РКН Аудит
Статья 6 152-ФЗ отвечает на самый первый вопрос об обработке персональных данных: на каком основании оператор вообще вправе её вести. Согласие субъекта — только одно из оснований перечня, и в половине бытовых случаев оно не лучшее: заказ в интернет-магазине обрабатывается по договору, обращение в суд — по основанию о судопроизводстве, передача данных в налоговую — по обязанности, возложенной законом. Эта же статья задаёт правила поручения обработки подрядчику и распределяет ответственность между оператором и исполнителем.
Проверить сайт на нарушения 152-ФЗ — бесплатно за 30 секунд ←
Что именно регулирует статья 6 152-ФЗ?
Три разных сюжета, которые в обиходе смешивают.
Первый — перечень оснований обработки. Оператор вправе обрабатывать персональные данные, только если попадает хотя бы в один из случаев перечня. Случаи перечислены в части 1 статьи.
Второй — поручение обработки. Оператор вправе передать обработку другому лицу по договору, и статья задаёт, что в таком поручении обязательно должно быть.
Третий — ответственность. Перед субъектом персональных данных отвечает оператор; лицо, обрабатывающее данные по поручению, отвечает перед оператором (часть 5). Для иностранного исполнителя правило другое, и разбираем мы его ниже, в разделе про поручение.
Отдельно оговорено, что обработка специальных категорий данных и биометрических персональных данных подчиняется не только этой статье, а собственным правилам статей 10 и 11 152-ФЗ.
Какие основания перечисляет закон?
Перечень выглядит длинным, но для обычного сайта работают четыре-пять пунктов. Список с примерами:
| Основание по статье 6 152-ФЗ | Что это на практике | Нужно ли согласие |
|---|---|---|
| Согласие субъекта | Подписка на рассылку, cookie для аналитики, анкета на мероприятие | Да, это и есть основание |
| Достижение целей международного договора или закона; выполнение возложенных на оператора функций и обязанностей | Передача сведений в налоговую и фонды, хранение бухгалтерских документов | Нет |
| Участие лица в судопроизводстве | Подготовка иска, ответ на запрос суда | Нет |
| Исполнение судебного акта или акта, подлежащего исполнению по законодательству об исполнительном производстве | Работа с постановлением судебного пристава | Нет |
| Исполнение полномочий органов власти и предоставление государственных и муниципальных услуг | Обработка обращений на официальном сайте органа | Нет |
| Исполнение договора, стороной, выгодоприобретателем или поручителем по которому является субъект | Оформление и доставка заказа, оказание услуги, запись на приём | Нет |
| Защита жизни, здоровья или иных жизненно важных интересов, если согласие получить невозможно | Вызов скорой помощи посетителю | Нет |
| Осуществление прав и законных интересов оператора или третьих лиц либо достижение общественно значимых целей | Реестр контрагентов, претензионная работа, борьба с мошенничеством | Нет, но с условием |
| Профессиональная деятельность журналиста, деятельность СМИ, научная, литературная и иная творческая деятельность | Публикация материала о публичном событии | Нет, но с условием |
| Статистические или иные исследовательские цели при условии обязательного обезличивания | Отраслевое исследование по обезличенной выборке | Нет |
| Обработка данных, полученных в результате обезличивания, — в целях повышения эффективности государственного или муниципального управления и в рамках экспериментальных правовых режимов | Участие в государственном проекте на обезличенных наборах данных | Нет |
| Обработка данных, подлежащих опубликованию или обязательному раскрытию по федеральному закону | Раскрытие сведений о руководителе организации | Нет |
Два пункта перечня сопровождаются ограничительной оговоркой, но формулировки в них разные. Для законных интересов оператора (пункт 7) — «при условии, что при этом не нарушаются права и свободы субъекта персональных данных». Для журналистской и творческой деятельности (пункт 8) — «при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных». Оговорка не декоративная: именно она превращает основание из индульгенции в предмет спора, где оператору придётся объяснять, почему его интерес перевесил.
Почему в нумерации перечня есть пропуск?
Если открыть действующую редакцию, видно неровную нумерацию: есть пункты с дробными номерами и нет пункта 10.
