Нужно ли брать согласие на обработку персональных данных, если заключается договор с индивидуальным предпринимателем?

Нужно ли получить согласие на обработку персональных данных, если заключается договор с индивидуальным предпринимателем?

Рассмотрев вопрос, мы пришли к следующему выводу:

При заключении гражданско-правового договора с индивидуальным предпринимателем письменного согласия на обработку его персональных данных не требуется, если такая обработка не выходит за пределы обозначенных в договоре целей.

Обоснование вывода:

Согласно ч. 1 ст. 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) обработка персональных данных допускается либо с согласия субъекта персональных данных на обработку его персональных данных, либо в исчерпывающем перечне случаев, определенных в пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ.

Так, в силу п. 5 ч. 1 ст. 6 Закона N 152-ФЗ если обработка персональных данных гражданина, в том числе и индивидуального предпринимателя, осуществляется в целях заключения и исполнения договора гражданско-правового характера, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, то его согласие на такую обработку не требуется (смотрите письмо Роскомнадзора от 23 сентября 2022 г. N 08-85970). Данное исключение направлено на реализацию принципа надлежащего исполнения обязательств в соответствии с условиями обязательства и требованиями закона, как это закреплено в ст. 309 ГК РФ (смотрите определение Конституционного Суда РФ от 17 июля 2018 г. N 1810-О, апелляционное определение СК по административным делам Московского городского суда от 22 марта 2018 г. по делу N 33а-2067/2018, апелляционное определение СК по гражданским делам Челябинского областного суда от 26 мая 2020 г. по делу N 11-5917/2020).

При этом заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством РФ, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.

Частью 5 ст. 5 Закона N 152-ФЗ предусмотрено, что содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

Соответственно, оператору персональных данных при сборе сведений о контрагенте необходимо определить объем необходимой для заключения и исполнения договора персонифицированной информации, с тем чтобы не нарушать действующее законодательство и права субъектов персональных данных. При этом перечень обрабатываемой информации должен соответствовать заявленным целям обработки персональных данных.

Законодательство не устанавливает в виде общего правила требований к составу сведений о сторонах, подлежащих включению в договор.

Помимо фамилии, имени и отчества (при наличии) физического лица, выступающего в качестве стороны договора либо его представителя, принято указывать в договоре также иные индивидуализирующие соответствующее лицо признаки (паспортные данные физического лица, основной государственный регистрационный номер индивидуального предпринимателя (ОГРНИП) или др.). Контрагент может быть индивидуализирован любым способом, позволяющим установить конкретное лицо, которое заключило договор.

В связи с возможным возникновением споров в рамках исполнения договора при выборе способа индивидуализации контрагента следует учитывать положения процессуального законодательства, касающиеся идентификации ответчика (смотрите п. 3 ч. 2 ст. 125 и п. 3 ч. 2 ст. 229.3 АПК РФ, п. 3 ч. 2 ст. 124 и п. 3 ч. 2 ст. 131 ГПК РФ).

В договоре зачастую указываются также сведения о сторонах, необходимые в связи с исполнением договора (в частности, банковские реквизиты в том случае, если договором предусмотрен безналичный порядок расчетов; сведения, необходимые для выполнения одной из сторон в предусмотренных законом случаях обязанностей налогового агента или обязанности по уплате страховых взносов в отношении сумм, выплачиваемых на основании договора другой стороне (идентификационный номер налогоплательщика (ИНН), страховой номер индивидуального лицевого счета застрахованного лица (СНИЛС), дата рождения и др.).

В целях обмена юридически значимыми сообщениями в договоре могут быть указаны почтовые адреса сторон, в том числе отличные от адреса регистрации физического лица по месту жительства (пребывания). Сообщение, доставленное по указанному в договоре адресу, считается полученным, даже если соответствующее лицо фактически по этому адресу не проживает (не находится) (смотрите п. 63 постановления Пленума Верховного Суда РФ от 23 июня 2015 г. N 25 "О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации").

По соглашению сторон обмен юридически значимыми сообщениями может осуществляться также с использованием указанных в договоре адресов электронной почты и телефонных номеров (в том числе посредством мессенджеров).

