Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Интернет-магазин собирает имя, телефон и адрес, чтобы привезти заказ. Менеджер по привычке просит у каждого покупателя галочку «согласен на обработку персональных данных». Покупатель отзывает согласие через неделю после доставки и требует всё удалить. Магазин удаляет, а потом выясняется, что бухгалтерия обязана хранить данные по этому заказу ещё годы, и спор с налоговой без них не выиграть. Причина путаницы в одном: компания считала, что единственное основание обработки — согласие. Это не так. Основания обработки персональных данных перечислены в статье 6 закона № 152-ФЗ, и согласие там лишь первое из списка.
Ниже разберём, какие основания реально используют малый и средний бизнес, как выбрать нужное и почему от этого выбора зависит, что вам придётся делать, когда клиент напишет «удалите мои данные».
Как устроена статья 6 и почему «шесть» — это условность
Часть 1 статьи 6 содержит закрытый перечень оснований. В нём больше десяти пунктов: от правосудия и полномочий госорганов до журналистской деятельности и обезличенной статистики. Большинство из них к обычной компании отношения не имеют. В повседневной работе бизнеса встречаются шесть, о них и пойдёт речь:
- согласие субъекта (п. 1);
- исполнение закона или международного договора (п. 2);
- заключение и исполнение договора с субъектом (п. 5);
- защита жизни и здоровья, когда получить согласие невозможно (п. 6);
- законные интересы оператора или третьих лиц (п. 7);
- данные, которые субъект сам сделал общедоступными, или данные, подлежащие обязательному раскрытию (пп. 10 и 11).
Нумерацию пунктов проверяйте по актуальной редакции закона: статью дополняли, и ссылка на «пункт 5» в старом шаблоне может не совпасть с нынешней.
Главное, что нужно понять сразу: основание привязывается не к клиенту вообще, а к конкретной цели обработки. Один и тот же адрес электронной почты вы обрабатываете по договору, пока отправляете чек, и по согласию, когда добавляете человека в рассылку. Это два разных основания для двух разных целей, и документы на них нужны разные.
Согласие: самое неудобное основание
Согласие ст. 9 — удобный инструмент в том смысле, что подходит почти везде. Но платить за эту универсальность приходится. Бремя доказывания лежит на операторе (ст. 9 ч. 3): если проверяющий спросит, где согласие этого человека, показать нужно вам, а не ему. Согласие можно отозвать в любой момент, и тогда обработку по этой цели нужно прекращать. О том, как это делается на практике, мы писали в материале про отзыв согласия на обработку.
Есть и ловушка противоположного свойства. Если вы запросили согласие там, где достаточно договора, вы сами создали себе обязанность. Клиент отозвал согласие, а вы продолжаете хранить его данные для бухучёта, и формально выходит, что обработка идёт без основания. Хотя основание было, просто вы его не указали. Ч. 5 ст. 9 прямо допускает продолжение обработки после отзыва, если есть иное основание из ст. 6, но для этого оно должно быть у вас заранее определено и записано.
Отдельно напомним: согласие на распространение данных (размещение на сайте, в соцсетях, в публичных списках) оформляется отдельным документом по ст. 10.1 и с обычным согласием не смешивается. Подробности по составу согласия есть в статье о том, что должно содержать согласие в 2026 году.
Договор: основание для большей части повседневной работы
Пункт 5 части 1 статьи 6 разрешает обрабатывать данные, когда это необходимо для исполнения договора, стороной которого является субъект, а также для заключения договора по его инициативе. Это основание закрывает самые массовые сценарии:
- интернет-магазин обрабатывает ФИО, адрес и телефон покупателя, чтобы доставить заказ;
- автосервис записывает данные владельца и автомобиля в заказ-наряд;
- фитнес-клуб ведёт карточку члена клуба по абонементу;
- онлайн-школа заводит личный кабинет ученика.
Граница проходит по слову «необходимо». Данные, без которых договор исполнить нельзя, обрабатываются по договору. Всё, что сверх этого, нужно уже по другому основанию. Доставка пиццы без адреса невозможна, а вот присылать человеку рекламу на тот же телефон по договору доставки нельзя: для рекламы нужно отдельное согласие, и это отдельная цель. Типичная ошибка выглядит так: в форму заказа добавляют одну общую галочку «согласен со всем», и рекламная цель прячется за договорной.
