит согласий с экспертами BLS →
1. Что изменилось в подходе Роскомнадзора к персональным данным
Долгое время работодатели руководствовались простой логикой: если сотрудник подписал согласие, значит, компания может законно обрабатывать его персональные данные.
Поэтому согласия оформляли практически на все случаи: при заключении трудового договора, передаче сведений государственным органам, подключении зарплатного проекта, оформлении документов и взаимодействии с контрагентами.
Если правовое основание обработки было неочевидным, компании часто предпочитали получить дополнительное согласие, не разбираясь, требуется ли оно в действительности.
В 2026 году Роскомнадзор усилил внимание к этой практике. Ведомство последовательно продвигает подход, при котором оператор должен прежде всего определить законную цель обработки и выбрать соответствующее ей правовое основание.
Согласно статьям 5 и 6 Федерального закона № 152-ФЗ, для обработки персональных данных необходимы законная цель и предусмотренное законом основание. Согласие субъекта — лишь одно из таких оснований.
В зависимости от обстоятельств обработка может осуществляться для исполнения требований законодательства, трудового договора или реализации законных интересов компании при соблюдении установленных ограничений.
Подписанное согласие само по себе не делает обработку законной, если её цель противоречит законодательству или не соответствует установленным требованиям.
Изменение позиции ведомства подтверждают и публичные заявления его руководства. Глава Роскомнадзора Андрей Липов назвал институт согласий устаревшим и предложил переходить к отраслевым стандартам, определяющим допустимый состав собираемых данных.
Пока речь идёт о направлении развития регулирования, а не об отмене согласий. Однако работодателям уже необходимо пересмотреть привычную практику их массового сбора.
2. Когда согласие сотрудника не требуется, а когда его отсутствие грозит штрафом
При проверке документов работодателей эксперты BLS регулярно сталкиваются с двумя противоположными проблемами: компании получают лишние согласия либо не оформляют необходимые.
Избыточные согласия возникают там, где у работодателя уже есть другое законное основание для обработки данных.
Например, в предусмотренных законодательством случаях отдельное согласие не требуется для:
- Обработки данных, необходимой для исполнения трудового договора.
- Передачи обязательной отчётности в ФНС, СФР и другие государственные органы.
- Ведения кадрового и воинского учёта.
- Выполнения иных обязанностей работодателя, установленных законом.
Получая дополнительные согласия для таких целей, компания усложняет документооборот и создаёт зависимость от волеизъявления сотрудника.
Дело в том, что согласие можно отозвать. Если работодатель изначально указал его как единственное основание обработки, отзыв способен спровоцировать конфликт: сотрудник потребует прекратить использование данных, а компании придётся обосновывать право продолжать обработку.
При наличии другого законного основания обработка в предусмотренных законом пределах может продолжаться и после отзыва согласия. Однако для этого работодатель должен понимать, на каком основании он действует.
Обратная ситуация — согласие действительно необходимо, но компания его не получила.
Это касается, например, предусмотренных законом случаев передачи персональных данных третьим лицам, обработки отдельных категорий сведений и распространения персональных данных.
Особенно важно учитывать специальные требования к форме и содержанию согласий.
Показательный пример — требование предоставить справку о несудимости. Если работодатель запрашивает её у кандидата на должность, для которой закон не предусматривает такой проверки, согласие кандидата само по себе не создаёт права обрабатывать соответствующие сведения.
За обработку персональных данных без законного основания юридическому лицу грозит штраф от 150 000 до 300 000 рублей по части 1 статьи 13.11 КоАП РФ.
Таким образом, проблема заключается не в количестве согласий как таковом, а в том, насколько правильно компания определяет цели и основания обработки персональных данных.
3. Сотрудник отозвал согласия во время сокращения: реальный кейс BLS
Избыточные согласия могут создавать риски не только при проверках Роскомнадзора, но и в трудовых конфликтах.
В практике BLS был случай, когда компания уведомила сотрудника о предстоящем сокращении должности. Работник считал решение незаконным и начал искать способы повлиять на работодателя.
