Не требуется согласие на обработку персональных данных физического лица в случаях, предусмотренных п. п. 2 - 11 ч. 1 ст. 6 Закона о персональных данных:

-для заключения договора, если в договоре указываются паспортные данные индивидуального предпринимателя;

-для исполнения договора, стороной которого является гражданин, например, при доставке товара;

-для осуществления и выполнения функций, полномочий и обязанностей, которые возложены законодательством, например, если адрес электронной почты нужен для направления уведомления в электронной форме;

-для осуществления прав и законных интересов лица, либо для достижения общественно значимых целей при условии, если не нарушаются права и свободы гражданина. Например, в целях обеспечения безопасности, если фиксируется Ф.И.О. и паспортные данные посетителя.

В остальных случаях обработка персональных данных осуществляется с согласия гражданина (п. 1 ч. 1 ст. 6 Закона о персональных данных).

При обработке биометрических персональных данных нужно получать согласие гражданина (ч. 1 ст. 11 Закона о персональных данных). Например, при фотографировании граждан, чтобы оформить им пропуск.

Под биометрическими данными понимаются только сведения, которые используются для установления личности гражданина.

Согласие на обработку персональных данных, разрешенных для распространения, оформляется отдельно от иных подобных согласий физического лица (ч. 1 ст. 10.1 Закона о персональных данных).

Требования к содержанию согласия устанавливает Роскомнадзор (ч. 9 ст. 9, ч. 1 ст. 23 Закона о персональных данных, п. 1 Положения, утвержденного Постановлением Правительства РФ от 16.03.2009 N 228). Требования утверждены Приказом Роскомнадзора от 24.02.2021 N 18.

В согласие включаются:

-фамилия, имя, отчество (при наличии), контактная информация субъекта персональных данных;

-сведения об операторе, его информационных ресурсах, с помощью которых предоставляется доступ к данным;

-цель обработки данных;

-категории и перечень данных, на обработку которых дается согласие;

-срок действия согласия.

Оператор обязан обеспечить физическому лицу возможность определить перечень персональных данных, разрешенных для распространения, по каждой категории данных, указанной в согласии на обработку (ч. 1 ст. 10.1 Закона о персональных данных).

В согласии физическое лицо вправе установить (ч. 9 ст. 10.1 Закона о персональных данных, п. п. 7, 8 Требований):

-запрет передачи (кроме предоставления доступа) сведений оператором неограниченному кругу лиц;

-запрет обработки (кроме получения доступа) сведений неограниченным кругом лиц;

-условия обработки (кроме получения доступа) сведений неограниченным кругом лиц.

Оператор не может отказать субъекту персональных данных в установлении указанных запретов и условий (ч. 9 ст. 10.1 Закона о персональных данных).

Если из согласия на обработку данных не следует, что лицо согласилось с их распространением, оператор обрабатывает данные без права распространения (ч. 4 ст. 10.1 Закона о персональных данных).

Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных"