Правовые основания обработки

• Закон и публичные основания
• включающий факт описан нормой, и от воли субъекта модель не зависит (пп.2-4, 11 ч.1 ст.6)

• Договор с субъектом
• факт уже наступил и объем задан предметом, но отношения инициировал субъект (п.5)

• Законный интерес
• связь с контекстом выстраивает сам оператор тестом цели, необходимости и баланса (п.7)

• Согласие
• факт создают специально, и отзыв в любой момент отключает основание (п.1)

надежные

Закон, договор, раскрытие, суд

субъект не может их выключить, поэтому на них строят критичные и длящиеся процессы

пограничное

Законный интерес

законен, но оценочен, поэтому нужны письменная оценка и запасной сценарий

ненадежное

Согласие

отзывается в любой момент и остается для целей, у которых иного основания нет

Методология: закон основания не ранжирует, но Роскомнадзор видит согласие лишь вне случаев пп.2-11 ч.1 ст.6. Признак подмены простой: если отзыв согласия ничего в обработке не меняет, она держится на другом основании

• п.1
• согласие
• п.2
• закон
• п.4
• госуслуга
• п.5
• договор
• п.6
• жизненно важные интересы
• п.7
• законный интерес

• п.2
• норма обязывает или управомочивает оператора
• 1
• норма лишь предполагает обработку
• п.7

Разграничение пп.2 и 7: Роскомнадзор, 27.07.2023. Пример: олимпиада школьников по ведомственному акту, п.2 (07.12.2023)

• п.2
• обязанность и полномочие
• 2
• субъективное право с оценкой применимости
• п.7

Пример: право акционера на документы общества

• п.5
• нужно для предмета договора
• 3
• что не нужно для предмета, ищет собственное основание: договор интересом не достраивается
• иное

Пример: рассылка, профилирование, скоринг по сторонним источникам

• п.4
• услуга начинается с запроса гражданина
• 4
• функция не зависит от запроса
• п.2

Пример: противоэпидемические меры по п.2, законного интереса у органа нет

• п.6
• только если согласие объективно невозможно
• 5
• защита третьих лиц и общества
• п.7

Пример: видеозапись конфликта для полиции

• п.1
• только если не подходит ни одно из пп.2-11
• 6
• согласие не нужно и про запас не собирается (письмо Роскомнадзора от 03.10.2025)
• пп.2-11

Пример: школа ведет журнал по пп.2, 4 после отзыва согласия родителем (Мосгорсуд, 2026)

Правило: сколько целей, столько оснований: доставка по договору, учет по закону, защита в суде по законному интересу, рассылка по согласию. Конкуренцию оснований Роскомнадзор устно допускает (14.08.2026), но запасное основание на ту же цель выдает непроработанную цель

1

Цель и операция

процесс с несколькими целями делят

2

Категория данных

для ст.10, 11 и 10.1 свои перечни

3

Без согласия

закон, суд, госуслуга, договор, раскрытие

4

Законный интерес

три критерия без обхода запретов

5

Согласие

если иного нет или его требует закон

6

Фиксация

политика, реестр, оценка, журналы

Журнал оснований

Учет самих оснований

основание доказывает оператор (ч.3 ст.9), и доказательства собирают при запуске процесса

дата согласия или факта, включившего основание

субъект, а при представителе его полномочия

пункт ч.1 ст.6 или норма ст.10, 11 и цель

срок, статус и дата отзыва или отпадения

Основание на данные, а не на цель

одно основание на всю клиентскую базу прячет рассылку, профилирование и передачи

Выбрали раз и навсегда

договоры кончаются, согласия отзываются, а запись в реестре остается прежней

Обработка на отпавшем основании

данные хранят после договора или отзыва и не уведомляют получателей

Основание после отзыва

конструкция, впервые появившаяся в переписке об отзыве, выглядит злоупотреблением

