Распространение персональных данных: что это и когда нужно согласие
Что закон № 152-ФЗ называет распространением персональных данных, чем оно отличается от предоставления и передачи, что требует ст. 10.1 по частям, какой состав согласия задаёт приказ Роскомнадзора № 18 и какая ответственность.
Коротко: распространение персональных данных — это действия, направленные на раскрытие данных неопределённому кругу лиц (п. 5 ст. 3 закона № 152-ФЗ). Если данные показывают конкретному человеку или определённому кругу, это предоставление (п. 6 ст. 3). Для распространения нужно отдельное согласие по ст. 10.1, составленное по требованиям приказа Роскомнадзора № 18. Молчание или бездействие человека согласием не считается, а условия и запреты оператор публикует в течение трёх рабочих дней.
Главное о распространении
- Критерий — круг получателей: неопределённый круг лиц — распространение, определённый — предоставление.
- Согласие на распространение оформляют отдельно от других согласий (ч. 1 ст. 10.1).
- Состав согласия задаёт Роскомнадзор (ч. 9 ст. 9), приказ № 18 действует до 01.09.2027.
- Человек вправе поставить запреты и условия, отказать ему оператор не вправе (ч. 9 ст. 10.1).
- Требование прекратить прекращает согласие с момента получения оператором (ч. 12–13 ст. 10.1).
- Раскрыл сам человек — это ещё не основание: доказывать законность дальше должен каждый, кто распространяет (ч. 2 ст. 10.1).
Распространение, предоставление, передача: в чём разница
В п. 3 ст. 3 слово «передача» стоит как родовое: «передачу (распространение, предоставление, доступ)». Отдельного определения передачи в ст. 3 нет. Различие, которое важно оператору, зависит от адресата.
| Понятие | Определение по закону | Что нужно оператору |
|---|---|---|
| Распространение | Действия, направленные на раскрытие данных неопределённому кругу лиц (п. 5 ст. 3) | Согласие на распространение по ст. 10.1 |
| Предоставление | Действия, направленные на раскрытие данных определённому лицу или определённому кругу лиц (п. 6 ст. 3) | Любое основание из ч. 1 ст. 6, при поручении — ч. 3 ст. 6 |
| Доступ | Назван в скобках в п. 3 ст. 3, отдельного определения нет | По нашему прочтению — предоставление возможности ознакомиться с данными |
| Трансграничная передача | Передача на территорию иностранного государства органу власти, физическому или юридическому лицу (п. 11 ст. 3) | Отдельный режим, ст. 12. Разбор — передача персональных данных |
Термины в одном месте собраны в глоссарии терминов 152-ФЗ, а общая картина — в главном материале что такое персональные данные.
Примеры: что считать распространением
Закон примеров не даёт. Таблица ниже — наше прочтение критерия «неопределённый круг лиц», в спорных случаях решает орган, рассматривающий дело.
| Ситуация | Распространение или предоставление | Пояснение |
|---|---|---|
| Фото и ФИО сотрудников на странице сайта | Распространение | Увидеть может любой посетитель |
| Список победителей конкурса в открытом посте | Распространение | Пост открыт неопределённому кругу |
| Отзыв клиента с именем на сайте | Распространение, если имя позволяет определить человека | Критерий — п. 1 ст. 3 |
| Стенд с фотографиями сотрудников в холле | Распространение | Холл доступен посетителям |
| Закрытый чат группы | Предоставление, если состав определён | Если в чат вступит любой желающий, ближе к распространению |
| Передача данных курьерской службе | Предоставление | Адресат определён, нужен договор или поручение |
| Передача данных бухгалтерскому подрядчику | Предоставление | Ч. 3 ст. 6; для данных работников — ст. 88 ТК |
| Ответ на запрос суда или Роскомнадзора | Предоставление | Определённый адресат, основание закон |
Про публикацию на сайте — в статье о персональных данных на сайте, про работников — в хабе о персональных данных работников.