Дробные номера — след более поздних дополнений: отдельно добавлялись исполнение судебных актов (пункт 3.1) и обработка обезличенных данных в целях повышения эффективности государственного и муниципального управления, а также в рамках экспериментальных правовых режимов (пункт 9.1). Второе к обычному коммерческому сайту отношения не имеет: «мы обезличили данные и учим на них модель» самостоятельным основанием из перечня не становится. А пункт 10 — «доступ неограниченного круга лиц к персональным данным предоставлен субъектом» — утратил силу с 1 марта 2021 года по 519-ФЗ. Вместо него в законе появилась статья 10.1 152-ФЗ — специальный режим персональных данных, разрешённых субъектом для распространения: теперь такое разрешение оформляется отдельным согласием и само по себе не делает данные свободными для использования.
Практический вывод короткий: «данные были в открытом доступе» больше не основание обработки. Публикация человеком своего телефона в соцсети не даёт права занести его в базу для обзвона.
Как выбрать основание для конкретной формы на сайте?
Основание выбирается не для компании целиком, а для каждой цели обработки. Порядок такой.
- Сформулируйте цель. Не «работа с клиентами», а «оформление и доставка заказа», «ответ на вопрос из формы обратной связи», «отправка новостной рассылки». Размытая цель — первый признак, что основание не выбиралось.
- Проверьте, есть ли договор. Если субъект оформляет заказ или подаёт заявку на услугу, работает основание об исполнении договора — включая случай, когда договор ещё только заключается по инициативе самого субъекта.
- Проверьте, нет ли обязанности по закону. Хранение первичных документов, передача сведений в государственные органы — это отдельное основание, и согласие тут не нужно и не помогает.
- Если не подошло ничего — берите согласие. И оформляйте его по правилам статьи 9 152-ФЗ: с 1 сентября 2025 года согласие должно оформляться отдельно от других документов, а не пунктом внутри оферты. Как это выглядит на практике — в разборе пакетного согласия и в образце согласия.
- Запишите выбор в документы. Основание и цель попадают в политику обработки персональных данных и в уведомление Роскомнадзора. Если в политике написано одно, а форма собирает другое — это расхождение, которое видно снаружи: мы разбирали его в статье политика не совпадает с формами.
Как основание связано с принципами статьи 5?
Основание отвечает на вопрос «вправе ли», принципы статьи 5 152-ФЗ — на вопрос «в каком объёме и как долго». Их постоянно путают, и из-за этого возникает ощущение, что достаточно получить согласие — и дальше можно всё.
Работает это иначе. Даже при безупречном основании остаются три ограничения:
- Соответствие цели. Обработке подлежат только те данные, которые отвечают заявленным целям. Дата рождения в форме обратной связи не становится законной оттого, что посетитель поставил галочку.
- Запрет избыточности. Содержание и объём данных должны соответствовать целям; избыточные данные обрабатывать нельзя.
- Ограничение хранения. Данные хранятся не дольше, чем этого требует цель, если иной срок не установлен федеральным законом или договором. Достигнута цель — данные подлежат уничтожению.
Отсюда практическое следствие: согласие не продлевает срок хранения бесконечно. Формулировка «до отзыва согласия» работает только там, где сама цель ещё существует. База заявок пятилетней давности, которую никто не использует, — нарушение независимо от того, какие галочки стояли при её сборе.
Что делать, если подходит сразу несколько оснований?
Такое бывает часто: клиент оформил заказ, оставил согласие на рассылку и попал в претензионную работу. Правило простое — основание выбирается под каждую цель, а не под каждого человека.
Практический разбор на одном покупателе:
| Цель | Основание | Что происходит при отзыве согласия |
|---|---|---|
| Оформить заказ и обработать его у себя | Исполнение договора | Обработка продолжается: она держится не на согласии |
| Хранить документы по сделке | Обязанность, возложенная законом | Обработка продолжается до истечения установленного срока |
| Присылать новости и акции | Согласие на продвижение | Рассылка прекращается |
| Вести претензионную работу по спору | Законные интересы оператора | Обработка продолжается в пределах спора |
Одна оговорка к первой строке: передача данных курьеру — это уже не собственная обработка магазина, а поручение обработки, и для него по общему правилу нужно согласие (статья 6 152-ФЗ, часть 3). Разбор — в статье передача данных курьерской службе.
Что происходит, когда основание не выбрано?
Формально — обработка ведётся без правового основания. Практически это выглядит так: на сайте стоит одна галочка «согласен на обработку персональных данных», которой пытаются накрыть заказ, рассылку, аналитику и передачу данных партнёру одновременно.
