Распространение ПД

Ограниченный доступ

Информация ограниченного доступа

ч.2 ст.5 и ст.9 149-ФЗ

охраняемые законом тайны, ч.3-8 ст.9 149-ФЗ

иная информация ограниченного доступа, ст.15.2, 15.3, 15.5, 15.6 149-ФЗ

биометрические ПД, ст.11 152-ФЗ и 572-ФЗ

ПД в зоне общедоступной информации, ч.2 ст.5 и ст.7 149-ФЗ

• Режим ПД
• Норма 152-ФЗ

• опубликованы в рамках журналистики, СМИ, научной, литературной и иной творческой деятельности
• п.8 ч.1 ст.6

• опубликованы или раскрыты на основании федерального закона
• п.11 ч.1 ст.6

• включены в общедоступные источники с согласия субъекта
• ст.8

• разрешены субъектом для распространения
• ч.1 ст.10.1

• раскрыты неопределенному кругу лиц самим субъектом
• ч.2 ст.10.1

• раскрыты вследствие правонарушения, преступления или непреодолимой силы
• ч.3 ст.10.1

Вывод: ПД в целом (ч.9 ст.9 149-ФЗ и 152-ФЗ) пересекают обе зоны, и у каждого общедоступного режима своя норма 152-ФЗ. Рядом действуют режимы общеизвестных сведений (ст.7), информации, доступ к которой не может быть ограничен (ст.8), и открытых данных (ч.4 ст.7 149-ФЗ)

519-ФЗ от 30.12.2020

Общедоступность больше не основание

Новые правомочия субъекта ПД

определить конкретные распространяемые ПД по каждой категории данных в согласии

запретить оператору передачу распространяемых ПД неограниченному кругу лиц, кроме предоставления доступа

запретить неограниченному кругу лиц обработку распространяемых ПД, кроме получения доступа, или установить ее условия

по первому требованию прекратить передачу (распространение, предоставление, доступ) своих ПД любым лицом

Парадокс: по букве ч.2 ст.10.1 основание нужно даже для простого доступа к распространенным ПД

152-ФЗ, ст.3

Дефиниции закона

п.1.1 ПД, разрешенные для распространения - доступ неограниченного круга лиц к ним субъект предоставил согласием по 152-ФЗ

п.5 распространение - действия, направленные на раскрытие ПД неопределенному кругу лиц

Ориентиры

Неопределенный круг лиц

ВС РФ, обзор за I квартал 2004 г. - круг, который нельзя индивидуализировать, привлечь в процесс, указать в решении и решить вопрос о правах каждого

ФНС, письмо от 25.04.2007 № ШТ-6-03/348@ - лица, которых нельзя заранее определить как получателей рекламы и сторону правоотношения

Вывод PA

Распространение есть при любом из условий

нет действий по фактическому ограничению доступа к ПД

нельзя достоверно установить круг лиц с правом доступа к ПД в момент или период

Роскомнадзор

Предоставление, а не распространение

табличка с ФИО и должностью на двери кабинета, ведь посетители - определенный круг лиц (Ю. Контемиров, день открытых дверей 28.01.2022)

интранет-справочник с рабочими контактами работников (письмо Роскомнадзора 2026 года)

• 1
• Новые понятия

волеизъявление названо "разрешением", рядом с прежним "неопределенным" кругом лиц появился "неограниченный", а ПД, сделанные общедоступными субъектом, заменены ПД, разрешенными для распространения

• 2
• Закрытый доступ

по позиции Роскомнадзора, если оператор может разумно определить или ограничить круг лиц с доступом к ПД, например через предварительную регистрацию на сайте, это не распространение

• 3
• Форма согласия

требования ч.4 ст.9 к письменной форме к согласию на распространение не применяются, содержание задает Роскомнадзор. Согласие дается оператору непосредственно или через информационную систему Роскомнадзора

