Оформление согласия на обработку персональных данных (ПДн) несовершеннолетнего — обязательная процедура для любого оператора данных (школы, детские сады, медорганизации, спортивные секции, онлайн-сервисы, работодатели и др.), если обработка не основана на иных законных основаниях (ст. 6, 11 ФЗ-152 «О персональных данных»). Ниже — подробный разбор требований законодательства, структура документа, типичные ошибки и готовый универсальный образец.

Правовая база: когда и чье согласие нужно

Согласно ст. 15 ФЗ-152 и ст. 64 Семейного кодекса РФ, порядок получения согласия зависит от возраста ребенка:

• Дети до 14 лет (несовершеннолетние): Согласие дают родители, усыновители или попечители (законные представители). Воля ребенка не требуется (кроме случаев, установленных законом).
• Дети 14–18 лет (несовершеннолетние): Согласие дает сам ребенок И его законные представители (родители/попечители). Оба подписывают документ (или ребенок подписывает самостоятельно, а родители — отдельным заявлением/в том же документе).
• Эмансипированные несовершеннолетние (ст. 27 ГК РФ) и замужество до 18 лет: Действуют как полностью дееспособные граждане — подписывают самостоятельно.

Важно: С 1 марта 2023 г. (ФЗ № 266-ФЗ) оператор обязан публиковать информацию о требованиях к согласии на своем сайте или в ином общедоступном источнике.

Обязательные реквизиты согласия (ст. 9 ФЗ-152)

Документ должен быть написанным (бумажный или электронный с ЭЦП/простой ЭП/иным способом идентификации). Готовые бланки оператора допускаются, но согласие должно быть отдельным документом, а не пунктом в договоре/анкете (п. 1 ст. 9 ФЗ-152).

Список обязательных полей:

1. ФИО, адрес, паспортные данные (или ИНН/СНИЛС) субъекта ПДн (ребенка).
2. ФИО, адрес, паспортные данные законного представителя (для детей до 14 лет и 14–18 лет).
3. Наименование и адрес оператора (юридическое лицо или ИП), которому дается согласие.
4. Цель обработки (конкретная: «зачисление в школу», «запись на прием к врачу», «регистрация в приложении», «оформление трудового договора» и т.д.). Общие формулировки («для улучшения сервиса») недопустимы.
5. Перечень обрабатываемых ПДн (ФИО, дата рождения, СНИЛС, фото, мед. данные, геолокация, IP-адрес, cookie и т.д.). Для спецкатегорий (здоровье, биометрия, раса и т.д., ст. 10, 11 ФЗ-152) нужны отдельные согласия или особые основания.
6. Перечень действий (операций) с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (раскрытие, предоставление доступа), обезличивание, блокирование, удаление, уничтожение.
7. Срок действия согласия (календарная дата или событие: «до достижения ребенком 18 лет», «до окончания обучения», «до отзыва»). Бессрочное согласие рискованно.
8. Способ отзыва согласия (письменное заявление оператору лично/почте/ЭДО/через ЛК).
9. Подпись(и) и дата.

Структура идеального образца (по блокам)

Блок 1: «Шапка» — Кто и кому дает согласие

Указываются полные данные оператора (ЮЛ/ИП) и субъекта данных (ребенка + представитель).

Блок 2: Цель и правовое основание

Ссылка на конкретный закон или договор (например: «для исполнения договора об оказании платных образовательных услуг № 123 от г.», «для исполнения трудовой функции по трудовому договору», «на основании ст. 66 ТК РФ»).

Блок 3: Перечень данных (Детализация, залог безопасности)

Не пишите «все данные». Перечислите конкретные поля: Фамилия, Имя, Отчество, Дата рождения, Пол, СНИЛС, Номер полиса ОМС, Адрес регистрации, Контактный телефон, Email, Фотография, Медицинские справки (Форма 026/у и др.), Биометрия (если есть основание).

Блок 4: Операции и передача третьим лицам

Стандартный набор операций (см. ст. 3 ФЗ-152). Отдельно укажите: «Передача третьим лицам: да/нет». Если да, перечислите категории получателей (ФНС, ФСС, банки, подрядчики — 1С, CRM, почта, облачные хранилища) и основание (договор поручения ст. 28 ФЗ-152).