Что требует ст. 10.1 по частям
| Часть | Что установлено |
|---|---|
| ч. 1 | Согласие на распространение оформляется отдельно от иных согласий. Оператор обязан дать человеку возможность определить перечень данных по каждой категории, указанной в согласии |
| ч. 2 | Если человек раскрыл данные сам без согласия оператору, доказать законность последующего распространения или иной обработки должен каждый, кто это сделал |
| ч. 3 | То же, если данные раскрыты вследствие правонарушения, преступления или непреодолимой силы |
| ч. 4 | Если из согласия не следует, что человек согласился на распространение, данные обрабатываются без права распространения |
| ч. 5 | Если из согласия не следует, что запретов нет, или не указаны категории, к которым применяются запреты, данные обрабатываются без передачи неограниченному кругу лиц |
| ч. 6–7 | Согласие дают оператору непосредственно или через информационную систему Роскомнадзора; правила её использования определяет Роскомнадзор |
| ч. 8 | Молчание или бездействие ни при каких обстоятельствах не считается согласием |
| ч. 9 | Человек вправе установить запреты на передачу (кроме предоставления доступа) и условия обработки неограниченным кругом лиц. Отказ оператора установить их не допускается |
| ч. 10 | Оператор не позднее трёх рабочих дней с момента получения согласия публикует информацию об условиях обработки и о наличии запретов и условий |
| ч. 11 | Запреты и условия не распространяются на обработку в государственных, общественных и иных публичных интересах по законодательству |
| ч. 12–13 | Передача должна быть прекращена в любое время по требованию человека (ФИО, контакты, перечень данных). Согласие прекращается с момента поступления требования оператору |
| ч. 14 | Человек вправе обратиться с требованием к любому лицу, обрабатывающему его данные, или в суд; лицо обязано прекратить передачу в течение трёх рабочих дней с получения требования или в срок из решения суда |
| ч. 15 | Требования статьи не применяются к обработке для выполнения функций госорганов, муниципальных органов и подведомственных организаций |
Не смешивайте ч. 12–13 и ч. 14. Первая пара про требование к оператору, получившему согласие: согласие у него прекращается сразу при поступлении требования. Ч. 14 про требование к любому лицу, нарушающему ст. 10.1, с трёхдневным сроком. Отзыв обычного согласия на обработку идёт по ст. 9 и ст. 21: отзыв согласия.
Приказ Роскомнадзора № 18: что должно быть в согласии
Часть 9 ст. 9 отдаёт состав согласия на распространение Роскомнадзору. Приказ от 24.02.2021 № 18 перечисляет девять позиций:
| № | Что указать |
|---|---|
| 1–2 | ФИО человека и контактная информация (телефон, e-mail или почтовый адрес) |
| 3 | Сведения об операторе: для организации наименование, адрес из ЕГРЮЛ, ИНН, ОГРН (если известен человеку); для ИП ФИО, ИНН, ОГРН; для физлица ФИО и место жительства или пребывания |
| 4 | Информационные ресурсы оператора: адрес страницы с протоколом, сервером, доменом, каталогом и файлом |
| 5 | Цели обработки |
| 6 | Категории и перечень данных: обычные, специальные категории, биометрические |
| 7 | Категории и перечень данных, на которые человек ставит условия и запреты, и сами условия (по желанию человека) |
| 8 | Условия передачи: только по внутренней сети, с использованием информационно-телекоммуникационных сетей или без передачи (по желанию человека) |
| 9 | Срок действия согласия |
Приказ вступил в силу 1 сентября 2021 года и действует до 1 сентября 2027 года. После этой даты проверьте, продлён он или заменён: сейчас мы не знаем, что будет дальше. Образец согласия с вымышленными данными есть в статье о согласии на распространение.
Особые категории и биометрия
Для специальных категорий данных (ст. 10) распространение допускается в числе прочего при соблюдении запретов и условий по ст. 10.1 (п. 2 ч. 2 ст. 10). Биометрические данные обрабатывают только с письменного согласия, кроме случаев ч. 2 ст. 11, и предоставление таких данных не может быть обязательным (ч. 1 и 3 ст. 11): согласие на обработку биометрических данных. По нашему прочтению, фото может быть и биометрией, но только если оператор использует его для установления личности (ч. 1 ст. 11).
Ответственность
Отдельной части ст. 13.11 КоАП «за распространение без согласия» нет. По нашему прочтению, распространение без основания — это обработка в случаях, не предусмотренных законом, то есть ч. 1 ст. 13.11: граждане от 10 до 15 тыс. ₽, должностные лица от 50 до 100 тыс. ₽, организации от 150 до 300 тыс. ₽. Если распространение случилось в виде неправомерной передачи большого массива данных (утечки), применяются ч. 12–18 ст. 13.11 (в ч. 12–14 порог от 1 000 субъектов или 10 000 идентификаторов, в ч. 16 и 17 для специальных категорий и биометрии порога нет) с суммами от миллионов рублей для коммерческих организаций; у НКО и госорганов вместо организации штрафуют должностное лицо (примечания 2–3). Это границы диапазонов, а не фиксированные суммы, срок давности один год (ст. 4.5). Моральный вред подлежит возмещению (ч. 2 ст. 24). Подробнее — штрафы за персональные данные.