• 4
• Конкуренция норм

ст.10.1 и ч.4 ст.9 сталкиваются при включении ПД в общедоступные источники (ст.8) и при согласии работника на распространение. Минцифры и Роскомнадзор считают, что ст.10.1 к общедоступным источникам не применяется

• 5
• Непосредственность

согласие от представителя можно обосновать общей нормой ч.1 ст.9, но законность сбора согласий иными лицами, например обработчиком по поручению, под вопросом

• 6
• Переход

519-ФЗ вступил в силу 01.03.2021, кроме положений об информационной системе Роскомнадзора. Согласие получают у субъектов, вступивших во взаимодействие с оператором с этой даты

Роскомнадзор: закон обратной силы не имеет, поэтому согласие по приказу № 18 нужно для распространения, начатого с 01.03.2021

Ч.5 - сомнения трактуются против оператора

чек-бокс, которым субъект подтверждает отсутствие запретов и условий

поле для описания запретов и условий, можно с набором типовых формулировок

Учет условий субъектов в процессах - большой организационный и ресурсный вызов, а субъект получает простор для злоупотребления правом

Ч.10 - за 3 рабочих дня опубликовать условия

• оператор и его контакты
• ожидаемая аудитория

• цель и запрет иных целей
• разрешенные действия

• разрешенные способы
• срок доступа

• ?
• Что делать, если между согласием и публикацией больше 3 рабочих дней?

Закон ответа не дает. Как довести разные условия субъектов до читателей списка, опубликованного единым блоком, тоже не решено

• ?
• По ч.12 прекратить передачу "в любое время" значит немедленно?

Согласие прекращается с момента поступления требования (ч.13). Безопасно прекращать передачу сразу, а 3 рабочих дня ч.14 считать внешним пределом

• ?
• По ч.14 как "любое лицо" идентифицирует субъекта?

Механизм проверки полномочий заявителя у лица, не инициировавшего распространение, закон не задает

Трудности выбора и обеспечения основания

01

Согласие

субъекта на обработку его ПД

02

Закон

функции, полномочия и обязанности, возложенные на оператора законодательством

03

Договор

стороной, выгодоприобретателем или поручителем по которому является субъект

04

Законный интерес

права и законные интересы оператора или третьих лиц, см. рекомендации RPPA

Локализация, ч.5 ст.18

Базы на территории РФ

При сборе ПД, в том числе через Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение ПД граждан РФ ведутся с использованием баз данных в РФ

Особенность: новые ПД, полученные анализом данных, ранее собранных в российские базы и переданных за рубеж, можно получать в зарубежных базах без предварительной локализации

vs

За

Согласие исключительно

дефиниция в п.1.1 ст.3 прямо называет согласие субъекта квалифицирующим признаком, Минцифры в письме от 21.12.2021 считает его единственным основанием

ч.15 ст.10.1 знает одно исключение - функции органов власти, местного самоуправления и подведомственных организаций, ему отвечают п.4 и отчасти п.11 ч.1 ст.6

пояснительная записка к 519-ФЗ: согласие - исключительное основание обработки ПД, сделанных общедоступными, кроме государственных, общественных и иных публичных интересов

по словам М. Вагнера на дне открытых дверей Роскомнадзора 28.01.2022, распространение возможно только через согласие, а договор и пользовательское соглашение его не заменяют

Против

Возможны иные основания

чч.2-3 ст.10.1 требуют доказать законность последующего распространения, что косвенно отсылает к пп.2-9.1 и 11 ч.1 ст.6

согласие не годится, когда распространение неразрывно связано с предметом возмездного договора или раскрытие по закону обязательно не для органов власти

по судебной практике 2023 года согласие на распространение - частный случай согласия на обработку (п.1 ч.1 ст.6)

в мае 2024 года письмо Роскомнадзора № 08-166301 допустило распространение и по иным основаниям ч.1 ст.6, устные позиции остаются строже

Единственным правовым основанием, которое свидетельствует о том, что субъект персональных данных разрешил распространять персональные данные, является согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения

Письмо Минцифры от 21.12.2021, ответ на письмо от 26.11.2021 № 442-исх/6091

Также в письме

то же согласие - единственное основание обработки ПД любыми третьими лицами, если субъект разрешил оператору их распространять

Вопрос PA

как это соотносится с чч.2 и 3 ст.10.1, где доказательства законности последующего распространения или иной обработки не ограничены согласием?

