Что изменилось в согласии с 1 сентября 2025 года?

Согласие на обработку персональных данных стало обязательным отдельным документом — его больше нельзя включать в договор, оферту, анкету или пользовательское соглашение. Плюс запретили «пакетное» согласие: на каждую цель обработки и на каждого получателя данных нужно отдельное согласие.

Можно ли одним согласием закрыть несколько целей?

Нет. Обработка заказа, рассылка и передача данных подрядчикам — это три разные цели, и на каждую нужно своё согласие с собственным текстом и возможностью отказаться избирательно, а не «всё или ничего».

Что такое запрет пакетного согласия на практике?

Это запрет объединять разные цели обработки или разных получателей данных в одной формулировке и одной галочке. Пользователь должен иметь возможность согласиться, скажем, на обработку заявки, но отказаться от рассылки — раздельно, а не пакетом.

Нужно ли перевыпускать старые согласия, полученные до реформы?

Согласия, собранные по старым правилам до 1 сентября 2025 года, продолжают действовать в пределах указанного в них срока. Но любые новые согласия, формы и чекбоксы на сайте должны уже соответствовать новым требованиям — отдельный документ, без пакетности.

Год реформы согласия: что изменилось с 1 сентября 2025 и что проверяет РКН сейчас

Год назад, 1 сентября 2025 года, вступили в силу поправки, которые изменили саму механику получения согласия на обработку персональных данных. Формально прошло достаточно времени, чтобы бизнес успел перестроиться. На практике за этот год РКН накопил статистику проверок, а на сайтах у многих операторов до сих пор висят формулировки образца 2023 года.

Разберём, что реально изменилось за год, на каких формулировках чаще всего ловят и что стоит пересобрать прямо сейчас.

Что изменилось год назад — коротко

Реформа согласия свелась к двум ключевым правилам, которые мы подробно разбирали в статье о новых правилах согласия:

Согласие — отдельный документ. Формулировку «даю согласие на обработку ПДн» больше нельзя прятать внутри договора, публичной оферты, пользовательского соглашения или регистрационной анкеты. Это самостоятельная форма, отдельная галочка, отдельный текст.
Запрет пакетного согласия. На каждую цель обработки и на каждого получателя данных — своё согласие. Нельзя одной галочкой одновременно разрешить оформление заказа, рассылку и передачу данных партнёрам.

Если оператор продолжает использовать старые формулировки, где согласие зашито в оферту или объединяет несколько целей, — с точки зрения закона такого согласия просто не существует. А значит, любая обработка данных на его основании формально ведётся без согласия.

На чём реально ловят год спустя

По практике проверок сайтов за прошедший год сложилась понятная картина типичных нарушений — и она отличается от того, чего ожидали в 2025-м.

Согласие всё ещё внутри оферты

Самая частая находка — формулировка вроде «регистрируясь на сайте, вы соглашаетесь с условиями и даёте согласие на обработку персональных данных» в одном абзаце пользовательского соглашения. Формально документ существует, но он не самостоятельный — согласие растворено в договоре. Это ровно тот случай, который реформа и должна была устранить.

Одна галочка на маркетинг и на сервис

Вторая массовая проблема — интернет-магазины и сервисы подписки, где регистрация, обработка заказа и рекламная рассылка объединены в один чекбокс. Пользователь физически не может согласиться на первое и отказаться от второго. Это прямое нарушение запрета пакетного согласия, и именно на такие формы РКН обращает внимание в первую очередь — их легко выявить простым просмотром сайта.

Преднастроенные галочки

Третий устойчивый паттерн — чекбокс согласия, который стоит отмеченным по умолчанию. Активным действием пользователя это не является: он не подтверждал согласие, а просто не снял галочку. Требование к согласию как к явному, осознанному действию действует не первый год, но именно после реформы 2025 года на такие формы стали смотреть строже — заодно с проверкой на пакетность.

Нет порядка отзыва

Реже, но тоже встречается: согласие не указывает, как и куда его отозвать. Без этого пункта согласие формально неполное — требования к его содержанию перечислены в статье 9 152-ФЗ и разобраны в статье про образец согласия на обработку персональных данных.

Что не изменилось за год

Важно не переусердствовать с паникой: реформа затронула форму получения согласия, а не сам факт, что оно нужно. Основания обработки, перечисленные в законе, остались прежними — согласие субъекта, исполнение договора, требование закона. Если данные обрабатываются для исполнения договора (например, для доставки уже оплаченного заказа), отдельное согласие на этот конкретный шаг может не требоваться — но это не отменяет обязанность иметь политику конфиденциальности и разбираться, какое основание применяется к какому действию с данными.

Не изменился и список обязательных сведений в самом согласии — ФИО, наименование оператора, цель, перечень данных, перечень действий, срок и порядок отзыва. Реформа добавила требования к форме документа, а не заменила его содержание.

