Согласие через Госуслуги (ЕСИА)

Шаг 1. Проверьте, нужно ли вашему оператору ЕСИА для согласия

Использование ЕСИА при получении согласия — право оператора, а не обязанность. Закон не предписывает конкретный способ идентификации субъекта. Однако ЕСИА даёт оператору ряд практических преимуществ: подтверждённую личность субъекта, уникальный идентификатор, временну́ю метку и электронную подпись. Это снижает риск оспаривания факта согласия.

ЕСИА целесообразно использовать, если оператор:

• работает через портал Госуслуг или интегрирован с ним по соглашению с Минцифры;
• собирает согласия дистанционно и нуждается в подтверждённой идентификации;
• обрабатывает специальные категории ПДн (ст. 10 ФЗ-152) или биометрические данные (ст. 11 ФЗ-152) и хочет зафиксировать письменную форму в электронном виде;
• является государственным или муниципальным органом, обязанным использовать ЕСИА для взаимодействия с гражданами.

Если оператор — коммерческая организация без доступа к ЕСИА, согласие по ст. 9 ФЗ-152 может быть получено иными способами: бумажный документ, усиленная квалифицированная электронная подпись (УКЭП), простая ЭП через личный кабинет с идентификацией по паролю — при условии, что в ОРД закреплён порядок её применения.

Шаг 2. Зарегистрируйте оператора в ЕСИА и получите доступ к сервису

Доступ к API ЕСИА для получения согласий предоставляется через систему межведомственного электронного взаимодействия (СМЭВ) или по отдельному соглашению с Минцифры. Коммерческие организации могут подключиться через технологических партнёров, аккредитованных Минцифры, либо напрямую при соответствии требованиям.

Порядок подключения включает четыре этапа:

• Регистрация организации на Госуслугах — руководитель или уполномоченное лицо создаёт учётную запись организации через личный кабинет физлица с подтверждённой учётной записью.
• Подача заявки на подключение к ЕСИА — через технологический портал ЕСИА (esia.gosuslugi.ru) с приложением технического описания системы и сертификата УКЭП организации.
• Прохождение тестирования — интеграция сначала в тестовой среде ЕСИА, проверка сценариев получения согласия, логирование.
• Включение в продуктивную среду — после успешного тестирования Минцифры открывает доступ к продуктивному API.

Для использования ЕСИА в целях получения согласия оператор должен иметь УКЭП и зарегистрированную информационную систему. Все действия с персональными данными, передаваемыми через ЕСИА, должны быть отражены в уведомлении РКН по ст. 22 ФЗ-152 и Приказу РКН №180 от 28.10.2022.

Шаг 3. Составьте форму согласия с обязательными реквизитами по ст. 9 ФЗ-152

Это центральный шаг. ЕСИА подтверждает личность субъекта и фиксирует электронную подпись, но содержание согласия — зона ответственности оператора. Отсутствие любого из обязательных реквизитов означает нарушение ч. 2 ст. 13.11 КоАП — штраф от 300 000 до 700 000 ₽ для юридического лица.

Форма согласия через ЕСИА должна содержать:

• ФИО субъекта — заполняется автоматически из данных ЕСИА, но должно быть видно субъекту при подписании;
• контактные данные субъекта (email, телефон — те, что переданы через ЕСИА или введены вручную);
• наименование и адрес оператора — полные реквизиты юридического лица;
• цель или цели обработки — конкретные, не общие формулировки («исполнение договора», «маркетинговые рассылки» — разные согласия по ст. 5 ФЗ-152);
• перечень персональных данных — исчерпывающий список категорий (ФИО, дата рождения, СНИЛС, ИНН и т.д.);
• перечень действий с ПДн (сбор, запись, хранение, передача третьим лицам — с указанием конкретных получателей или категорий);
• срок действия согласия или условие его прекращения;
• способ отзыва — адрес, форма заявления или электронный канал.