Блок 5: Трансграничная передача

Если данные уходят за рубеж (облака Google, Microsoft, зарубежные мессенджеры, аналитика) — обязательно укажите страну и гарантии защиты (ст. 12 ФЗ-152). Лучше избегать или получать отдельное выделенное согласие.

Блок 6: Срок, отзыв и последствия отказа

Четкий срок; Фраза: «Согласие может быть отозвано в любой момент путем направления письменного уведомления Оператору… Отзыв не влечет нености обработки, совершенной до получения уведомления». Укажите последствия отказа/отзыва (невозможность оказания услуги, расторжение договора).

Особенности для конкретных сфер

Образование (Школы, Детские сады, ВУЗы, Кружки)

• Основа: ФЗ «Об образовании в РФ», ФЗ-152, Приказ Минпросвещения/Минобрнауки.
• Данные: ФИО, СНИЛС, адрес, контакты родителей, мед. справки (026/у, 086/у), фото для зачетки/СКУД/журналов, данные об обучении (оценки, аттестаты).
• Передача: В региональные МИС (АИС «Образование», «Сетевой город», «Дневник.ру»), Рособрнадзор (ГИА), ПФР (материнский капитал), военкоматы.
• Срок: Обычно на весь период обучения + срок хранения архива (75 лет для личных дел).

Медицина (Детские поликлиники, Частные клиники, Лаборатории)

• Основа: ст. 20 ФЗ-323 «Об основах охраны здоровья граждан», ст. 10 ФЗ-152 (спецкатегория — здоровье).
• Отдельное согласие на обработку медицинских данных (часто совмещено с общим).
• Передача: ТФОМС/СМО (оплата по ОМС), ЕМИАС/Региональные МИС, Росздравнадзор, суды/следствие (по запросу).
• Срок: Хранение мед; документации — 25 лет (и более для отдельных форм).

Трудовое право (Работа 14–18 лет)

• Основа: ст. 63, 64, 69, 265 ТК РФ, ст. 11 ФЗ-152.
• Согласие дает сам ребенок (14–18 лет) И родители/попечитель.
• Обязательно: Медосмотр (форма 086/у), согласие опеки (для 14–16 лет и вредных условий), данные о школе (для согласования графика).

Интернет-сервисы, Приложения, Сайты (ФЗ-152, ФЗ-149, ФЗ-572)

• Возрастной рейтинг (18+, 16+, 12+, 6+, 0+). Если сервис не для детей — нужен механизм возрастной верификации (Госуслуги, банк, ЭЦП).
• Для детей до 14 лет: согласие родителей через Госуслуги (ЕСИА), СМС-код на номер родителя, банковское приложение, почта РФ.
• Cookies / IDFA / GAID / Яндекс.Метрика / VK Pixel, это ПДн. Нужен баннер (cookie-баннер) со ссылкой на Политику и кнопкой «Принять/Настроить». Для детей — строгий opt-in (галочка не стоит по умолчанию).

<

• Передача в рекламные сети (РСЯ, myTarget, Google Ads), требует явного согласия на передачу третьим лицам с указанием названий сетей.

Выезд за границу / Лагеря / Спортивные состязания

• Отдельное нотариальное согласие на выезд (если с одним родителем/третьими лицами).
• Согласие на обработку ПДн для оформления визы, страховки, перелета, проживания в лагере.
• Биометрия (фото для визы, отпечатки для Шенгена), спецкатегория, отдельное согласие.

Топ-7 ошибок, за которые штрафует Роскомнадзор (ст. 13.11 КоАП РФ)

1. Согласие «впритык» к договору/анкете (нет отдельного документа/листа/экрана).
2. Размытая цель: «для улучшения качества сервиса», «маркетинговые цели», «бизнес-цели».
3. Список данных «все, что предоставил» без конкретизации.
4. Отсутствие срока действия или фраза «бессрочно».
5. Нет способа отзыва (или он нереален: только лично в головном офисе в другом городе).
6. Отсутствие подписи второго родителя (для 14–18 лет) или подписи ребенка (14–18 лет).
7. Обработка спецкатегорий (здоровье, биометрия, национальность) без явного выделенного согласия/основания.

