Памятка по персональным данным

На основании Федерального закона от 27.07.2006 № 152-ФЗ (ред. от 26.07.2026) и разъяснений Роскомнадзора

1. Что такое персональные данные

Согласно п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ № 152-ФЗ), персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Ключевой критерий — возможность идентифицировать конкретного человека. Перечень персональных данных является открытым.

Если информация позволяет определить конкретное лицо — это персональные данные, и с ними необходимо обращаться в соответствии с требованиями закона. Если не позволяет — требования ФЗ № 152-ФЗ на такие сведения не распространяются. При этом один и тот же набор данных может быть или не быть персональными данными в зависимости от цели сбора и контекста.

Важно: фамилия, имя и отчество без иных идентификаторов сами по себе не позволяют однозначно определить человека. Однако если к ФИО добавляется хотя бы один идентификатор (телефон, e-mail, номер договора, логин, пароль, фотография, паспортные данные), вся совокупность становится персональными данными, и её распространение без согласия недопустимо.

2. Разграничение распространения и предоставления

В соответствии с п. 5 и 6 ст. 3 ФЗ № 152-ФЗ необходимо различать два понятия.
Распространение — это действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
Предоставление — это действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

Если сотрудник направляет письмо с персональными данными нескольким конкретным адресатам, это квалифицируется как предоставление, а не распространение. Однако если адресаты являются посторонними лицами, не связанными с образовательным процессом, такие действия могут быть квалифицированы как распространение, что требует согласия субъекта персональных данных.

3. Согласие на обработку персональных данных

Согласно ч. 1 ст. 9 ФЗ № 152-ФЗ согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года (Федеральный закон от 24.06.2025 № 156-ФЗ) согласие оформляется отдельным документом, не может быть включено в договор, анкету или оферту.

В согласии должны быть указаны: цель обработки, перечень персональных данных, перечень действий с данными, срок действия согласия и способ его отзыва, а также подпись субъекта. Для каждой цели обработки оформляется отдельное согласие. Рекламные рассылки требуют отдельного согласия, не покрываемого согласием на обработку данных для обучения.

3.1. Когда согласие не требуется

В соответствии с п. п. 2–11 ч. 1 ст. 6 ФЗ № 152-ФЗ согласие не нужно, если обработка необходима:

• для заключения договора по инициативе гражданина или договора, по которому он будет выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6). Например, если индивидуальный предприниматель арендует у вас помещение — его паспортные данные указываются в договоре;
• для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является гражданин (п. 5 ч. 1 ст. 6). Например, адрес слушателя для направления документов об обучении;
• для выполнения функций, полномочий и обязанностей, возложенных законом (п. 2 ч. 1 ст. 6). Например, получение e-mail клиента для направления кассового чека (Разъяснения Минкомсвязи России);
• для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что не нарушаются права и свободы гражданина (п. 7 ч. 1 ст. 6). Например, запись ФИО и паспортных данных посетителей в целях обеспечения безопасности.

В остальных случаях обработка осуществляется с согласия гражданина (п. 1 ч. 1 ст. 6 ФЗ № 152-ФЗ). Например, согласие потребуется для маркетингового исследования или уступки требования к должнику — физическому лицу.

3.2. Согласие на распространение

Отдельно регулируется согласие на распространение персональных данных (ст. 10.1 ФЗ № 152-ФЗ). Оно оформляется отдельно от иных согласий. Субъект вправе установить запреты и условия на обработку своих данных неограниченным кругом лиц. Оператор обязан в течение трёх рабочих дней опубликовать информацию об условиях обработки, а по требованию субъекта — прекратить распространение в течение трёх рабочих дней. Молчание или бездействие субъекта не считается согласием на распространение.

4. Специальные категории персональных данных

В соответствии с ч. 1 ст. 10 ФЗ № 152-ФЗ к специальным категориям персональных данных относятся расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь. Обработка таких данных допускается только при наличии согласия в письменной форме, за исключением случаев, прямо предусмотренных законом.

Если слушатель сообщает сведения о состоянии здоровья (например, для организации обучения с учётом медицинских ограничений), такие данные обрабатываются только с его письменного согласия и не подлежат передаче третьим лицам.