Формы заявок — не единственное место, где нужно пересмотреть подход. Cookie-баннер тоже подпадает под логику отдельного согласия: если аналитические или рекламные cookie позволяют идентифицировать посетителя, это обработка персональных данных, и формулировка «продолжая пользоваться сайтом, вы соглашаетесь» согласием не считается — нет активного действия пользователя.

За год многие сайты обновили баннеры формально — добавили кнопку «Принять», но техническая cookie от аналитики продолжает записываться ещё до нажатия. С точки зрения РКН это та же логика, что и с преднастроенной галочкой: согласие должно предшествовать обработке, а не оформляться постфактум. Подробнее о требованиях к баннеру — в статье про cookie-баннер по 152-ФЗ.

Отдельная категория: согласия сотрудников и партнёров

Реформа касается не только форм на сайте для клиентов. Работодатели тоже подписывают согласия — при приёме на работу, для публикации фото на корпоративном сайте, для передачи данных в бухгалтерский аутсорсинг. Требование «отдельный документ, без пакетности» распространяется и на кадровый документооборот: нельзя одной подписью в трудовом договоре закрыть согласие на обработку ПДн, согласие на распространение данных и согласие на передачу в аутсорсинговую бухгалтерию — это разные цели и разные получатели. Готовый образец для такой ситуации — в статье про согласие сотрудника.

Чем это грозит бизнесу, если формы не пересобраны

Формальный итог года — большинство компаний знают о реформе, но не довели пересборку форм до конца. Типичная ситуация: политика конфиденциальности обновлена, а сами формы на сайте — нет, потому что это отдельная задача для разработчика, а не для юриста. В результате документ, на который ссылается сайт, соответствует новым требованиям, а фактическая механика получения согласия — нет.

Это создаёт разрыв между «бумагой» и «практикой», который проверяющий видит сразу: достаточно открыть форму заказа и увидеть один чекбокс на три разные цели. Учитывая рост штрафов и общую тенденцию к более частым и автоматизированным проверкам сайтов, закрывать этот разрыв в 2026 году явно дешевле, чем откладывать его на следующий год.

Чеклист пересборки согласий на сайте

Если формы на сайте не обновлялись с 2024 года или раньше, есть смысл пройтись по пунктам.

Проверить	Что должно быть
Расположение текста согласия	Отдельный блок или отдельная форма — не абзац внутри оферты/договора
Количество целей в одном согласии	Одна цель — одно согласие (заказ, рассылка, передача третьим лицам — раздельно)
Состояние чекбокса	Не отмечен по умолчанию, требует активного клика
Текст формулировки	Конкретная цель, а не «для любых целей» или «в соответствии с политикой»
Порядок отзыва	Указан email или адрес, куда направить отзыв
Cookie-баннер	Отдельное согласие на аналитические/рекламные cookie, не «продолжая просмотр»

Пятиминутная проверка своими глазами закрывает не все риски — часть проблем (отсутствие уведомления в реестре, устаревшая политика конфиденциальности, незащищённая передача форм) видна только при более полном разборе сайта.

Практика РКН: чего ждать дальше

За год после вступления поправок в силу заметна тенденция — проверки становятся автоматизированнее: регулятор массово сверяет сайты с реестром операторов и сканирует публичные формы, а не проверяет только по жалобам. Это совпадает с общим ужесточением ответственности после реформы штрафов 2025 года — оборотные штрафы за утечки и выросшие суммы за нарушения с согласием сделали формальное соответствие документов заметно более выгодным, чем разбирательство постфактум.

Штраф за обработку без надлежащего согласия — до 700 000 ₽ для юрлиц по ч. 2 ст. 13.11 КоАП, при повторном нарушении — до 1 500 000 ₽. Это отдельно от штрафов за утечки и отдельно от санкций за отсутствие политики конфиденциальности.

Что делать прямо сейчас

Если за год формы на сайте не пересматривались — стоит пройтись по трём вещам:

Найти на сайте все места, где встроено согласие на обработку ПДн — формы заявок, регистрацию, подписку, чекауты.
Проверить каждое на пакетность и на то, вшито ли оно в оферту.
Разделить составное согласие на отдельные — по образцу из статьи про форму согласия и обязательные реквизиты.

Проще всего не гадать, а прогнать сайт через бесплатную проверку — она покажет конкретные формы, которые не соответствуют требованиям 2026 года, без ручного просмотра каждой страницы.

Сколько времени реально занимает пересборка

По опыту компаний, которые уже прошли этот путь, разделить пакетное согласие на три-четыре отдельных чекбокса с корректными формулировками — работа на один-два часа для юриста и разработчика, если формы простые (заявка, подписка, чекаут). Сложнее, когда согласие завязано на CRM или платёжный сервис и нужно синхронизировать, какие данные фактически передаются каждому получателю — тогда к пересборке текста добавляется аудит фактических потоков данных.

Смысл в том, что это не разовая масштабная миграция, а точечная правка форм — и год спустя после вступления поправок в силу откладывать её дальше уже не имеет экономического смысла: цена ошибки (штраф до 700 000 ₽ за одну форму) заметно выше цены исправления.