Что такое распространение персональных данных

Закон разводит три близких понятия, и путаница между ними стоит дорого. Распространение — раскрытие данных неопределённому кругу лиц (пункт 5 статьи 3). Предоставление — раскрытие определённому лицу или определённому кругу лиц (пункт 6 статьи 3): например, когда данные сотрудника передают в банк для зарплатного проекта или в Социальный фонд.

Передача как отдельный термин в статье 3 не определена: на практике так называют движение данных между оператором и конкретным получателем. Для собственника разница простая: если после ваших действий данные может увидеть кто угодно — это распространение и отдельное согласие; если получатель известен и круг получателей ограничен — это предоставление в рамках обычной обработки.

Отдельно закон говорит о персональных данных, разрешённых субъектом для распространения: это данные, доступ неограниченного круга лиц к которым человек открыл своим согласием (пункт 1.1 статьи 3). То есть сам человек решает, какие сведения о нём станут публичными.

Основной документ здесь — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Именно им руководствуется Роскомнадзор при проверках, и именно он задаёт правила обработки, включая распространение. Работа с данными, разрешёнными для распространения, урегулирована статьёй 10.1 этого закона.

Вокруг него стоят документы, которые задают порядок и ответственность. Требования к содержанию согласия на распространение установлены приказом Роскомнадзора от 24.02.2021 № 18. Ответственность за нарушения — в статье 13.11 КоАП, за разглашение информации с ограниченным доступом — в статье 13.14 КоАП, за нарушение неприкосновенности частной жизни — в статье 137 УК.

Для работодателя добавляется глава 14 Трудового кодекса: статья 88 запрещает передавать данные работника без письменного согласия, кроме случаев, прямо предусмотренных законом. А внутри компании защиту обеспечивают собственные документы оператора: политика обработки персональных данных и приказ о назначении ответственного. Их состав и обязанность опубликовать политику стоит сверять по действующей редакции закона № 152-ФЗ и разъяснениям Роскомнадзора.

С 1 марта 2021 года действует отдельное согласие на распространение: обычное согласие на обработку его не заменяет. Норму ввёл Федеральный закон от 30.12.2020 № 519-ФЗ, который убрал понятие «общедоступные персональные данные» — раньше работодателю хватало свободной формы, теперь нужен отдельный письменный документ.

Состав сведений в нём жёстко задан приказом Роскомнадзора от 24.02.2021 № 18. Унифицированного бланка нет: оператор вправе разработать свою форму, но если хотя бы одного обязательного элемента не хватает, согласие считается недействительным, а обработка — незаконной.

Согласие на распространение устроено иначе, чем согласие на обработку: в нём таблица с построчным разрешением «да/нет» по каждому виду сведений. И отзыв работает по-разному: после отзыва согласия оператор прекращает обработку, если у него нет другого предусмотренного законом основания продолжать её, а отзыв согласия на распространение не запрещает оператору хранить и обрабатывать данные дальше — только публиковать их.

Правовое основание — это причина, по которой оператор вправе обрабатывать данные. Без основания обработка незаконна, даже если человек когда-то что-то подписал. Основания перечислены в статье 6 закона № 152-ФЗ, и для распространения к ним добавляется отдельное согласие по статье 10.1.

На практике собственник встречает четыре основания. Согласие человека — когда он сам разрешил обработку. Договор, стороной которого он является, — когда данные нужны, чтобы его исполнить. Закон — когда обязанность обрабатывать данные прямо возложена на оператора. И законные интересы оператора — но это основание уже, чем кажется, и его применение стоит сверять с текстом статьи 6 и разъяснениями Роскомнадзора, а не решать на глаз.

Согласие на распространение — самостоятельное основание для публикации. Оно не подменяет согласие на обработку и не отменяет его: для публикации оформляют отдельное согласие на распространение, а для внутренних задач нужно собственное основание обработки — согласие или другое основание, предусмотренное законом.

За распространение персональных данных без согласия человека отвечают по статье 13.11 КоАП. Повторное нарушение отдельных требований к обработке данных наказывается штрафом до 1,5 млн рублей включительно (часть 2.1 статьи 13.11 КоАП).

К административной ответственности добавляется гражданско-правовая: если разглашение причинило убытки или моральный вред, размер компенсации определяет суд (статьи 151 и 1101 Гражданского кодекса). За незаконные сбор, хранение и передачу компьютерной информации с персональными данными возможна и уголовная ответственность по статье 272.1 УК.

Отдельно стоит помнить: данные, которые человек сам выложил в соцсетях или на досках объявлений, не становятся общедоступными для всех желающих. Верховный Суд в определении от 29.01.2018 № 305-КГ17-21291 подтвердил, что использовать их в своих целях нельзя.