До увольнения оставалось не менее двух месяцев. В этот период сотрудник направил заявление об отзыве согласий на обработку персональных данных по большинству целей.
Для работодателя возникла сложная ситуация: сотрудник продолжал работать, компания должна была исполнять обязательства по трудовому договору, но формально он отзывал ранее предоставленные разрешения на использование своих данных.
Когда к конфликту подключились юристы BLS, выяснилось, что большинство согласий изначально не требовалось.
Компания собирала их со всех сотрудников сразу на множество целей, в том числе для исполнения трудовых договоров. При этом другие правовые основания обработки не были должным образом определены и отражены в документах.
Фактически работодатель сам предоставил сотруднику дополнительный инструмент давления.
Как BLS помогла защитить компанию
Юристы проанализировали все отозванные согласия и подготовили развёрнутый ответ по каждой цели обработки.
По большинству целей удалось обосновать, что согласие не требовалось, поскольку обработка осуществлялась на иных законных основаниях. Позицию компании подтвердили ссылками на соответствующие нормы законодательства.
Однако с одной из целей возникла отдельная проблема — добровольным медицинским страхованием.
Локальные нормативные акты компании допускали неоднозначное толкование, поэтому для передачи персональных данных страховой организации требовалось согласие сотрудника.
Юристы разъяснили последствия его отзыва. Сотрудник письменно подтвердил своё решение, тем самым отказавшись от участия в программе ДМС.
В результате BLS удалось защитить позицию работодателя и обосновать продолжение обработки данных по большинству целей.
Главный вывод кейса: компания могла избежать значительной части конфликта, если бы заранее определила необходимые правовые основания и не собирала лишние согласия.
4. Как Роскомнадзор выявляет нарушения без выездных проверок
Пересмотреть работу с согласиями работодателям важно ещё и потому, что Роскомнадзор совершенствует механизмы дистанционного контроля.
По данным, озвученным заместителем руководителя ведомства на Дне открытых дверей, масштабы контрольной работы уже значительны:
- 159 000 сайтов проверено, почти у 90% выявлены признаки нарушений.
- 9 400 контрольных мероприятий проведено без взаимодействия с компаниями.
- 160 000 писем направлено операторам персональных данных — вдвое больше, чем годом ранее.
При этом информация о деятельности компании поступает в Роскомнадзор из нескольких источников.
Во-первых, из реестра операторов персональных данных, где размещаются сведения о целях и правовых основаниях обработки.
Во-вторых, через обмен информацией между государственными органами.
В-третьих, с помощью автоматизированного мониторинга сайтов: Роскомнадзор анализирует опубликованные политики обработки персональных данных, формы сбора информации и используемые интернет-технологии.
Дополнительными источниками становятся сообщения об утечках и жалобы сотрудников, кандидатов и клиентов.
Для выявления признаков нарушения инспектору необязательно приезжать в офис или запрашивать документы непосредственно у компании.
Особого внимания заслуживает пересмотр индикаторов риска Роскомнадзора.
Действующий перечень уже предусматривает возможность внепланового контрольного мероприятия при выявлении определённых расхождений между сведениями, направленными оператором в Роскомнадзор, и информацией, размещённой на его сайте.
Кроме того, ведомство рассматривает возможность дополнить индикаторы риска обработкой персональных данных, для которой единственным заявленным правовым основанием является согласие.
На момент подготовки материала такое основание рассматривается как планируемое изменение. Конкретные критерии ещё не определены.
Однако сама инициатива показывает направление контроля: Роскомнадзор уделяет всё больше внимания тому, насколько обоснованно компания использует согласия вместо других предусмотренных законом оснований.
5. Чем грозят работодателю ошибки в согласиях и правовых основаниях
Ошибки в обработке персональных данных способны привести к существенным административным штрафам. Причём ответственность предусмотрена как за обработку без законного основания, так и за отсутствие обязательного письменного согласия.