Что обязан сделать оператор, работающий по договору? Включить цель и состав данных в политику и реестр, указать сроки хранения, обеспечить защиту. Просить подпись под отдельным согласием не требуется. Это экономит время и снижает риск, что клиент передумает и «выключит» вам бухгалтерию.
Закон как основание: HR, бухгалтерия, налоги
Пункт 2 части 1 статьи 6 касается обработки, необходимой для выполнения обязанностей, возложенных на оператора законодательством. Здесь живёт кадровый учёт. Работодатель передаёт сведения о сотрудниках в социальный фонд и налоговую, ведёт трудовые книжки и личные карточки, потому что этого требуют Трудовой кодекс и налоговое законодательство. Согласие сотрудника на сам факт такой обработки не нужно, хотя для сведений, выходящих за рамки закона (например, размещение фото на сайте компании), оно по-прежнему понадобится. Всё про кадровые данные собрано в материале о 152-ФЗ для HR.
Обратите внимание, что ссылка «так велит закон» должна быть конкретной. Недостаточно написать в политике «обрабатываем в соответствии с законодательством РФ». Проверяющий хочет увидеть, какая именно норма обязывает вас хранить паспортные данные или ИНН. Укажите статью Трудового кодекса, Налогового кодекса или специального закона. Если нормы нет, ссылаться на этот пункт нельзя.
Жизненно важные интересы и законные интересы: редкие, но коварные
Пункт 6 (защита жизни, здоровья и иных жизненно важных интересов субъекта) подходит для действительно экстренных ситуаций, когда человек не в состоянии дать согласие: скажем, в клинику поступил пациент без сознания. Использовать его как удобную замену согласию в обычных бизнес-процессах нельзя.
Пункт 7 соблазнительнее. Он позволяет обрабатывать данные ради законных интересов оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта. На этом основании компании пробуют обосновать видеонаблюдение, антифрод-проверки, защиту от мошенников. Прямой запрет здесь не действует, но и готового ответа нет: баланс интересов придётся обосновывать самому, письменно, и показать, что менее навязчивый способ не работает. Мы советуем делать это, когда иначе никак, а не как первый выбор. Про один из самых частых примеров читайте в статье о видеонаблюдении в офисе и магазине.
Как выбрать основание на практике
Алгоритм простой и укладывается в таблицу из трёх столбцов: цель, данные, основание. Для каждой цели сначала проверяете, есть ли норма закона, которая вас обязывает. Затем смотрите, необходима ли обработка для договора. Только если ни то, ни другое не подходит, просите согласие. Законный интерес оставляете на крайний случай, а экстренный пункт про жизнь и здоровье не трогаете.
Результат этой работы живёт в реестре обработки. Если вы ещё не вели такой, начните с материала о том, как вести реестр обработки персональных данных: основание там указывается отдельной графой для каждой цели.
Помните и про особые случаи. Для специальных категорий (здоровье, убеждения) работает отдельная ст. 10, для биометрии — ст. 11, и там набор оснований уже, чем в ст. 6. «Договорное» основание само по себе не снимает требований к ним.
Чем рискует компания без правильного основания
Обработка без основания, предусмотренного законом, — это административное правонарушение по ч. 1 ст. 13.11 КоАП РФ. Для юридических лиц штраф составляет от 150 000 до 300 000 ₽. Он не единственная неприятность: оператор, не определивший основание, часто не может ответить и на запрос субъекта. На информацию о том, на каком основании идёт обработка, у вас есть 30 дней (ст. 20 ч. 3), и ответ «потому что так принято» не засчитают. Общую картину санкций смотрите в обзоре штрафов по 152-ФЗ.
Что делать прямо сейчас
Возьмите лист бумаги и выпишите все случаи, когда ваша компания собирает данные: сайт, заказ, найм, бухгалтерия, рассылка, видеокамеры. Против каждого напишите цель и основание. Там, где против строки стоит одно и то же слово «согласие», остановитесь и проверьте, нет ли договора или закона, которые это покрывают. А там, где основания вовсе нет, поставьте задачу на ближайшую неделю.
Вы знаете, на каком основании обрабатываете данные клиентов на вашем сайте? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, какие формы и сценарии собирают данные, и подсветит те, где основание не определено или подменено лишним согласием.
Использованные нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 9, 10, 10.1, 11, 20); КоАП РФ (ст. 13.11); Федеральный закон от 30.11.2024 № 420-ФЗ.