Перед обработкой персональных данных (ПДн) каждому оператору ПДн нужно убедиться в наличии оснований для такой обработки, которые перечислены в ст. 6 Закона о персональных данных. Главное основание — наличие согласия субъекта на обработку его ПДн. А в 2025 г. значительно усилилась ответственность за нарушения в сфере обработки ПДн и ужесточились требования к получению согласия на обработку ПДн. В материале проанализируем выводы судов и позиции надзорных органов по вопросу обработки ПДн без согласия субъекта ПДн, а также рассмотрим различные случаи обработки ПДн (банкротство, договоры, судопроизводство и пр.) на примерах из судебной практики.
В статье 6 Закона о персональных данных приведены и другие основания обработки:
-
исполнение российского законодательства или международного договора;
-
участие субъекта ПДн в судопроизводстве и исполнение судебных актов;
-
реализация полномочий государственных (муниципальных) органов и учреждений;
-
исполнение договора, заключенного с субъектом ПДн или в пользу субъекта ПДн;
-
защита интересов оператора ПДн, включая взыскание просроченной задолженности, а также достижение общественно значимых целей;
-
профессиональная деятельность журналиста, работа СМИ, научная, литературная или иная творческая деятельность, если не нарушаются права субъекта ПДн;
-
работа с обезличенными данными в статистических целях или в рамках экспериментального правового режима;
-
работа с ПДн, которые подлежат опубликованию или обязательному раскрытию согласно закону.
Отдельно следует упомянуть также возможность использования биометрических ПДн (то есть сведений о физиологических особенностях человека, на основании которых можно установить его личность). Обработка таких сведений без согласия субъекта ПДн возможна в связи с исполнением российского законодательства, в том числе о реадмиссии, судопроизводстве и исполнении судебных актов, государственной дактилоскопической и геномной регистрации, миграции, положении иностранных граждан и гражданстве, об обороне, безопасности и уголовном производстве, а также о нотариате.
Распространение персональных данных
Согласие на распространение ПДн требуется в подавляющем большинстве случаев. В соответствии со ст. 7 Закона о персональных данных операторы и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.
В остальных случаях для публичного распространения ПДн потребуется отдельное согласие, которое оформляется по правилам, предусмотренным ст. 10.1 Закона о персональных данных.
Различные случаи из судебной практики: с/без согласия?
Взыскания
Так, например, должники по кредитным договорам и договорам займа, долги которых переданы коллекторским организациям, предпринимают любые меры, чтобы избежать взаимодействия с коллекторами, включая жалобы на незаконную обработку ПДн.
Например, в одном из дел кассационный суд пришел к выводу, что действия банка по защите своих интересов путем заключения агентского договора с коллекторским агентством для осуществления действий по взысканию задолженности не противоречили нормам действующего законодательства и не нарушили прав и законных интересов заемщика, поэтому отказал в удовлетворении требований истцов.
При этом:
цитируем документ
…действия по взысканию задолженности по кредитному договору осуществлялись <…> в соответствии с агентским договором, заключенным между Банком и данным лицом, что условия и принципы обработки персональных данных заемщиков Банком соблюдаются, персональные данные обрабатываются исключительно с целью надлежащего выполнения условий кредитного договора, передаваемые коллекторскому агентству персональные данные не являются избыточными по отношению к заявленным целям, точность, достаточность и актуальность персональных данных при обработке обеспечена <…>.
Определение Шестого кассационного суда общей юрисдикции от 21.05.2024 № 88-13658/2024
Аналогичная позиция отражена в Апелляционном определении Московского городского суда от 22.03.2018 по делу № 33а-2067/2018, в Определении от 06.04.2012 № 33-8687.
Банкротство и другие случаи
Следует также обратить внимание на пласт судебной практики, посвященный истребованию документов арбитражными управляющими.
Так, в рамках банкротных процедур в одном из дел управление отказало в предоставлении копий документов, на основании которых совершены регистрационные действия в отношении автомобиля, по причине содержания в них персональных данных иных лиц, которые не могут быть раскрыты третьим лицам без согласия субъекта персональных данных (Определение ВС РФ от 26.12.2023 № 308-ЭС23-15786 по делу № А63-14622/2022).
ВС РФ отметил, что «документы, связанные с предшествующим банкротству изменением состояния имущественной массы должника, то есть о движении активов, их приобретении и отчуждении безусловно необходимы финансовому управляющему для осуществления возложенных на него обязанностей».