Что дальше: в 2023-2024 годах суды, Минцифры и Роскомнадзор от этой позиции отошли, см. следующие слайды

• 1
• Отдельное согласие

согласие на распространение оформляется отдельно от иных согласий (ч.1 ст.10.1), его содержание задает приказ Роскомнадзора от 24.02.2021 № 18

• 2
• Изъятие для власти

ст.10.1 не применяется к функциям органов исполнительной власти и местного самоуправления (ч.15). Иные операторы распространяют ПД только при отдельном согласии

• 3
• Общедоступные источники

ПД включаются в справочники, адресные книги и иные источники с письменного согласия субъекта (ч.1 ст.8), требования к форме - ч.4 ст.9

• 4
• Форма согласия

при разработке формы согласия на распространение целесообразно руководствоваться приказом № 18

Вывод PA

Два согласия для двух режимов

косвенно заявлена необходимость отдельного согласия на распространение даже при наличии иных оснований по ч.1 ст.6

согласие на включение ПД в общедоступный источник в целях информационного обеспечения соответствует ч.4 ст.9, а не приказу № 18

Информационный ресурс

напрямую не влияет на квалификацию обработки после отмены п.10 ч.1 ст.6

Одна цель

создается только для информационного обеспечения

Письменное согласие

наполняется с письменного согласия субъекта, отдельного от иных согласий

Сообщенные субъектом

состоит из ПД, сообщенных субъектом, иных ПД в теории нет

Воля субъекта

субъект вправе требовать незамедлительно прекратить обработку своих ПД

Любой круг

открыт группе, например персоналу, или всем, и тогда конкурирует со ст.10.1

Минцифры: внутренние справочники организации для информационного обеспечения могут быть общедоступными источниками ПД с требованиями ст.8

1

Основания ст.6

обработка допускается с согласия субъекта или при иных основаниях пп.2-11 ч.1 ст.6 152-ФЗ

2

Журналистика

п.8 ч.1 ст.6 - для деятельности журналиста, законной деятельности СМИ, научной, литературной и иной творческой деятельности без нарушения прав субъекта

3

Ст.10.1 с 01.03.2021

519-ФЗ ввел особенности обработки ПД, разрешенных субъектом для распространения

4

Публичные интересы

по ч.11 ст.10.1 запреты и условия субъекта не действуют при обработке в государственных, общественных и иных публичных интересах

Вывод: если СМИ обрабатывает ПД в соответствии с ч.11 ст.10.1, согласие на распространение получать не требуется. Граница проходит по существу деятельности, и регистрация СМИ сама по себе изъятия не создает

Минцифры

Письмо от 14.05.2024 № П25-12029-ОГ

случаи обработки без согласия перечислены в пп.2-11 ч.1 ст.6

п.8 ч.1 ст.6 допускает обработку для журналистики, СМИ, науки, литературы и творчества без нарушения прав субъекта

без согласия оператор обрабатывает ПД только при основаниях, установленных законодательством о ПД

согласие на распространение оформляется отдельно от иных согласий

Роскомнадзор

Письмо от 15.05.2024 № 08-166301

обработка по пп.2 и 11 ч.1 ст.6 без согласия относится к ПД по п.1 ст.3

требования ст.10.1 применяются только к ПД, разрешенным субъектом для распространения

распространение ПД, помимо пп.2 и 11 ч.1 ст.6, может быть предусмотрено и в иных случаях ч.1 ст.6

Но: устные позиции Роскомнадзора строже. При обработке по договору согласие по приказу № 18 все равно оформляют (М. Вагнер, 28.01.2022), а оператор без акта, предусматривающего публикацию, оформляет согласие на распространение (22.08.2025 и 14.08.2026)

Исключения из правила о согласии (пп.7, 8 и 11 ч.1 ст.6 152-ФЗ) толкуются в свете п.1 ст.152.2 ГК: сбор и распространение сведений о частной жизни без согласия допустимы в государственных, общественных или иных публичных интересах и если сведения ранее стали общедоступными или раскрыты самим гражданином. Тот же подход в ст.49 и 57 Закона о СМИ

П.8 ч.1 ст.6 152-ФЗ конституционен

он допускает размещение сетевым изданием ПД медицинского работника, ранее размещенных по закону на официальном сайте медицинской организации, вне зависимости от его согласия

Фильтр отзывов

редакция не допускает оценок третьих лиц, не относящихся к профессиональной деятельности, и очевидно противоправных высказываний

Проверка по обращению

редакция в разумные сроки проверяет сведения, приостанавливая доступ к отзыву или помечая его спорный характер

Судебный запрет

при систематическом злоупотреблении суд может запретить распространение ПД работника и отзывов о нем

АС Московского округа, 30.03.2023

Раскрытие по закону согласия не требует

Ключевые выводы

распространение ПД руководителей и участников ведется на основании пп.2 и 11 ч.1 ст.6 152-ФЗ, чтобы довести информацию до страхователей, застрахованных лиц, выгодоприобретателей и будущих клиентов

ст.10.1 устанавливает порядок обработки ПД, разрешенных для распространения, и это частный случай обработки с согласия субъекта, что следует из названия и содержания статьи

ни ст.10.1, ни иные нормы 152-ФЗ не обязывают оператора получать согласие на обработку во исполнение обязанностей по закону и требований о раскрытии

Следствие: лишнее согласие при обязательном раскрытии не добавляет правомерности, а создает впечатление, что отказ субъекта остановит раскрытие

Девять обязательных реквизитов

• 01
• ФИО субъекта, без замены идентификатором

• 02
• Контактная информация

• 03
• Сведения об операторе

• 04
• Цели обработки

• 05
• Категории и перечень ПД

• 06
• Условия и запреты субъекта по категориям

• 07
• Условия передачи только по внутренней сети или без нее

• 08
• Информационные ресурсы оператора (адреса)

• 09
• Срок действия, лучше конкретный

КАК ДАЕТСЯ

Приказ Роскомнадзора от 24.02.2021 № 18

• 1
• фамилия, имя, отчество субъекта

• 2
• контактная информация субъекта

• 3
• сведения об операторе: организации, физлице или ИП

• 4
• адреса ресурсов оператора: протокол, сервер, домен, каталог, имя файла страницы

• 5
• цель или цели обработки

• 6
• категории и перечень ПД, на обработку которых дается согласие

• 7
• ПД, для которых субъект ставит условия и запреты, и сами условия и запреты

• 8
• условия, при которых оператор может передавать ПД

• 9
• срок действия согласия

• ?
• Добавить номер паспорта?

Нет, позиция Роскомнадзора

• ?
• Добавить дату и подпись?

Да, позиция Роскомнадзора

Письмо от 17.09.2021 № 08-61656

Чужие ресурсы

Конструкция приказа предполагает размещение ПД на ресурсах оператора

для чужих ресурсов согласие получает и их владелец

третье лицо распространяет ПД от имени оператора на его ресурсах из согласия, соблюдая ч.3 ст.6 и ст.10.1

Способы распространения ПД

сайты, порталы и мобильные приложения

открытые каналы мессенджеров и соцсетей

общедоступные стенды, в том числе электронные, киоски и терминалы

потоковые трансляции и площадки видеоконференций

издания и СМИ, где согласие не нужно в публичных интересах (ч.11 ст.10.1)