Если оператор обрабатывает данные для распространения (ст. 10.1 ФЗ-152), согласие на распространение оформляется отдельным документом — его нельзя объединять с основным согласием. Это правило действовало и до ФЗ-156, но с 01.09.2025 требование отдельного документа распространилось на все согласия.

Шаг 4. Настройте хранение и журналирование электронного согласия

Факт согласия, полученного через ЕСИА, должен быть воспроизводим в любой момент — при запросе субъекта, проверке РКН или в арбитражном споре. Оператор обязан хранить не только текст подписанного документа, но и технические метаданные: идентификатор транзакции ЕСИА, временну́ю метку, GUID учётной записи субъекта, версию формы согласия.

Минимальный состав записи в журнале согласий:

• дата и время получения согласия (с точностью до секунды);
• идентификатор субъекта в ЕСИА (GUID);
• версия (номер редакции) формы согласия на момент подписания;
• цели обработки, указанные в данной версии;
• канал получения (ЕСИА, идентификатор сессии);
• статус (активно / отозвано / истекло).

При отзыве согласия субъектом запись не удаляется — вносится статус «отозвано» с датой и каналом отзыва. Это важно для ответа на запрос РКН: оператор должен показать, что обработка прекращена в срок, предусмотренный ст. 21 ФЗ-152.

Срок хранения согласия — не менее срока обработки ПДн плюс период исковой давности (три года по общему правилу). Для согласий работников с учётом ст. 86 ТК РФ и требований архивного хранения — практика складывается в пользу 75-летнего срока хранения личного дела, но согласие как отдельный документ следует хранить до момента уничтожения всех связанных ПДн.

Шаг 5. Внесите сведения об обработке в уведомление РКН по ст. 22 ФЗ-152

Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки (ст. 22 ФЗ-152). Уведомление подаётся через портал pd.rkn.gov.ru с использованием УКЭП или через ЕСИА — что симметрично теме данной инструкции. Форма уведомления установлена Приказом РКН №180 от 28.10.2022.

В уведомлении необходимо корректно отразить:

• правовое основание обработки — ст. 6 ФЗ-152, п. 1 (согласие субъекта) или иное;
• цели обработки — те же, что указаны в форме согласия (несоответствие — типичное нарушение при проверке РКН);
• категории субъектов и категории ПДн;
• получателей ПДн (в том числе ЕСИА как техническая платформа);
• трансграничную передачу — если данные субъектов передаются за рубеж через интеграции;
• меры по обеспечению безопасности ПДн — уровень защищённости по ПП РФ №1119, меры по Приказу ФСТЭК №21.

После подачи оператор включается в реестр в течение 30 дней. Обработка ПДн до включения в реестр при отсутствии уведомления — нарушение ч. 10 ст. 13.11 КоАП, штраф 100 000–300 000 ₽ для юридического лица.

Шаг 6. Назначьте ответственного за организацию обработки ПДн по ст. 22.1 ФЗ-152

Оператор-юридическое лицо обязан назначить лицо, ответственное за организацию обработки персональных данных (ст. 22.1 ФЗ-152). Отсутствие такого приказа — самостоятельное нарушение, которое фиксируется при плановой и внеплановой проверке РКН.

Ответственный по ст. 22.1 осуществляет:

• внутренний контроль за соблюдением ФЗ-152 и локальных актов оператора;
• ознакомление работников с требованиями к обработке ПДн;
• взаимодействие с субъектами ПДн по их запросам (ст. 20 ФЗ-152) — ответ в течение 10 рабочих дней;
• взаимодействие с РКН при проверках и при уведомлении об инцидентах.

Закон не требует специального образования для ответственного, но ч. 4 ст. 22.1 устанавливает требования к квалификации. На практике РКН при проверке запрашивает должностную инструкцию или положение, из которого следует, что ответственный реально осведомлён о своих обязанностях и обладает необходимыми знаниями.

Ответственным может быть штатный юрист, специалист по ИБ или внешний DPO-аутсорсер — последнее прямо допускается конструкцией ст. 22.1. Если функция передана на аутсорс, в приказе указывают лицо (сотрудника аутсорсера) и договор.