Штрафы (ст. 13.11 КоАП РФ): на ЮЛ — 15 000–75 000 руб. (повторно до 500 000 руб.), на должностных лиц — 3 000–10 000 руб., на ИП — 5 000–20 000 руб. За утечку/небезопасность — до 15 млн руб. (ст. 13.11 ч. 3–4 КоАП РФ).

Хранение, учет и уничтожение согласий

• Журнал учета согласий (обязателен для операторов, не являющихся МСП, рекомендуется всем): номер, дата, ФИО субъекта/представителя, цель, срок, дата отзыва/уничтожения.
• Хранение: Бумажные — в сейфе/закрытом архиве с доступом по списку. Электронные, в защищенной ИСПДн (шифрование, контроль доступа, логирование, резервное копирование).
• Уничтожение: После истечения срока или отзыва — акт уничтожения (комиссия, протокол, выемка/шредер для бумаги, безвозвратное удаление для ЭДО).

Электронное согласие: как сделать правильно

Допускается (ст. 9 ФЗ-152, ФЗ-63 «Об электронной подписи»):

• Усиленная КЭП (Квалифицированная ЭП): Полная правовая сила, идентифицирует личность. Идеально для Госуслуг, банков, трудовой электронной документации.
• Неусиленная КЭП / Простая ЭП (СМС-код, Email-код, галочка в ЛК + пароль/пуш): Допустима, если:
  1) Есть соглашение между оператором и субъектом об использовании ЭП (п. 2 ст. 6 ФЗ-63).
  2) Обеспечена достоверность установления факта формирования ЭП субъектом (логи, IP, User-Agent, 2FA).
  3) Для детей до 14 лет — ЭП ставит родитель (проверка через ЕСИА/банк).

Лайфхак: Вставьте в ЛК/на сайте чек-бокс: ☐ Я, [ФИО родителя], действую от имени несовершеннолетнего [ФИО ребенка], даю согласие... с кнопкой «Подтвердить кодом из СМС/пуш-уведомления». Сохраняйте лог: timestamp, IP, user-agent, hash кода, версию текста согласия.

Чек-лист перед сбором согласия (для оператора)

• [ ] Разработана/актуализирована Политика конфиденциальности (опубликована на сайте/в зале).
• [ ] Проведена Оценка вреда (DPIA) при внедрении новых технологий/биометрии/массовой обработке детей.
• [ ] Утвержден Локальный акт о порядке обработки ПДн (Перечень ПДн, категории субъектов, меры защиты, порядок инцидентов).
• [ ] Назначен Ответственный за обработку ПДн (уведомлен Роскомнадзор при необходимости — до 2022 г;, сейчас учет в реестре не обязателен для большинства, но ответственный нужен всегда).
• [ ] Обеспечена защита ПДн (тех. и орг. меры: пароли, шифрование, СКУД, ДЛП, антивирус, бэкапы, обучение сотрудников).
• [ ] Готов бланк согласия (бумажный + электронный) с актуальными реквизитами оператора.
• [ ] Настроен процесс отзыва (прием заявлений, остановка обработки, удаление за 30 дней).

Грамотно оформленное согласие на обработку персональных данных ребенка — это не просто формальность для избежания штрафов Роскомнадзора, а основа доверия родителей и юридическая защита вашего бизнеса/учреждения. Ключевые принципы: прозрачность (четкая цель и перечень данных), добровольность (отдельный документ, возможность отказа), целевое ограничение (обрабатываем только то, на что согласились), сроки (храним только пока нужно) и безопасность (защита от утечек).

Используйте приведенный выше образец как конструктор: удалите лишние блоки, добавьте специфику вашей деятельности (название CRM, конкретные мед. формы, список рекламных сетей), согласуйте с юристом/ДПО (Data Protection Officer) и внедряйте в бизнес-процессы (HR, приемная комиссия, регистратура, онлайн-чекаут). Регулярно аудируйте актуальность согласий, при смене целей, подрядчиков или законов они требуют обновления.