радио- и телепередачи: эфир, кабель, записи, публичное исполнение

рассылки любым потенциально заинтересованным лицам

общедоступные справочные и адресные книги

сообщение любым заинтересованным лицам

надписи об ответственных за пожарную безопасность, ЧС и аптечки

открытое ношение служебного пропуска на общедоступной территории

реестры выданных и аннулированных сертификатов ключей ЭП

Роскомнадзор, 28.01.2022

Нет сайта - ставим прочерк

Если ПД распространяются не через сайт, в поле об информационном ресурсе ставится прочерк, а остальные поля согласия заполняются

Концепт на правах шутки

Доска позора из QR-кодов

На стенде вместо ФИО и фото разместить QR-коды. По комментарию должностного лица Роскомнадзора, по QR-коду невозможно установить личность, следовательно, данные не персональные

Нельзя

разрабатывать и утверждать локальным актом собственную форму согласия, это законом не предусмотрено

включать согласие на распространение в единое согласие на обработку или в текст договора

Не требуется

согласие на распространение для ПД из общедоступных источников по ст.8 152-ФЗ

Обязательно

оформлять отдельно от согласий на поручение, на биометрию и специальные категории, на ТПД и на передачу ПД в трудовых отношениях

указывать специальные категории и биометрию, только если есть письменное согласие на их обработку или иное основание по ст.10 и 11

публиковать условия и запреты на ресурсах оператора или иным открытым способом, например на стенде

считать согласие прекращенным полностью с момента поступления требования субъекта

прежнее согласие до 01.03.2021 с правом распространения при требовании субъекта прекращать в части распространения

Обновление: на дне открытых дверей 14.08.2026 Роскомнадзор устно допустил собственную форму оператора в рамках приказа № 18, в том числе с заранее прописанными ограничениями

Право установления в согласии [...] перечня устанавливаемых условий и запретов находится в компетенции субъекта персональных данных и не предусматривает участия оператора в его реализации

Письмо Минцифры от 21.12.2021, о пп.7-8 требований приказа № 18

Проблемы

• 1
• произвольные запреты субъекта могут нарушить почти любой заранее продуманный процесс обработки

• 2
• типовая форма на pd.rkn.gov.ru/soglasiya/maket предлагает только закрытые перечни условий и запретов

• 3
• запрет участия оператора можно прочитать и как запрет рекомендаций субъекту по заполнению полей

Обновление: в 2026 году Роскомнадзор устно допустил заранее прописанные оператором ограничения. Безопасно предлагать их как отмечаемые варианты и сохранять поле для запретов самого субъекта (ч.9 ст.10.1)

Позиция Роскомнадзора

Место публикации условий совпадает с местом ПД

"Опубликование информации об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения, предполагается в том месте или на том Интернет-ресурсе, где будут размещены эти персональные данные оператором"

Повод

работодатель распространял ПД работников на стороннем ресурсе, цели и порядок в обращении не раскрыты

Рамка

с 01.03.2021 действует ст.10.1, а состав мер для исполнения обязанностей оператор определяет сам по ст.18.1

Срок

информацию об условиях и запретах публикуют в течение 3 рабочих дней после получения согласия, ч.10 ст.10.1

Следствие

условия и запреты публикуются в каждом месте размещения ПД отдельно, а не в одной точке ресурса

vs

Доверенность

Представитель по доверенности не вправе

Письмо от 02.12.2021 № 08-81768

По п.1.1 ст.3 152-ФЗ доступ неограниченного круга лиц к ПД предоставляет сам субъект путем дачи согласия. Поэтому предоставление согласия представителем по доверенности не предусмотрено

на практике такое согласие не принимают и предлагают субъекту выразить волю самому, в том числе через информационную систему Роскомнадзора

Обучающиеся

Обучающийся дает согласие сам

Письмо от 29.12.2021 № 08-89152

Согласие на распространение предоставляется субъектом, поэтому обучающийся вправе дать его в объеме дееспособности по гражданскому законодательству

без согласия обучающихся образовательная организация должна подтвердить иные основания из ч.1 ст.6

Важно: за малолетнего до 14 лет согласие, в том числе на распространение, дает законный представитель, а подросток 14-18 лет дает его сам (письмо Роскомнадзора от 30.03.2023 № 08-26424)

• ?
• Фото или видео гражданина публикуются на сайте с ФИО, должностью и местом работы. Нужно ли кроме согласия по ст.10.1 согласие по ст.152.1 ГК?

Одного согласия по ст.10.1 достаточно как правового основания распространения ПД

• ?
• Можно ли включить в согласие по ст.10.1 текст согласия по ст.152.1 ГК?

Включать в одно согласие тексты по ст.10.1 и по ст.152.1 ГК не нужно

• ?
• Когда согласие на распространение нужно вообще?

Только если организация планирует распространять ПД. Если не планирует, получать его не нужно

• ?
• А органам власти?

Ст.10.1 не применяется к функциям госорганов, муниципальных органов и подведомственных им организаций (ч.15)

Также: Минцифры в 2024 году ответило так же, указав, что при согласии по приказу № 18 дополнительное согласие для той же цели по нормам ГК не требуется. Изображение при этом охраняется ст.152.1 ГК самостоятельно, поэтому изъятия проверяют по обоим режимам

Вопрос: правомерно ли распространять ПД работника по согласию на основании ч.6 ст.10.1 и приказа № 18, если работник дал его не в письменной форме по ст.88 ТК, а непосредственно работодателю через информационную систему?

1

Ч.1 ст.10.1

согласие оформляется отдельно от иных согласий, оператор дает субъекту определить перечень ПД по каждой категории

2

Ч.9 ст.9

требования к содержанию согласия на распространение устанавливает уполномоченный орган

3

Приказ № 18

требования утверждены приказом Роскомнадзора от 24.02.2021 № 18

4

Ответ

согласие должно соответствовать приказу № 18 и быть предоставлено в порядке ст.10.1

Цена ошибки: Роскомнадзор (22.10.2025) квалифицирует отсутствие согласия на распространение по ч.1 ст.13.11 КоАП, а нарушения его формы по ч.2 ст.13.11

23.03.2026

задание

Задание на мероприятие

руководитель Управления утвердил задание № 28-нд на контроль без взаимодействия с оператором

23-25.03.2026

анализ сайта

Наблюдение за соблюдением

пп.58-60 Положения о контроле за обработкой ПД (постановление Правительства от 29.06.2021 № 1046)

Выявлено

страница сайта

Фото тренеров

указаний на согласия субъектов и сведений об условиях и запретах на обработку неограниченным кругом лиц нет

30.03.2026

требование

Основания не подтверждены

подтверждения правовых оснований распространения ПД тренеров на сайте нет

Вывод: нарушения ст.10.1 надзор находит дистанционно, ведь опубликованные ПД без согласия и без блока условий и запретов видны по самому сайту

Режим для каждого вида ПД

• не распространяется
• распространяется обязательно

по выбору субъекта

Пояснения к режиму "обязательно"

Обязательное распространение по закону

указать реквизиты и наименование нормативного правового акта, который предусматривает обязательное распространение (опубликование) ПД

Договор

если правовым основанием распространения служит договор, стороной которого является субъект, в согласии указываются реквизиты договора: дата и номер

Заметим: сам регулятор в пояснениях к сервису называет договор правовым основанием распространения

60 тыс. ₽

Google, 2022

на YouTube без согласия опубликован телефон блогера. Он обратился в Роскомнадзор, тот составил протокол

50-90 тыс. ₽

Санкция ч.5

штраф для юридического лица, а при повторности по ч.5.1 от 300 до 500 тыс. ₽

50 тыс. ₽

Google, 2026

новый штраф по ч.5 ст.13.11, постановление от 18.03.2026 № 05-0216/422/2026 оставлено в силе 21.05.2026