ч.1 ст.9, с 01.09.2025

Два признака обособления

визуальная и смысловая отдельность от договоров, ЛНА, анкет и иных сведений

отдельное волевое действие, не слитое с подписанием договора или принятием соглашения

требование касается любой формы, включая устную и конклюдентную

суд указал: требования к надлежащему согласию на рекламу сложились практикой задолго до 01.09.2025 (анкета дисконтной карты, АС г. Москвы 20.04.2026, А40-311022/2025)

• Спорная зона
• Ориентир на 2026 год

• отметка о согласии в типовой форме по пп."б" п.7 ПП-687
• допустима в декларативной форме без подписи, вывод из письма Роскомнадзора от 03.10.2025

• согласие на обороте анкеты или договора
• допустимо, если подписывается как самостоятельный документ отдельным действием

• типовой трудовой договор микропредприятия (ПП-858)
• коллизия со ст.309.2 ТК не снята, надежнее приоритет ч.1 ст.9

• модульное согласие, приложение к договору или ЛНА
• регулятор не подтвердил и не исключил, нужна отдельная подпись по каждому блоку

• общий текст с согласием на рекламу, изображение, тайну
• спорно, надежнее раздельные волеизъявления

• комплект документов под одной электронной подписью
• спорно, отдельное действие на согласие надежнее

Практика: одна подпись под полисом и заявлением не оформляет сразу и договор, и согласие: предписание страховщику устояло в трех инстанциях, ВС отказал в передаче жалобы (А44-745/2017, 31.07.2018)

получатели

Получатели поименно

обработчика называют с наименованием и адресом, категорий мало (А65-35933/2017)

срок

Срок конечный

по цели или сроку договора, а 10 лет после договора суд счел завышенными (А40-12838/2022)

цели

Цели по форме

одна цель на согласие нужна в письменной форме, в простом цели раскладывают по каждой

оператор

Один адресат

одно волеизъявление нескольким равноправным операторам Роскомнадзор устно не допускает

2%

Опрос страховщика, 2026

внимательно читают согласие

48% уверены, что без согласия сервисом не воспользоваться

Информированность

сведения доводят до волеизъявления, а не после отправки формы

термины поясняют в тексте, отсылки к закону мало (А44-9647/2015)

подпись и оговорка об отзыве дефект содержания не исцеляют (А65-35933/2017, А65-33540/2017)

vs

Отзыв согласия

ч.2 ст.9, ч.5 ст.21

привязан к согласию и действует только на будущее

прекратить обработку и уничтожить данные в 30 дней, если они не нужны для целей и договор не говорит иного

полный или частичный: по цели, каналу, оператору, получателю

при ином основании, существовавшем независимо, обработку продолжают и мотивированно отвечают

в письменном согласии способ отзыва указывают обязательно (п.8 ч.4 ст.9)

Требование о прекращении

ч.5.1 ст.21

заявляется независимо от согласия

исполнить в 10 рабочих дней, продление на 5 с мотивированным уведомлением

не касается обработки по пп.2-11 ч.1 ст.6, ч.2 ст.10 и ч.2 ст.11

квалифицируют по тексту обращения, при неясности уточняют

путаница дает просрочку или отзыв без уничтожения данных

• Особый порядок
• маркетинг по ст.15: немедленно
• распространение по ст.10.1: с момента требования

• биометрия в ЕБС: оператору системы через Госуслуги
• пациент: помощь не прекращается

Ошибки: отзыв обставляют формальностями тяжелее дачи согласия или уничтожают весь массив без разбора оснований, а основание, придуманное в момент отзыва, выглядит злоупотреблением правом

• Субъект
• Кто дает согласие
• Опора и оговорки

• младше 14 лет
• законный представитель, достаточно подписи одного из родителей
• письма Роскомнадзора от 29.12.2021 и 30.03.2023

• от 14 до 18 лет
• сам в пределах дееспособности по ст.26 ГК, вне их Роскомнадзор устно (14.08.2026) берет одно согласие представителя
• спорно

