Согласие на распространение по ст. 10.1: 5 условий

Ст. 10.1 ФЗ-152 существует с 2021 года, однако правоприменительная практика сформировалась только к 2025 году. РКН использует несоответствие согласия на распространение требованиям статьи как самостоятельное основание для протокола — отдельно от нарушений по общей ст. 9. В этом справочнике — пять условий действительности согласия, перечень обязательных реквизитов и типовые ошибки, которые встречаются при проверках.

Что такое распространение по ст. 10.1 ФЗ-152 и чем оно отличается от обычной обработки?

Обычная обработка ПДн — передача конкретному третьему лицу по поручению (ст. 6 ФЗ-152, п. 3) или в рамках договора — не требует согласия по ст. 10.1. Распространение же предполагает публикацию или иное раскрытие неопределённому кругу лиц: публикацию ФИО и фотографий на сайте, размещение в открытых реестрах, передачу данных любому желающему. Правило ст. 10.1: если субъект ничего не сказал о распространении — оператор вправе обрабатывать данные только для собственных целей.

Согласие на распространение — отдельный документ, в котором субъект разрешает раскрытие его персональных данных неопределённому кругу лиц или указанным категориям лиц. Оно не может быть частью трудового договора, публичной оферты или общей политики конфиденциальности.

Каковы 5 условий действительности согласия по ст. 10.1?

Ниже — пять условий, при нарушении хотя бы одного из которых согласие считается ненадлежащим. РКН вправе квалифицировать обработку как осуществлённую без согласия.

Условие 1. Отдельный документ

Согласие на распространение не объединяется с иными согласиями, договорами или публичными офертами. Включение в трудовой договор, анкету кандидата или пользовательское соглашение — нарушение ст. 10.1. До ФЗ-156 от 24.06.2025 это правило прямо следовало из ст. 10.1; после 01.09.2025 оно распространилось и на все согласия по ст. 9 в целом.

Условие 2. Явное волеизъявление

Согласие должно быть получено непосредственно от субъекта в активной форме: проставление галочки (opt-in), собственноручная подпись, направление письма с подтверждением. Пре-тикнутые чекбоксы, молчание или продолжение использования сервиса — не считаются согласием по ст. 10.1. Дефолтная позиция по ст. 10.1 — запрет распространения.

Условие 3. Перечень данных и получателей

В согласии фиксируется конкретный перечень персональных данных, разрешённых к распространению. Допускается указать категории получателей (например, «партнёры компании по направлению маркетинга»). Если субъект не указал категории получателей — оператор вправе передавать данные любым лицам, однако обязан опубликовать сведения о условиях обработки в соответствии с ч. 3 ст. 10.1.

Условие 4. Срок и цель

Согласие должно содержать срок действия или указание на бессрочность, а также цель распространения. Размытые формулировки («в маркетинговых целях», «для продвижения компании») РКН оценивает критически: цель должна соответствовать принципу ст. 5 ФЗ-152 — конкретность, заранее определённость, правомерность.

Условие 5. Право на запрет и его немедленное исполнение

Субъект вправе в любой момент запретить распространение ранее разрешённых данных, в том числе установить запреты на отдельные способы (например, запретить публикацию фотографий, оставив разрешение на публикацию ФИО). Оператор обязан прекратить распространение немедленно с момента получения запрета. Промедление — самостоятельное нарушение ч. 5 ст. 13.11 КоАП (штраф 50 000–90 000 ₽; при повторности — 300 000–500 000 ₽).

Какие реквизиты обязательны в согласии по ст. 10.1?

Ст. 10.1 ФЗ-152 не содержит закрытого перечня реквизитов, но отсылает к общим требованиям ст. 9 ФЗ-152. Для согласия на распространение практика РКН выработала расширенный состав. Юристы должны проверять наличие всех элементов до передачи документа субъекту.

Дополнительно: если субъект устанавливает запреты на отдельные способы распространения (например, запрет публикации в социальных сетях при разрешении размещения на сайте оператора) — эти ограничения фиксируются в самом согласии либо в отдельном приложении. Оператор обязан соблюдать ограничения с даты их установления. Нарушение — основание для протокола по ч. 1 ст. 13.11 КоАП (150 000–300 000 ₽).

Как соотносятся ст. 10.1 и общие правовые основания ст. 6 ФЗ-152?

Согласие по ст. 10.1 — специальное основание. Оно не заменяет и не поглощает правовые основания ст. 6 ФЗ-152, которые также применяются к обработке ПДн. Если оператор передаёт данные конкретному контрагенту по договору — это ст. 6 п. 5, согласие не нужно. Если оператор публикует те же данные на открытом сайте — уже нужна ст. 10.1.