Что наказывается

неисполнение требования субъекта или Роскомнадзора об уточнении, блокировании или уничтожении ПД

2025: YouTube и Telegram

штрафы по 80 тыс. ₽ по ч.5 ст.13.11 за неисполнение требований об удалении ПД, дела 05-0204/422/2025 и 05-0027/422/2025

Вывод: иностранная платформа, которая не удаляет опубликованные без согласия ПД по требованию, отвечает по ч.5 ст.13.11 КоАП

01

Публикация

на интернет-странице видеохостинга YouTube распространялись ПД гражданина

02

Незаконная деятельность

суд признал деятельность страницы незаконной и нарушающей права на неприкосновенность частной жизни, личную и семейную тайну

03

Нарушение 152-ФЗ

информация на странице признана обрабатываемой с нарушением законодательства о ПД, в том числе ст.10.1

04

Реестр

интернет-страница включена в Реестр нарушителей прав субъектов ПД

Практика: Роскомнадзор продолжает этот путь: в 2026 году Таганский районный суд удовлетворил его иски о незаконном распространении ПД по ч.1 ст.10.1, в том числе о дипфейке (дела 02-0901/2026 и 2-1452/2026, первая инстанция)

30 тыс. ₽

Мировой судья, 05.05.2023

Работодатель не обеспечил конфиденциальность

Из базы данных работников Центра в Интернет неограниченному кругу лиц попали ФИО, внутренние номера телефонов и адреса электронной почты работников. Письменного согласия работников на это не было

Что установил суд

ФГУП "ГРЧЦ" как работодатель нарушил ч.1 ст.6, ст.7, ч.4 ст.9, ч.1 ст.10.1 152-ФЗ и ст.88 ТК

произошла неправомерная передача ПД (предоставление, распространение, доступ) неограниченному кругу лиц в сети Интернет

содеянное образует состав ч.2 ст.13.11 КоАП, назначен штраф 30 тыс. ₽

Сегодня дороже: с 30.05.2025 штраф по ч.2 ст.13.11 для юридического лица 300-700 тыс. ₽, а утечка от 1 тыс. субъектов или 10 тыс. идентификаторов влечет от 3 млн ₽ по ч.12

• 1
• Можно ли уйти от квалификации распространения?

определить определенный и ограниченный круг лиц, имеющих доступ к ПД

• 2
• Можно ли включить ПД в общедоступный источник?

по ст.8 152-ФЗ на основании письменного согласия, отвечающего ч.4 ст.9

• 3
• Можно ли опереться на иное основание?

обосновать распространение не согласием субъекта, а пп.2-9.1 и 11 ч.1 ст.6 152-ФЗ

Вопрос 1

Определенный круг - это два условия сразу

Установление допуска: можно достоверно установить круг лиц, обладающих или обладавших правом доступа к ПД в определенный момент или период

Контроль доступа: доступ к ПД фактически ограничен для лиц, не наделенных таким правом

Итог: если на все три вопроса ответ отрицательный, необходимо получить согласие на распространение по ст.10.1

Способы дачи согласия, ч.6 ст.10.1

непосредственно оператору через его информационную систему или в письменной форме

через информационную систему Роскомнадзора по приказу от 21.06.2021 № 106

Разделы образца

• оператор и цель
• ПД: да или нет
• ресурсы оператора

• запрет передачи
• запреты и условия обработки

• передача по сети
• срок
• добровольность

• права субъекта
• порядок обращений
• подтверждения

Дисклеймер, ч.10 ст.10.1

Размещается рядом с опубликованными ПД

"Размещенные на этой странице персональные данные распространяются с разрешения субъекта для цели [...]. Субъектом установлены следующие условия и запреты на обработку таких данных любыми лицами: [...]"

Образец RPPA

rppa.ru/_media/analitika/srpd.docx

Форма с отметками ДА или НЕТ по каждому виду ПД, вариантами запретов и условий обработки и сносками о понятии распространения и о фото, не используемом как биометрия