• пациент с 15 лет
• сам по данным, связанным с медицинским вмешательством
• ст.54 323-ФЗ, у отдельных категорий свои пороги

• эмансипированный или в браке
• сам, без возрастных ограничений
• ст.21, 27 ГК, подтверждают решением или свидетельством

• недееспособный
• опекун, он же отзывает согласие
• ч.6 ст.9 152-ФЗ, документ о назначении

• умерший
• наследники, если при жизни согласия не было (норму меняет проект № 1219127-8)
• ч.7 ст.9 152-ФЗ, прижизненное согласие сохраняет силу

• любой дееспособный
• представитель по доверенности, нотариальная форма не нужна
• кроме согласия на распространение (письмо Роскомнадзора от 02.12.2021)

Нельзя и можно: собрание собственников за участников согласие не дает, его решение ничтожно (кассация 88-5455/2024, новое рассмотрение). Подростку надежнее согласие за подписью его и представителя

• Кто в договоре
• П.5

• сторона договора, в том числе публичного и присоединения
• покрыт

• выгодоприобретатель или поручитель, включая застрахованного в коллективном страховании
• покрыт

• будущая сторона по своей инициативе: заявка, заказ, регистрация
• покрыт

• застрахованный без статуса выгодоприобретателя
• нет

• представитель, работник контрагента, родственник клиента
• нет

• работник, его кадровую обработку Роскомнадзор ведет по п.2
• нет

• односторонняя сделка вне договора: доверенность, зачет
• нет

Тест необходимости по потоку

• 1
• Обязательства

выписать основные и отделить побочные условия

• 2
• Цель

по каждому обязательству без формулы "для исполнения договора"

• 3
• Связь

цель достигается именно этой обработкой и этим составом

• 4
• Альтернатива

нет менее интрузивного способа

• 5
• Остаток

отсеянное уходит на свое основание, продвижение только на согласие

Проверочный вопрос: перестанет ли оператор исполнять обязательство, если операцию не совершать. Доставка и онлайн-оплата входят в предмет, а профилирование для рекламы и запрос кредитного отчета (218-ФЗ) нет

• до договора
• исполнение
• после прекращения

Заявка субъекта (п.5)

Исполнение договора (п.5)

Возврат, расчеты, неустойка (п.5)

Учет, налоги, 115-ФЗ (п.2)

Архивные сроки 125-ФЗ (п.2)

Доказательства для спора (п.7)

Инициатива

данные приходят в ответ на действие субъекта, а не из своей базы

Идентификация стороны

чужой договор основания не дает и при посреднике

Код из СМС

сам волю не доказывает: ВС требует проверить лицо

Отпадение договора

зафиксировать момент и причину

обязательные сроки перевести на п.2

остальное уничтожить за 30 дней

архив отделить от активного

п.2 ч.1 ст.6 152-ФЗ

Две самостоятельные ветви

цели международного договора РФ или закона

функции, полномочия и обязанности по законодательству РФ, включая постановления Правительства, ведомственные и муниципальные акты

оговорка "согласие не требуется" не условие основания

Маркеры предписания в норме

• "оператор обязан"
• "подлежат хранению"
• "представляются"

• "размещаются"
• санкция за неисполнение

Основания не образуют

локальный акт оператора и иностранное право

норма о субъективном праве, это путь к п.7 с оценкой

общая отсылка к 152-ФЗ или к законодательству без статьи

рекламные и закупочные нормы для маркетинга, там нужен п.1 и ст.15

Реестр: на каждую цель своя статья профильного акта. Слой держат ТК, НК и 402-ФЗ, социальное страхование и корпоративное право, а минимизация ограничивает исполнение: антитеррористическая защищенность не оправдывает копию паспорта посетителя

• Основание
• Что покрывает
• Граница

• п.3, судопроизводство
• данные другой стороны в иске и процессуальных документах, передачу своему представителю
• только в рамках процесса: ВС требует проверять, служили ли данные защите в деле (25-АД25-1-К4, направлено на новое рассмотрение), а сбор в обход суда не покрыт