Проблема не в галочке, а в том, что при отзыве согласия у оператора не остаётся ничего. Субъект отзывает согласие — и если заказ обрабатывался «по согласию», обработку нужно прекращать, хотя товар ещё не доставлен. Правильно выбранное основание защищает и оператора: обработка в рамках договора продолжается независимо от отзыва согласия на рассылку. Как соотносятся отзыв согласия и требование об удалении, мы разбирали в статье право на удаление персональных данных.
Ответственность за обработку без правового основания предусмотрена статьёй 13.11 КоАП. Важная деталь: обработка без письменного согласия наказывается по части 2 этой статьи только там, где письменная форма обязательна по федеральному закону — для специальных категорий, биометрии и трансграничной передачи в страны без адекватной защиты. Обычная форма «имя-телефон-почта» с предотмеченной галочкой — это часть 1, и вилка там существенно ниже той, которую обычно называют в рекламных материалах.
Как устроено поручение обработки подрядчику?
Любой внешний сервис, который получает от вас персональные данные и обрабатывает их по вашему заданию, — это обработка по поручению: CRM, сервис рассылок, колл-центр, курьерская служба, подрядчик на поддержке сайта.
Статья 6 152-ФЗ (часть 3) требует, чтобы поручение было оформлено договором и содержало:
- перечень персональных данных и перечень действий с ними;
- цели обработки;
- обязанность соблюдать конфиденциальность;
- обязанность обеспечивать безопасность данных при обработке и требования к их защите;
- обязанность по запросу оператора представлять документы и информацию, подтверждающие соблюдение требований закона;
- обязанность уведомлять оператора о случаях, предусмотренных статьёй 21 152-ФЗ (часть 3.1), — то есть о неправомерной передаче данных и об инциденте.
Последние два пункта в договорах встречаются реже всего, а стоят дороже остальных: без обязанности уведомить оператор узнаёт об утечке у подрядчика последним и срывает собственный срок сообщения в Роскомнадзор.
По общему правилу для поручения нужно согласие субъекта, если иное не предусмотрено федеральным законом. При этом сам исполнитель отдельного согласия у субъекта не получает — он действует в рамках вашего поручения.
Ответственность распределена жёстко: перед субъектом отвечает оператор, исполнитель отвечает перед оператором — это статья 6 152-ФЗ (часть 5). Одно исключение — иностранный подрядчик: если обработка поручена иностранному физическому или юридическому лицу, часть 6 той же статьи возлагает ответственность перед субъектом и на оператора, и на самого исполнителя. Для зарубежной CRM или сервиса рассылок это единственное место в статье, где ответственность не замыкается на операторе. Что распределение ответственности значит при инциденте у подрядчика, мы разбирали на конкретном примере — передача данных курьерской службе.
Что проверить у себя за полчаса
- Для каждой формы на сайте названа одна конкретная цель, а не «улучшение сервиса».
- Для каждой цели выбрано основание из перечня статьи 6 152-ФЗ, и оно совпадает с тем, что написано в политике обработки.
- Согласие берётся там, где других оснований нет, — и оформлено отдельно, а не внутри оферты.
- Со всеми внешними сервисами, которые получают данные, есть договор с условиями поручения — включая обязанность подрядчика уведомить вас об инциденте.
- Ни одна обработка не обосновывается тем, что «данные были общедоступны»: это основание из закона исключено.
Снаружи проверяется первый пункт и часть второго: видно, какие поля собирает форма, что написано рядом с галочкой и называет ли политика эти категории данных. Сам выбор основания под каждую цель — внутренняя работа: его видно только в ваших документах.
→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)
Что читать дальше
- Как провести аудит обработки персональных данных пошагово — где основания из статьи 6 закрепляются в документах
- Статья 15 152-ФЗ: обработка данных для маркетинга — почему для рассылок нужен отдельный режим
- Передача ПДн третьим лицам — поручение обработки на живом примере
- Политика, согласие, уведомление РКН: три разных документа — куда попадает выбранное основание
Источники: статья 6 152-ФЗ, действующая редакция; Федеральный закон №152-ФЗ «О персональных данных» — статьи 5, 9, 10, 10.1, 11, 15, 21; статья 13.11 КоАП РФ.