Как мы помогаем
ФТИ — учебный центр, а услуги по персональным данным ведёт юрист по образованию. По страницам услуг:
- Аудит сайта на 152-ФЗ — 4 900 ₽: проверим формы, политику и сервисы; документы для сайта — 3 900 ₽; устранение — от 9 900 ₽.
- Документы по 152-ФЗ — 9 900 ₽: политика, согласия для форм и сотрудников, локальные акты. Нужно ли вам отдельное согласие на распространение и в каком виде, решаем на разборе, состав называем до оплаты.
- Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление, документы и документы для сайта. См. услуги ФТИ.
Курс «Защита персональных данных» для ответственных: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО, приём с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Готовых документов курс не выдаёт и уведомление не подаёт.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 10.1 — обработка данных, разрешённых субъектом для распространения
- Федеральный закон № 152-ФЗ, статья 3 — основные понятия, пункты 1.1, 3, 5, 6 и 11
- Статья 9 закона № 152-ФЗ — согласие субъекта, часть 9 о согласии на распространение
- Статья 10 закона № 152-ФЗ — специальные категории персональных данных
- Статья 11 закона № 152-ФЗ — биометрические персональные данные
- Статья 6 закона № 152-ФЗ — условия обработки, части 1 и 3
- Приказ Роскомнадзора от 24.02.2021 № 18 — требования к содержанию согласия на распространение, действует до 01.09.2027
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных, части 1 и 12–18
- Трудовой кодекс РФ, статья 88 — передача персональных данных работника
Частые вопросы
Что такое распространение персональных данных?
Действия, направленные на раскрытие персональных данных неопределённому кругу лиц (п. 5 ст. 3 закона № 152-ФЗ). Например, публикация фото и ФИО на сайте или в открытом посте.
Чем распространение отличается от предоставления?
Кругом получателей. Распространение — для неопределённого круга, предоставление — для определённого лица или круга лиц (п. 5 и 6 ст. 3). По нашему прочтению, для предоставления достаточно основания из ч. 1 ст. 6, а для распространения нужно особое согласие по ст. 10.1, если иное не предусмотрено федеральным законом (для данных работников ещё ст. 88 ТК).
Нужно ли отдельное согласие на публикацию фото сотрудников на сайте?
По нашему прочтению да: такая публикация открыта неопределённому кругу, то есть это распространение. Согласие на распространение оформляют отдельно от других согласий (ч. 1 ст. 10.1) по требованиям приказа Роскомнадзора № 18.
Что должно быть в согласии на распространение персональных данных?
Девять позиций приказа № 18: ФИО и контакты человека, сведения об операторе, адрес информационного ресурса, цели, категории и перечень данных, условия и запреты (по желанию человека), условия передачи (по желанию) и срок действия.
За сколько дней нужно опубликовать условия и запреты после согласия?
Не позднее трёх рабочих дней с момента получения согласия (ч. 10 ст. 10.1). Три рабочих дня есть и в ч. 14 для прекращения передачи по требованию к любому лицу, но это другой случай.
Что делать, если человек требует убрать свои данные, которые он разрешил распространять?
Прекратить передачу. Требование должно содержать ФИО, контакты и перечень данных (ч. 12 ст. 10.1), согласие прекращается с момента поступления требования оператору (ч. 13). Требование к любому другому лицу в случае несоблюдения ст. 10.1 исполняют за три рабочих дня (ч. 14).
Можно ли использовать данные, которые человек сам выложил в интернет?
Не автоматически. Если он раскрыл данные неопределённому кругу без согласия вам, доказывать законность дальнейшего распространения или иной обработки должен каждый, кто это делает (ч. 2 ст. 10.1).
Какая ответственность за распространение данных без согласия?
Отдельной части в ст. 13.11 КоАП нет. По нашему прочтению применяется ч. 1: организации от 150 до 300 тыс. ₽. При утечке крупного массива данных действуют ч. 12–18 той же статьи. Это границы диапазонов.
Сколько стоит проверить сайт, где публикуются данные людей?
Аудит сайта на 152-ФЗ в ФТИ — 4 900 ₽, документы для сайта 3 900 ₽, устранение нарушений от 9 900 ₽. Пакет документов по 152-ФЗ — 9 900 ₽, состав называем после разбора до оплаты.