• п.4, госуслуги
• обработку при оказании услуги по запросу заявителя
• лишнее согласие не условие приема заявления (ВС, 5-КА19-56)

• п.11, обязательное раскрытие
• последующую обработку раскрытого: банкротство, закупки, педагоги
• согласие на распространение не берут (А40-139096/2022, ВС отказал в передаче)

• ст.15 закона о ФСБ, с 01.04.2026
• передачу копии базы по предписанию, квалификация по п.2
• проверяют форму, подпись и режим тайн, копии уничтожают по достижении целей

• чч.4-6 ст.27 161-ФЗ, антифрод
• обмен сведениями о переводах без согласия клиента
• основание п.2, поэтому отзыв согласия обмен не останавливает

Подрядчик: привлеченное лицо основание не меняет, если закон не требует личного исполнения, объем данных минимален, а поручение оформлено по ч.3 ст.6 и с учетом ст.88 ТК. Аутсорсинг расчета зарплаты Пресненский районный суд признал правомерным (2-907/2024)

Запрещенные условия договора

Ограничение прав и свобод

положения, ограничивающие права и свободы субъекта ПД

ПД несовершеннолетних

положения, устанавливающие случаи их обработки, если иное не предусмотрено законодательством

Бездействие как условие

молчание и непроставленный отказ акцептом не считаются, запрет введен вместе с однозначностью согласия

Как менялся п.5

363-ФЗ от 21.12.2013 с 01.07.2014 добавил обработку при уступке прав, с 01.01.2017 уступку из пункта исключили, а 266-ФЗ с 01.09.2022 дополнил его вторым предложением с тремя запретами

Роскомнадзор, 03.07.2026

Договор не допускает условий вопреки 152-ФЗ

договор заключают по правилам гл.28 ГК, а обработка соблюдает принципы ст.5 152-ФЗ

условие о передаче называет получателей и цели

третьих лиц указывают поименно или ссылкой на ресурс оператора с их перечнем

Ревизия: оферты и договоры присоединения проверяют на три запрета и на сроки хранения, найденное недопустимое условие устраняют, а не смягчают формулировкой. Типовые пороки потребительских договоров разобраны в разделе 12

1

Интерес и цель

актуальный интерес из реальной деятельности оператора, формализованный через конкретную цель

2

Необходимость

цель недостижима без этих данных и в этом объеме, менее интрузивной альтернативы нет

3

Баланс

права субъекта не нарушены: ожидания, информирование, уязвимость, законность источника

или

Категория 1

Субъективное право по норме

право участника и акционера на информацию (ст.65.2, 67 ГК), проверка полномочий представителя контрагента. Обоснование короткое: норма и невозможность реализовать право без обработки

Категория 2

Не запрещенная деятельность

антифрод, безопасность систем, бизнес-модель вытекают из диспозитивности и правоспособности. Нормы нет, и доказывание держится на описании деятельности, цели и необходимости

Важно: критерии не компенсируют друг друга, провал любого означает ч.1 ст.13.11 КоАП. Госорган собственного интереса не имеет, а КС жалобы на п.7 не принял (2173-О от 18.07.2019, 2029-О от 30.06.2026), но доказывать критерии по каждому процессу обязан оператор

Метод: три фильтра

• 1
• Фильтр оснований

нет ли более подходящего или обязательного основания

• 2
• Фильтр норм

норма о праве или значимой цели, в строгом прочтении п.7 через союз "и"

• 3
• Фильтр обработки

нет ли особых режимов с потенциалом нарушения прав

Результат фильтра

• пройден
• !
• с замечаниями

• не пройден
• -
• неприменим

Селекция не заменяет оценку применимости, а отсекает ложные ожидания до нее

Пример калькулятора: четыре процесса

• Критерий фильтра
• Пропуск
• Подбор
• Аудит
• Инцидент

• 1.1
• Обязательное по закону согласие

• 1.2
• Случаи прямо из закона или договора
• !
• !
• !
• !

