Согласие на распространение персональных данных: когда нужно и как оформить

Что такое распространение персональных данных

152-ФЗ различает разные действия с данными. Обработка — это почти всё, что можно делать с данными: сбор, хранение, использование. Распространение — частный и особый случай: действия, в результате которых данные становятся известны неопределённому кругу лиц. Проще говоря — вы делаете их публичными.

Именно из-за этой «публичности» законодатель выделил распространение в отдельную норму — статью 10.1 152-ФЗ, действующую с 1 марта 2021 года. Логика простая: разрешить компании обработать ваши данные для услуги — это одно, а разрешить выложить их в открытый доступ, где их увидит кто угодно, — совсем другое решение. Поэтому под распространение нужно своё согласие.

Чем отличается от обычного согласия

Это главный источник ошибок: компании берут одно согласие «на обработку» и считают, что оно покрывает публикацию. Не покрывает. Сравним:

Вывод: если человек подписал ваше обычное согласие на обработку персональных данных, это ещё не даёт права выкладывать его данные на сайт. Для публикации нужен отдельный документ — согласие на распространение.

Когда нужно согласие на распространение

Ориентир один: данные становятся видны неограниченному кругу лиц. Типичные ситуации для малого бизнеса и ИП:

• Отзывы клиентов с именем, фото или иными идентифицирующими данными.
• Страница «Наша команда» — фото, имена и должности сотрудников на сайте.
• Кейсы и портфолио, где указан конкретный заказчик-физлицо.
• Списки участников мероприятия, победителей конкурса, публичные реестры контактов.
• Публикации в соцсетях и мессенджер-каналах с данными людей.

А вот если данные лишь обрабатываются внутри — лежат в CRM, нужны для связи и исполнения договора, но не публикуются, — это обычная обработка, и отдельное согласие на распространение не требуется. Публикация данных сотрудников заслуживает отдельного внимания — об этом в материале об обработке персональных данных работников.

Что должно быть в согласии

Согласие на распространение — осмысленный документ, а не галочка «согласен». По смыслу ст. 10.1 в нём отражают, как минимум:

• Кто оператор и кому даётся согласие.
• Кто субъект — чьи данные распространяются.
• Перечень категорий данных, которые разрешено распространять (ФИО, фото, должность и т. д.).
• Условия и запреты на распространение отдельных данных, если субъект их устанавливает.
• Где и как предполагается распространение (например, конкретный сайт, ресурс).
• Срок действия и порядок прекращения распространения по требованию субъекта.

Запрет и отзыв распространения

Ключевая гарантия для субъекта: он в любой момент вправе потребовать прекратить распространение своих данных. Это требование действует независимо от того, отзывает ли человек согласие целиком, и оператор обязан прекратить распространение в установленный срок.

• Запрет заранее. В самом согласии субъект может разрешить публиковать одни данные и запретить другие — эти ограничения обязательны для вас.
• Требование прекратить. Уже после публикации человек может потребовать снять данные из открытого доступа — и это нужно исполнить.
• Данные ушли дальше. Если вы передавали данные для распространения другим, придётся принять меры, чтобы распространение прекратилось и там, насколько это достижимо.

По сути это частный случай прав субъекта — как принять и правильно отработать такое обращение, разобрано в материале о правах субъекта персональных данных и ответе на его запрос. Заведите единый канал для обращений — иначе требование «уберите моё фото» рискует потеряться, а это уже нарушение.

Как оформить: 6 шагов

Собираем всё в единый маршрут — от понимания, что вы публикуете, до хранения подтверждения. Один раз выстроив этот процесс, вы перестаёте рисковать при каждой публикации отзыва или фото.

1. Определите, что именно вы делаете публичным. Распространение — это не любая обработка, а превращение данных в общедоступные: публикация на сайте, в соцсетях, в каталоге, в отзыве с именем и фото. Составьте перечень: какие именно данные (ФИО, фото, должность, контакты, отзыв) и где вы их публикуете. Пока перечень не ясен, невозможно корректно сформулировать согласие — а «согласие на всё» закон прямо не допускает.
2. Отделите согласие на распространение от обычного согласия. Согласие на распространение оформляется отдельно от согласия на обработку и не может быть «зашито» в общий текст или в пользовательское соглашение. Даже если человек согласился на обработку своих данных, это не значит, что он разрешил делать их общедоступными. Готовьте самостоятельный документ (или отдельный, отделимый блок), который субъект подписывает осознанно именно под распространение.
3. Опишите каждую категорию данных и условия распространения. В согласии перечисляют конкретные категории данных, которые разрешено распространять, и, при необходимости, условия и запреты — например, «фото можно, номер телефона нельзя». Субъект вправе установить запреты и условия на распространение отдельных данных. Общая формулировка «разрешаю распространять любые мои данные без ограничений» не соответствует смыслу нормы.
4. Получите активное согласие — молчание не считается. Согласие на распространение должно быть дано активным действием: подпись, отдельная непредзаполненная галочка, действие в личном кабинете. Молчание или бездействие субъекта согласием НЕ является — заранее проставленная «птичка» или «продолжая пользоваться сайтом, вы соглашаетесь» здесь не работают. Зафиксируйте, что и когда человек разрешил, чтобы это можно было подтвердить.
5. Обеспечьте возможность запрета и отзыва в любой момент. Субъект в любой момент вправе потребовать прекратить распространение своих данных — это требование действует независимо от согласия, и выполнить его нужно в установленный срок. Встройте канал для таких обращений (как и для прочих запросов субъекта) и процедуру: получили требование — сняли данные из публичного доступа — зафиксировали. Отсутствие такого механизма — типичная точка нарушения.
6. Храните подтверждение и сверяйтесь с актуальными требованиями. Бремя доказывания того, что распространение правомерно (есть согласие или иное основание), лежит на операторе. Храните подтверждение согласия и его условий столько, сколько распространяете данные. Требования к форме и содержанию согласия на распространение периодически уточняются Роскомнадзором — сверяйте свой шаблон с действующей редакцией ст. 10.1 152-ФЗ и профильными требованиями.

Частые ошибки

• Считают, что общее согласие на обработку покрывает публикацию, — и публикуют без отдельного согласия.
• «Зашивают» распространение в сплошной текст согласия или в пользовательское соглашение.
• Ставят распространение на заранее проставленную галочку — то есть на молчание.
• Не перечисляют конкретные категории данных — пишут «разрешаю любые».
• Игнорируют запреты субъекта на отдельные данные (разрешил имя, запретил телефон — публикуют всё).
• Нет канала и процедуры, чтобы прекратить распространение по требованию.
• Не хранят подтверждение согласия — и нечем доказать правомерность публикации.

Общий знаменатель — отношение к публикации как к мелочи. На деле распространение без надлежащего согласия — это обработка без основания, за которую предусмотрены штрафы за персональные данные, а снимать публикацию по жалобе дороже, чем один раз оформить согласие.

Читайте также

• Согласие на обработку персональных данных — базовый документ, с которым нельзя путать распространение.
• Обработка персональных данных работников — когда нужно согласие на публикацию фото и данных сотрудников.
• Права субъекта персональных данных: как ответить на запрос — как отработать требование прекратить распространение.
• Политика обработки персональных данных — где отражают правила распространения.
• Обязанности оператора персональных данных — полный набор того, что спрашивают с оператора.
• Штрафы за персональные данные в 2026 — во что обходится публикация без согласия.
• Роскомнадзор и персональные данные: гайд для бизнеса — обзор всех обязанностей оператора.

Частые вопросы