5. Биометрические персональные данные

Согласно ст. 11 ФЗ № 152-ФЗ биометрические персональные данные — это сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность, и которые используются оператором для установления личности. К ним относятся, в частности, фотография и видеозапись, если они используются для идентификации (например, в системе прокторинга или контроля доступа).

Обработка биометрических данных допускается только при наличии согласия в письменной форме. Фотографии, сделанные «на память» и не используемые для идентификации, биометрическими данными не являются (Письмо Роскомнадзора от 10.02.2020 № 08АП-6782).

6. Примерные категории данных, используемых в обучении

• Паспортные данные. Относятся к персональным данным. Обрабатываются для заключения и исполнения договора об обучении, оформления документов об образовании. Передача третьим лицам — только с согласия или на законном основании.
  
• Контактные данные (телефон, e-mail). Относятся к персональным данным, если позволяют идентифицировать конкретное лицо. Роскомнадзор подтверждает, что e-mail — уникальный идентификатор субъекта. Использование контактов для одной цели (обучение) не даёт права использовать их для другой (реклама) без отдельного согласия.
  
• Сведения об образовании. Относятся к персональным данным. Копии дипломов и сертификатов содержат персональные данные. Хранение ограничено сроком, необходимым для достижения цели. Передача работодателю — только с отдельного согласия (если слушатель обучается как физическое лицо).
  
• Сведения о состоянии здоровья. Специальная категория. Обработка — только с письменного согласия. Нельзя передавать другим слушателям или третьим лицам.
  
• Биометрические данные. Обрабатываются только при наличии письменного согласия. Фото с корпоративного праздника «на память» не являются биометрическими, если идентификация по ним не планируется.
  
• Персональные данные несовершеннолетних. Обработка данных лиц младше 14 лет — только с согласия законных представителей. Лица от 14 до 18 лет могут дать согласие сами, но, как правило, также требуется согласие законных представителей. При оформлении образовательных отношений необходимо получить согласия от законных представителей.

7. Персональные данные несовершеннолетних

Обработка персональных данных лиц младше 14 лет допускается только с согласия их законных представителей — родителей, опекунов или попечителей. Лица в возрасте от 14 до 18 лет вправе дать согласие самостоятельно, однако в ряде случаев (оформление образовательных и финансовых правоотношений; публикация фото и видеоматериалов; участие в соревнованиях и олимпиадах) также требуется согласие законных представителей. В согласии должны быть указаны конкретные цели обработки и перечень обрабатываемых данных.

8. Взаимодействие с представителями контрагентов

Если обучение проводится по договору с организацией-заказчиком, данные её представителей (руководителя, главного бухгалтера, представителя по доверенности) могут обрабатываться без отдельного согласия в следующих случаях. Во-первых, если сведения получены из ЕГРЮЛ — такие данные могут использоваться любыми лицами без согласия (п. 11 ч. 1 ст. 6 ФЗ № 152-ФЗ, Письмо ФНС России от 09.09.2019 № ПА-4-6/18073@). Во-вторых, если обработка необходима для исполнения договора, стороной или выгодоприобретателем, по которому является субъект (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ). В-третьих, если обработка соответствует законному интересу оператора и не нарушает права субъекта (п. 7 ч. 1 ст. 6 ФЗ № 152-ФЗ).

Корпоративный телефон и адрес электронной почты с доменом организации не являются персональными данными представителя, если не позволяют идентифицировать конкретное физическое лицо (Письмо Минкомсвязи России от 07.07.2017 № П11-15054-ОГ). Использование контактов представителей контрагентов для рекламных рассылок требует отдельного согласия.

9. Конклюдентные действия как форма согласия

Согласие на обработку персональных данных, полученное до 1 сентября 2025 года путём совершения конклюдентных действий (например, при самостоятельном направлении заявки через сайт, прохождении регистрации на образовательной платформе или указании контактных данных для связи), могло считаться законным основанием для обработки данных в разумных пределах, соответствующих цели обучения. Однако с 1 сентября 2025 года вступило в силу требование об оформлении согласия отдельно от иных документов и информации, которые субъект подтверждает или подписывает. Это означает, что включение условия о согласии в пользовательское соглашение, политику конфиденциальности или саму форму регистрации более не допускается — согласие должно быть оформлено как отдельный документ или отдельное действие, позволяющее подтвердить факт его получения (например, отдельный чек-бокс).