• 2.1
• Нет прав оператора или третьих лиц

• 2.2
• Нет норм об общественном интересе
• !
• -
• -
• -

• 3.1
• Общедоступные источники, ст.8

• 3.2
• Недееспособные и дети, ст.9
• !
• !
• !
• !

• 3.3
• Специальные категории, ст.10
• !
• !
• !

• 3.4
• Разрешенные для распространения, ст.10.1

• 3.5
• Биометрия для идентификации, ст.11

• 3.6
• Трансграничная передача, ст.12

• 3.7
• Маркетинг и агитация через связь, ст.15

• 3.8
• Автоматизированные решения, ст.16

• 3.9
• Работники вне трудовых отношений, ТК
• -
• !
• !

• 3.10
• Изображение и частная жизнь, ГК

• 3.11
• Охраняемая тайна, ст.9 149-ФЗ

Потенциальная применимость п.7

Процессы: пропускной режим, подбор соискателя с данными родственников, аудиты, расследование инцидентов. Замечания снимают минимизацией и гарантиями: договор с ИП или ФЛ (1.2), дети и спецкатегории (3.2, 3.3), аудиторы и консультанты ИБ (3.9)

vs

Выдерживает оценку

пропускной режим и безопасность объекта при идентифицирующем минимуме данных

подготовка иска и передача данных суду, если сведения нельзя добрать в процессе

проверка работника на конфликт интересов по открытым реестрам (ст.13.3 273-ФЗ)

корпоративные права участника и акционера на документы общества

хранение доказательств правомерности в пределах исковой давности

Не работает

прямой маркетинг, спецкатегории и судимость, биометрия, распространение, автоматизированные решения

передача ПД работника третьим лицам, в том числе внутри группы (ст.88 ТК)

банковская тайна, изображение и частная жизнь гражданина

провалы оценки: продажа клиентской базы, обучение моделей на полной базе, пробив

истребование чужих данных: интерес не обязывает другого их выдать

Поворот 2026: ресурсоснабжающие организации добивались от органов сведений регистрационного учета со ссылкой на законный интерес, но 28.05.2026 Верховный Суд эту линию скорректировал и в иске отказал (А72-10657/2024)

• 1
• Отсев

зоны неприменимости и специальные основания до теста

• 2
• Интерес и цель

право со ссылкой на норму или значимая цель

• 3
• Необходимость

минимум данных, менее интрузивной альтернативы нет

• 4
• Баланс и меры

ожидания, информирование, источники, гарантии

• 5
• Фиксация и пересмотр

протокол, реестр, политика, переоценка при смене цели

Протокол по процессу

Восемь полей в четырех блоках

процесс: субъекты, данные, операции, сроки

дата, ответственный, участники

допустимость, интерес с нормой, баланс

решение, меры и итог: применимо, с мерами, неприменимо

ЛНА об оценке

роли, порядок и сроки, критерии и признаки риска, шаблон протокола, типовые случаи

Высокий риск: несовершеннолетние, ТПД, распространение и свыше 100 тыс. субъектов оценку не останавливают, но требуют мер в решении. Методику выбирают одну и шаги разных методик не смешивают

Главное

Основание привязано к паре цель и операция

Согласие проверяют последним

сначала закон, договор и законный интерес, согласие остается для целей без иного основания (письмо Роскомнадзора от 03.10.2025)

Согласие с 01.09.2025 обособлено

отдельный документ и отдельное действие, а пороки содержания не лечат ни подпись, ни оговорка об отзыве

Договор держит только необходимое

для стороны, выгодоприобретателя и поручителя и лишь пока действует договор, дальше хранение держат закон и интерес

Законный интерес оформляют протоколом

три критерия сразу, отсев зон неприменимости калькулятором и письменная оценка по каждому процессу