Отсутствие в договоре подобных данных не влияет на юридическую силу договора. Эти сведения могут быть представлены стороной контрагенту в виде отдельного документа.

Подчеркнем, что истечение срока действия гражданско-правового договора само по себе не означает автоматического прекращения обработки персонифицированной информации о контрагенте. Условия прекращения обработки конфиденциальной информации или конкретные временные рамки ее обработки определяет оператор самостоятельно. В силу ч. 7 ст. 5 Закона N 152-ФЗ хранение персональных данных физических лиц должно осуществляться не дольше, чем этого требуют цели такой обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является физическое лицо. Так, например, подп. 8 п. 1 ст. 23 НК РФ обязывает налогоплательщиков в течение четырех лет обеспечивать сохранность данных бухгалтерского и налогового учета и других документов, необходимых для исчисления и уплаты налогов, в том числе документов, подтверждающих получение доходов, осуществление расходов, а также уплату (удержание) налогов. В соответствии с чч. 1 и 2 ст. 29 Федерального закона от 6 декабря 2011 г. N 402-ФЗ "О бухгалтерском учете" первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность подлежат хранению в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчетного года. Соответственно, оператор в силу закона обязан обеспечить хранение этих документов в течение установленных сроков. Согласие субъектов персональных данных для этого также не требуется на основании п. 2 ч. 1 ст. 6 Закона N 152-ФЗ.

Если же обработка персональных данных выходит за рамки обозначенных в договоре целей, то необходимо заручиться письменным согласием субъекта, содержание которого должно соответствовать требованиям ч. 4 ст. 9 Закона N 152-ФЗ, которое должно быть обособлено от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных (ч. 1 ст. 9 Закона N 152-ФЗ).

Подчеркнем, что сложившаяся судебная практика исходит из того, что навязывание согласия на обработку персональных данных нарушает установленные законом принципы их обработка (смотрите определение Верховного Суда РФ от 05 октября 2018 г. N 306-АД18-16256). Требование формализованного избыточного согласия на обработку персональных данных, когда оператор и так имеет достаточные основания для этого в силу конклюдентного согласия, выражаемого обращением субъекта к оператору, действующему в пределах, ограниченных контекстом такого обращения, незаконно (смотрите кассационное определение СК по административным делам Верховного Суда РФ от 22 января2020 г. N 5-КА19-56).

Роскомнадзор также в своих публичных выступлениях неоднократно высказывался против практики избыточного сбора согласий на обработку персональных данных (смотрите, например, интернет-семинар "Новеллы 152-ФЗ "О персональных данных". Контемиров Ю.Е., https://ya.ru/video/preview/11697606282398386119), обращая внимание на то, что подобные действия противоречат закону и подрывают правовую определенность в сфере обработки персональных данных. Наличие согласия на обработку персональных данных не освобождает операторов от соблюдения принципов обработки персональных данных (ст. 5 Закона N 152-ФЗ) и не заменяет собой иных правовых оснований обработки персональных данных.

Постановлением Правительства РФ от 29 июня 2021 г. N 1046 "О федеральном государственном контроле (надзоре) за обработкой персональных данных" (далее - Постановление) установлены критерии отнесения объектов государственного контроля (надзора) к категориям риска (смотрите Приложение к Постановлению).

На категорию риска влияют два фактора:

- тяжесть потенциальных негативных последствий возможного несоблюдения контролируемым лицом обязательных требований (то есть насколько "чувствительны" те персональные данные, с которыми работает оператор), и

- вероятность несоблюдения контролируемыми лицами обязательных требований (а проще говоря - его "операторская" репутация).

С 5 сентября 2025 г. к группе тяжести "А" (высокий риск) относятся операторы, которые осуществляют обработку персональных данных на основании согласия субъекта персональных данных на обработку его персональных данных в случаях, если федеральным законом не предусмотрена обязанность получения такого согласия (подп. "в" п. 2 Приложения к Постановлению).

То есть избыточное получение согласий на обработку персональных данных является не только формальным нарушением требований Закона N 152-ФЗ, но и обстоятельством, повышающим риск включения оператора в группу более пристального контроля со стороны Роскомнадзора.

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

18 марта 2026 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.