Государственные органы обязаны раскрывать арбитражному управляющему содержание документов с ПДн третьих лиц, так как ПДн в такой ситуации обрабатываются в целях исполнения законодательства, а именно Закона о банкротстве. При этом закон не ставит исполнение обязанности по передаче документов в зависимость от получения согласия таких третьих лиц.
Подавляющее большинство судебных решений, касающихся оснований обработки ПДн, связано именно с истребованием арбитражным управляющим документов и сведений у государственных органов и учреждений (см., например, постановление Арбитражного суда Северо-Западного округа от 27.06.2025 по делу № А21-3452/2024, постановление Арбитражного суда Уральского округа от 21.04.2025 по делу № А71-14632/2024).
Как указано выше, передача ПДн государственным органам в рамках исполнения их функций, а также в связи с участием лица в судопроизводстве также возможна без согласия субъекта ПДн.
А органы миграционного учета обязаны предоставлять сведения о владельцах жилых помещений без их согласия региональному оператору в сфере обращения с отходами.
цитируем документ
Суды первой и апелляционной инстанций правомерно указали, что Общество, являясь оператором персональных данных, вправе обратиться в Отдел за предоставлением персональных данных потребителей коммунальной услуги в целях и объеме, установленном действующим законодательством для исполнения условий договора на услугу по обращению с твердыми коммунальным отходами.
Постановление Арбитражного суда Уральского округа от 25.01.2024 по делу № А60-25440/2023
Следует заметить, что споры операторов по обращению с отходами с МВД о предоставлении ПДн собственников жилых помещений также представляют собой значительную часть судебной практики по обработке ПДн.
В случае, если на сайте организации публикуется информация, обязательная к раскрытию согласно закону, то Роскомнадзор также не вправе предъявлять претензии к такой организации.
Так, например, нарушением не будет признаваться публикация страховой компанией на собственном сайте информации об акционерах и руководстве с учетом нормативных актов Банка России.
цитируем документ
...форма и содержание документов, размещенных в подразделе «Информация о структуре и составе участников страховой организации», полностью соответствуют рекомендованным образцам и требованиям, предусмотренным Положением № 622-П.
…обработка обществом персональных данных руководителей общества и участников общества способом «распространения» путем их размещения в разделе «Руководство и участники» не требует получения согласия субъекта персональных данных, поскольку осуществляется обществом на основании пунктов 2 и 11 части 1 статьи 6 Закона о персональных данных во исполнение законной обязанности общества по раскрытию персональных данных, предусмотренной подпунктом 2 пункта 6 статьи 6 Закона об организации страхового дела, в целях доведения информации до сведения страхователей, застрахованных лиц, выгодоприобретателей, лиц, имеющих намерение заключить договор страхования.
Постановление Арбитражного суда Московского округа от 30.03.2023 № Ф05-4354/2023 по делу № А40-139096/2022
Аналогичным образом законной будет признаваться публикация информации, содержащей ПДн, в СМИ, если это необходимо в рамках профессиональной деятельности журналиста или в общественных интересах. В качестве примера можно привести неудачную попытку Роскомнадзора привлечь к ответственности главного редактора газеты за публикацию сведений о месте жительства лица, совершившего уголовное преступление, когда решение о назначении штрафа было отменено вышестоящим судом (постановление Второго кассационного суда общей юрисдикции от 07.08.2024 № 16-3359/2024).
Исполнение договора
Важно отдельно остановиться на ситуациях, когда обработка ПДн осуществляется в целях исполнения договора, стороной или выгодоприобретателем по которому является субъект ПДн.
Так, в рамках дела № А43-25737/2023 судом рассматривалась ситуация, когда энергоснабжающая компания передала ПДн абонента в специализированную компанию, которая оказывала услуги по ограничению энергоснабжения, в связи с долгом абонента за электроэнергию. Роскомнадзор проинформировал энергоснабжающую компанию о том, что такие действия нарушают законодательство о ПДн, и потребовал устранить нарушения.
Суд пришел к выводу, что в договоре между абонентом и энергоснабжающей компанией не было указано, что ПДн абонента могут передаваться в сторонние организации в целях ограничения энергоснабжения (постановление Арбитражного суда Волго-Вятского округа от 23.08.2024 по делу № А43-25737/2023).
Договор, заключенный между микрофинансовой организацией и коллекторским агентством, также не позволяет сам по себе передавать ПДн должника в коллекторское агентство, так как при заключении договора потребительского займа заемщик не давал согласия на передачу, обработку ее персональных данных коллекторскому агентству и отозвал ранее выраженное согласие на передачу этих данных третьим лицам. У общества отсутствуют иные правовые основания для передачи и поручения обработки персональных данных заемщика (постановление Арбитражного суда Западно-Сибирского округа от 10.08.2017 по делу № А27-16475/2016).