Ст. 5 ФЗ-152 устанавливает принципы, которые применяются ко всем основаниям, включая ст. 10.1: цели обработки должны быть конкретными и законными, объём данных — соответствовать целям, срок хранения — не превышать необходимый. Несоблюдение принципов ст. 5 при наличии формально правильного согласия по ст. 10.1 не исключает ответственности по ч. 1 ст. 13.11.

Типовые ошибки операторов и практика РКН 2025–2026

Кейс 1. Интернет-компания (Центральный ФО, начало 2026) публиковала профили пользователей на открытой платформе. В пользовательском соглашении содержался пункт «вы разрешаете нам публиковать ваш профиль». РКН при плановой проверке квалифицировал это как нарушение ст. 10.1: согласие входило в состав договора, перечень данных отсутствовал, срок не указан. Возбуждено дело по ч. 2 ст. 13.11 КоАП. Компания устранила нарушение, введя отдельную форму согласия, — штраф был назначен в нижней части диапазона.

Кейс 2. HR-платформа (Северо-Западный ФО, лето 2025) передавала работодателям резюме кандидатов, квалифицируя это как «распространение в рамках основной услуги». Поскольку передача осуществлялась конкретным работодателям по договору — при защите удалось переквалифицировать передачу с ст. 10.1 на ст. 6 п. 5 ФЗ-152 (исполнение договора). Дело прекращено.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка согласий, ОРД и политик по чек-листу из 38 пунктов
• Комплект ОРД под ключ — разработка согласий по ст. 9 и ст. 10.1, политики, приказов
• DPO-аутсорсинг — ответы на запросы субъектов и исполнение требований об отзыве согласий

Частые вопросы

1. Что считается обработкой ПДн по 152-ФЗ?

Ст. 3 ФЗ-152 определяет обработку широко: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Любое из этих действий с персональными данными — обработка, требующая правового основания по ст. 6 ФЗ-152. Распространение (раскрытие неопределённому кругу лиц) — один из видов обработки, для которого ст. 10.1 устанавливает специальное основание — отдельное согласие.

2. На основании чего можно обрабатывать ПДн?

Ст. 6 ФЗ-152 содержит 11 правовых оснований. Чаще всего применяются: согласие субъекта (п. 1), исполнение договора с субъектом (п. 5), исполнение обязанностей оператора (п. 2), судопроизводство (п. 3), законный интерес оператора при соблюдении условий (п. 7). Согласие по ст. 10.1 — дополнительное специальное основание для распространения; оно не заменяет общее основание по ст. 6, а дополняет его.

3. Что грозит за нарушение 152-ФЗ?

Ответственность многоуровневая. Административная: ч. 2 ст. 13.11 КоАП — до 700 000 ₽ за обработку без надлежащего согласия; при повторности по ч. 2.1 — до 1 500 000 ₽. За утечку от 1 000 субъектов — от 3 000 000 ₽ по ч. 12 ст. 13.11. Уголовная: ст. 272.1 УК РФ (введена с 11.12.2024) — незаконные использование, передача или хранение ПДн, при тяжких последствиях — до 10 лет лишения свободы (ч. 5). Все нормы применяются в редакции с 30.05.2025.

4. Нужно ли уведомлять РКН малому бизнесу?

Ст. 22 ФЗ-152 устанавливает обязанность уведомить РКН о намерении обрабатывать персональные данные до начала обработки. Исключения перечислены в ч. 2 ст. 22: в частности, обработка данных работников в рамках трудовых отношений. Но если компания обрабатывает ПДн клиентов, пользователей сайта или иных лиц — уведомление обязательно независимо от размера бизнеса. Неуведомление — штраф 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

Итог

Согласие на распространение по ст. 10.1 ФЗ-152 действительно только при одновременном соблюдении пяти условий: отдельный документ, явное волеизъявление, конкретный перечень данных и получателей, указание цели и срока, а также обеспечение права субъекта на немедленный запрет. Включение согласия в договор или пользовательское соглашение — нарушение само по себе, независимо от содержания.

Практика DATUM показывает: большинство компаний, получивших протоколы по ч. 2 ст. 13.11 в 2025–2026 годах за нарушения ст. 10.1, не имели именно отдельного документа — несмотря на наличие развёрнутой политики конфиденциальности. Юристы DATUM сопровождают разработку согласий и аудит комплаенса по 152-ФЗ с 2014 года в рамках практики «Ветров и партнёры».

28 июля 2026 года