При этом как ранее, так и в настоящее время согласие на обработку персональных данных не распространяется на рекламные рассылки и передачу данных третьим лицам. Для этих целей требуется отдельное согласие, оформленное в установленном порядке.

10. Конфиденциальность персональных данных

В соответствии со ст. 7 ФЗ № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом. Персональные данные относятся к информации ограниченного доступа.

Сотрудникам запрещается обсуждать персональные данные слушателей в общих чатах, при посторонних лицах, а также пересылать файлы с такими данными по открытым каналам связи.

11. Локализация баз данных и трансграничная передача

Согласно ч. 5 ст. 18 ФЗ № 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, прямо предусмотренных законом. Хранение данных слушателей в зарубежных облачных сервисах не допускается.

Если компания использует зарубежные платформы для онлайн-обучения и передаёт туда данные слушателей, это квалифицируется как трансграничная передача (ст. 12 ФЗ № 152-ФЗ) и требует предварительного уведомления Роскомнадзора.

12. Действия при инцидентах

В соответствии с ч. 3.1 ст. 21 ФЗ № 152-ФЗ при выявлении факта неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, оператор обязан уведомить Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов о результатах внутреннего расследования. Порядок уведомления утверждён Приказом Роскомнадзора от 14.11.2022 № 187.

Сотрудник, допустивший ошибку, обязан незамедлительно сообщить об этом руководителю и ответственному за организацию обработки персональных данных. Сокрытие инцидента увеличивает риск привлечения к ответственности.

13. Практические правила для сотрудников

При отправке писем необходимо соблюдать следующие правила. Если в письме указано только ФИО без иных идентификаторов, его можно направлять нескольким адресатам. Если в письме содержатся ФИО вместе с логином, паролем, телефоном, адресом электронной почты или номером договора, такие данные направляются исключительно каждому адресату лично. Таблицы с персональными данными из писем удаляются, а сведения направляются каждому слушателю отдельно.

При сборе данных слушателей согласие оформляется отдельным документом с указанием конкретных целей обработки. Публикация фотографий, отзывов и кейсов выпускников допускается только при наличии отдельного согласия на распространение.

При работе с документами запрещается пересылать файлы с персональными данными по открытым каналам связи, обсуждать такие данные в общих чатах, а также хранить черновики и распечатки с персональными данными после достижения целей обработки.

14. Ответственность за нарушения

Лица, виновные в нарушении требований ФЗ № 152-ФЗ, несут ответственность в соответствии с законодательством Российской Федерации (ст. 24 ФЗ № 152-ФЗ). За нарушения предусмотрена административная ответственность по ст. 13.11 КоАП РФ, уголовная ответственность по ст. 137 и 272.1 УК РФ, а также обязанность возместить моральный вред, который возмещается независимо от имущественного вреда и убытков.

15. Краткий чек-лист перед отправкой любого письма

• В письме есть только ФИО без других идентификаторов? → Можно отправлять.
• В письме есть ФИО + логин/пароль/телефон/e-mail/номер договора? → Нельзя отправлять нескольким адресатам. Только каждому лично.
• В письме есть таблица с персональными данными? → Удалить таблицу. Отправить каждому адресату персонально.
• Получатели — посторонние лица? → Распространение. Нужно согласие субъекта.
• Согласие оформлено отдельным документом? → Если нет — нарушение ч. 1 ст. 9 (ФЗ от 27.07.2006 № 152-ФЗ).
• Обрабатываются биометрические данные? → Требуется отдельное письменное согласие.
• Обрабатываются данные несовершеннолетнего? → Требуется согласие законного представителя.
• Есть публикация фото/отзывов? → Требуется согласие на распространение (ст. 10.1 (ФЗ от 27.07.2006 № 152-ФЗ).
• Используются зарубежные платформы? → Требуется уведомление Роскомнадзора о трансграничной передаче.
• Данные представителя контрагента используются для рекламы? → Требуется отдельное согласие.