Напротив, передача без согласия работников их ПДн в страховые компании, санатории и отели на основании договоров, заключенных с такими организациями в пользу работников, и в целях исполнения таких договоров —полностью законна (постановление Арбитражного суда Московского округа от 30.05.2022 № Ф05-9445/2022 по делу № А40-163911/21).
Обработка ПДн граждан на основании договора и без отдельного согласия
Возможность обработки ПДн граждан на основании договора и без отдельного согласия (на основании п. 5 ч. 1 ст. 6 Закона о персональных данных) неоднократно фигурировала в жалобах в адрес КС РФ, который подтвердил конституционность такого положения.
Так, КС РФ не нашел нарушений в использовании ресурсоснабжающей организацией ПДн (личного номера телефона) без согласия субъекта ПДн, в силу п. 5 ч. 1 ст. 6 Закона о персональных данных, допуская обработку персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (Определение КС РФ от 17.07.2018 № 1810-О).
цитируем документ
…в случае обработки персональных субъектов на условиях, в объеме и порядке, предусмотренном договором, получение дополнительного согласия субъекта на обработку персональных данных, а равно включение согласия на обработку персональных данных в текст договора, не требуется.
Письмо Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 23.09.2022 № 08-85970
Обработка ПДн без отдельного согласия
Если обратить внимание на распространение ПДн без согласия гражданина, то судебная практика в подавляющем большинстве случаев — отрицательная. В качестве примеров можно привести Определение от 22.01.2020 по делу № 88-2277/2020, 2-2206/2018, в котором Третий кассационный суд общей юрисдикции признал незаконным размещение на сайте СНТ персональных данных истца, включая ФИО и домашний адрес, без согласия истца.
Редкие исключения связаны с работой СМИ или публикацией данных в рамках исполнения законодательства. В качестве знаковых примеров можно рассмотреть дела с участием администрации портала, на котором публикуются карточки медицинских работников с указанием образования, квалификации, а также с возможностью оценить врача и оставить отзыв о его работе. Так, в 2018 г. врач обратилась к порталу с требованием удалить информацию о ней с сайта, сославшись на ст. 8 Закона о персональных данных об общедоступных источниках персональных данных, согласно которой субъект ПДн вправе в любой момент потребовать удаления сведений о себе из таких источников данных.
КС РФ, рассмотрев жалобу портала, постановил, что общественно значимая информация (в том числе сведения о врачах) может размещаться на интернет-сайтах, зарегистрированных в качестве сетевых изданий. При этом администрация портала обязана проверять на достоверность размещаемые на портале отзывы пациентов, а также предоставить врачу возможность отвечать на такие отзывы (постановление КС РФ от 25.05.2021 № 22-П).
Выводы
С учетом действующего законодательства о ПДн и судебной практики можно сделать два основных вывода.
1. Если у организации действительно есть основания для распространения ПДн, предусмотренные ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11 Закона о персональных данных либо иным специальным законодательством, то обработка ПДн без согласия субъекта не будет признаваться нарушением, а требования и предписания могут быть оспорены в суде.
2. Субъекты ПДн все активнее отстаивают свои права, и организация рискует значительным штрафом, если продолжит необоснованную обработку данных.
Российское законодательство о персональных данных в 2025 г. стало значительно жестче. Так, с 30 мая кратно выросли штрафы за обработку персональных данных, предусмотренные ст. 13.11 КоАП РФ.
Кроме того, с 1 сентября согласие на обработку ПДн должно оформляться в форме отдельного документа, без возможности включить такое согласие в текст другого документа, например, договора или политики обработки ПДн. Соответственно, отсутствие отдельного согласия на обработку ПДн может трактоваться как отсутствие согласия в принципе и приводить к вышеуказанным штрафам. Наконец, если организация обрабатывает или распространяет ПДн, изначально полученные незаконным путем (например, из баз данных, сформированных в результате утечек), то виновные сотрудники могут быть привлечены к уголовной ответственности на основании вновь введенной ст. 272.1 УК РФ.
Все вышеперечисленное свидетельствует о том, что начиная с 2025 г. к вопросам обработки ПДн следует подходить гораздо ответственнее. И на начальном этапе убедиться в том, что у организации есть основания для обработки ПДн, предусмотренные Законом о персональных данных.