Статья 13.11 КоАП РФ устанавливает следующие штрафы для юридических лиц:
| Нарушение | Размер штрафа |
| Обработка персональных данных без законного основания или несовместимая с целями их сбора | 150 000–300 000 ₽ |
| Повторное аналогичное нарушение | 300 000–500 000 ₽ |
| Отсутствие обязательного письменного согласия или нарушение требований к его содержанию | 300 000–700 000 ₽ |
| Повторное нарушение требований к письменному согласию | 1–1,5 млн ₽ |
| Непредставление обязательного уведомления об обработке персональных данных | 100 000–300 000 ₽ |
Отдельные, значительно более высокие санкции предусмотрены за утечки персональных данных и повторные нарушения, связанные с ними.
Но штрафы — лишь одна часть возможных последствий.
Как показывает кейс BLS, неправильно оформленные согласия могут стать дополнительным инструментом давления в руках конфликтного сотрудника. А расхождения между фактическими процессами, кадровыми документами и сведениями в реестре Роскомнадзора осложняют защиту компании при поступлении жалобы.
Особенно уязвимыми оказываются работодатели, которые годами собирали согласия по типовым шаблонам и не пересматривали их после изменений законодательства.
6. Как работодателю подготовиться к новому подходу Роскомнадзора
Сокращение количества согласий само по себе не решает проблему. Для снижения рисков необходимо оценить всю систему обработки персональных данных и убедиться, что каждая цель имеет надлежащее правовое основание.
При подготовке к проверке важно обратить внимание на четыре направления.
1. Цели обработки персональных данных. Необходимо оценить, какие данные собирает компания, для каких бизнес-процессов они используются и соответствуют ли заявленные цели фактической деятельности.
2. Правовые основания. Следует определить, где действительно требуется согласие, а где обработка допускается на основании закона, договора или иных предусмотренных законодательством обстоятельств.
3. Содержание документов. Важно проверить соответствие согласий обязательным требованиям, а также согласованность кадровых документов, локальных нормативных актов, политики обработки персональных данных и уведомления в Роскомнадзор.
4. Управление согласиями. Компания должна обеспечивать корректное получение, хранение и учёт необходимых согласий, а также своевременно реагировать на их отзыв и обращения субъектов персональных данных.
Для работодателя, у которого накопились сотни или тысячи документов, подобная проверка требует комплексного юридического анализа. Ошибка в определении одного правового основания может затронуть сразу несколько связанных процессов.
Поэтому наиболее безопасный подход — оценить действующие согласия и документы до того, как нарушения обнаружит Роскомнадзор или ими воспользуется конфликтный сотрудник.
Как BLS помогает работодателям снизить риски в персональных данных
BLS предлагает два решения для компаний, которым необходимо привести обработку персональных данных в соответствие с законодательством и актуальной практикой Роскомнадзора.
Аудит согласий на обработку персональных данных. Эксперты BLS моделируют проверку Роскомнадзора: анализируют, для каких целей компания получает согласия, действительно ли они необходимы, соответствуют ли требованиям закона и какие риски связаны с их использованием. По результатам аудита работодатель получает перечень избыточных согласий, рекомендации по исправлению документов и дорожную карту устранения выявленных нарушений.
Проект «Персональные данные под ключ». Комплексное решение для компаний, в которых система обработки персональных данных отсутствует или давно не обновлялась. BLS проводит аудит процессов, формирует карту целей и правовых оснований, разрабатывает необходимый пакет документов и приводит сведения для Роскомнадзора в соответствие с фактической обработкой данных.
В 2025 году эксперты BLS реализовали более 85 проектов в области персональных данных.
Новый подход Роскомнадзора требует от работодателей пересмотреть привычную практику сбора согласий. Чем раньше компания проверит свои документы и правовые основания, тем больше возможностей устранить риски до возникновения претензий, проверок и штрафов.Обратитесь к экспертам BLS, чтобы провести аудит согласий или разработать полноценную систему обработки персональных данных, соответствующую требованиям законодательства.