Распространение персональных данных

Распространение персональных данных — это действия, направленные на раскрытие персональных данных неопределённому кругу лиц. Данное понятие является одним из ключевых в законодательстве о персональных данных, наряду с обработкой, сбором, хранением, использованием, блокированием и уничтожением информации. Распространение отличается от передачи данных, которая предполагает раскрытие информации заранее определённому лицу или кругу лиц.

Правовое регулирование в Российской Федерации

В России правовой режим распространения персональных данных регулируется Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных). Согласно статье 3 этого закона, под распространением понимаются действия, направленные на раскрытие персональных данных неопределённому кругу лиц. Ключевым признаком является отсутствие предварительной определённости получателей информации.

Закон устанавливает общее правило: обработка персональных данных, включая их распространение, допускается только с согласия субъекта персональных данных. Согласие должно быть конкретным, информированным и сознательным. Для распространения данных, в отличие от иных форм обработки, законодательством предусмотрены дополнительные требования.

Согласие на распространение персональных данных

С 1 марта 2021 года вступили в силу поправки в Закон о персональных данных, которые ввели специальную форму согласия на распространение данных. Такое согласие должно оформляться отдельно от согласия на обработку в целом и содержать:

• Перечень конкретных персональных данных, разрешённых к распространению.
• Категории и перечень лиц, которым данные могут быть раскрыты (если данные разрешено распространять среди неопределённого круга, это также должно быть указано).
• Условия и запреты на обработку (например, запрет на передачу третьим лицам).
• Срок действия согласия.

Согласие может быть отозвано субъектом в любое время. Оператор обязан прекратить распространение данных с момента получения отзыва, если иное не предусмотрено законом.

Исключения из общего правила

Законодательство предусматривает случаи, когда распространение персональных данных допускается без согласия субъекта. К ним относятся:

• Обработка данных в целях исполнения договора, стороной которого является субъект.
• Обработка для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение согласия невозможно.
• Обработка в статистических или иных исследовательских целях при условии обязательного обезличивания данных.
• Обработка данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом (например, сведения о доходах государственных служащих).
• Обработка данных, сделанных общедоступными самим субъектом.

Формы распространения персональных данных

Распространение может осуществляться в различных формах:

• Публикация в открытых источниках: размещение данных на сайтах, в печатных изданиях, справочниках, базах данных общего доступа.
• Размещение в информационно-телекоммуникационных сетях: публикация постов в социальных сетях, на форумах, в мессенджерах с открытым доступом.
• Предоставление по запросам: выдача справок, выписок, копий документов по запросам любых лиц (например, через портал «Госуслуги» или МФЦ).
• Трансляция в СМИ: публикация в новостях, репортажах, передачах, если данные становятся известны неограниченному кругу зрителей или слушателей.

Ответственность за нарушение правил распространения

Нарушение порядка распространения персональных данных влечёт за собой административную, гражданско-правовую и уголовную ответственность.

Административная ответственность

Основной вид ответственности — по статье 13.11 Кодекса Российской Федерации об административных правонарушениях (КоАП РФ). За обработку персональных данных без согласия субъекта (включая распространение) предусмотрены штрафы:

• Для граждан — от 2 000 до 6 000 рублей.
• Для должностных лиц — от 10 000 до 20 000 рублей.
• Для юридических лиц — от 30 000 до 150 000 рублей.

За повторное нарушение размеры штрафов увеличиваются: для юридических лиц — до 300 000 рублей.

Гражданско-правовая ответственность

Субъект персональных данных вправе требовать возмещения морального вреда и убытков, причинённых незаконным распространением его данных. Размер компенсации определяется судом.

Уголовная ответственность

В случае, если незаконное распространение данных повлекло тяжкие последствия (например, причинение вреда здоровью или крупный ущерб), возможно привлечение к уголовной ответственности по статье 137 Уголовного кодекса РФ (нарушение неприкосновенности частной жизни). Наказание может включать штраф до 200 000 рублей, обязательные работы или лишение свободы до двух лет.

Особенности распространения отдельных категорий данных

Специальные категории персональных данных

К специальным категориям относятся данные о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Их распространение, как правило, запрещается, за исключением случаев, прямо предусмотренных законом (например, с согласия субъекта или в целях защиты его жизненно важных интересов).

Биометрические персональные данные

Биометрические данные (отпечатки пальцев, изображение лица, голос, ДНК и т.д.) также подлежат особой защите. Их распространение допускается только с письменного согласия субъекта, за исключением случаев, установленных федеральными законами (например, в рамках государственной дактилоскопической регистрации).

Данные несовершеннолетних

Распространение персональных данных детей требует согласия законных представителей (родителей, опекунов). Законодательство предъявляет повышенные требования к информированности и конкретности такого согласия.

Практика и тенденции

С развитием цифровых технологий проблема распространения персональных данных становится всё более актуальной. Участились случаи утечек данных из баз операторов, что фактически является несанкционированным распространением. В ответ на это в России ужесточается законодательство: вводятся оборотные штрафы за утечки, усиливаются требования к безопасности обработки данных.

Также активно развивается практика Роскомнадзора, который ведёт реестр операторов, осуществляющих обработку персональных данных, и проводит проверки соблюдения законодательства. Граждане всё чаще обращаются в суды с исками о защите своих прав, что формирует прецедентную базу.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Кодекс Российской Федерации об административных правонарушениях (статья 13.11)
• Уголовный кодекс Российской Федерации (статья 137)
• Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»
• Разъяснения Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) по вопросам распространения персональных данных